Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Funktionsweise von IAM

AWS Identity and Access Management bietet die Infrastruktur, die zur Steuerung der Authentifizierung und Autorisierung für Sie erforderlich ist AWS-Konto. Das folgende Diagramm verdeutlicht diese IAM-Infrastruktur.

Zunächst verwendet ein menschlicher Benutzer oder eine Anwendung seine Anmeldeinformationen, um sich bei AWS zu authentifizieren. Die Authentifizierung erfolgt, indem die Anmeldeinformationen einem Prinzipal (einem IAM-Benutzer, Verbundbenutzer, IAM-Rolle oder Anwendung) zugeordnet werden, dem das AWS-Konto vertraut.

Als Nächstes wird eine Anfrage gestellt, um dem Prinzipal Zugriff auf Ressourcen zu gewähren. Der Zugriff wird als Antwort auf eine Autorisierungsanfrage gewährt. Wenn Sie sich beispielsweise zum ersten Mal bei der Konsole anmelden und sich auf der Startseite der Konsole befinden, greifen Sie nicht auf einen bestimmten Dienst zu. Wenn Sie einen Service auswählen, wird die Autorisierungsanfrage an diesen Service gesendet und es wird geprüft, ob Ihre Identität auf der Liste der autorisierten Benutzer steht, welche Richtlinien zur Kontrolle der gewährten Zugriffsebene durchgesetzt werden und welche anderen Richtlinien möglicherweise in Kraft sind. Autorisierungsanfragen können von Principals innerhalb Ihres Unternehmens AWS-Konto oder von einem anderen AWS-Konto , dem Sie vertrauen, gestellt werden.

Nach der Autorisierung kann der Prinzipal Maßnahmen ergreifen oder Operationen an Ressourcen in Ihrem AWS-Konto durchführen. Der Principal könnte beispielsweise eine neue Amazon Elastic Compute Cloud Instance starten, die IAM-Gruppenmitgliedschaft ändern oder Buckets löschen Amazon Simple Storage Service .

Bedingungen

Diese IAM-Begriffe werden häufig verwendet, wenn Sie arbeiten mit: AWS

Auftraggeber

Ein Principal ist ein menschlicher Benutzer oder ein Workload, der eine Aktion oder einen Vorgang für eine Ressource anfordern kann. AWS Nach der Authentifizierung können dem Prinzipal je nach Prinzipaltyp entweder permanente oder temporäre Anmeldeinformationen für Anfragen erteilt werden. AWS IAM-Benutzern und Root-Benutzern werden permanente Anmeldeinformationen gewährt, während Rollen temporäre Anmeldeinformationen gewährt werden. Als bewährte Methode empfehlen wir, menschlichen Benutzern und Workloads den Zugriff auf AWS Ressourcen mithilfe temporärer Anmeldeinformationen vorzuschreiben.

Anforderung

Wenn ein Principal versucht AWS Management Console, die, die AWS API oder den zu verwenden AWS CLI, sendet dieser Principal eine Anfrage an AWS. Die Anforderung enthält die folgenden Informationen:

AWS fasst die Anforderungsinformationen in einem Anforderungskontext zusammen, der zur Auswertung und Autorisierung der Anfrage verwendet wird.

Authentifizierung

Ein Principal muss mit seinen Anmeldeinformationen authentifiziert (angemeldet AWS) werden, um eine Anfrage an ihn zu senden. AWS Einige Dienste, wie Amazon S3 und AWS STS, ermöglichen einige Anfragen von anonymen Benutzern. Sie stellen jedoch die Ausnahme von der Regel dar.

Um sich über die Konsole als Stammbenutzer zu authentifizieren, müssen Sie sich mit Ihrer E-Mail-Adresse und Ihrem Passwort anmelden. Als Verbundbenutzer werden Sie von Ihrem Identitätsanbieter authentifiziert und erhalten Zugriff auf AWS Ressourcen, indem Sie IAM-Rollen annehmen. Als IAM-Benutzer geben Sie Ihre Konto-ID oder den Alias und anschließend Ihren Benutzernamen und Ihr Passwort ein. Um Workloads über die API oder AWS CLI zu authentifizieren, können Sie temporäre Anmeldeinformationen verwenden, indem Sie eine Rolle zugewiesen bekommen, oder Sie können langfristige Anmeldeinformationen verwenden, indem Sie Ihren Zugriffsschlüssel und Ihren geheimen Schlüssel angeben. Möglicherweise müssen Sie auch zusätzliche Sicherheitsinformationen angeben. Als bewährte Methode AWS empfiehlt es sich, Multi-Faktor-Authentifizierung (MFA) und temporäre Anmeldeinformationen zu verwenden, um die Sicherheit Ihres Kontos zu erhöhen. Weitere Informationen zu den IAM-Entitäten, die sich authentifizieren AWS können, finden Sie unter und. IAM-Benutzer IAM-Rollen

Autorisierung

Sie müssen auch autorisiert sein (zulässig), um Ihre Anforderung abzuschließen. Während der Autorisierung verwendet AWS die Werte aus dem Anforderungskontext, um nach Richtlinien zu suchen, die auf die Anforderung anzuwenden sind. Anschließend wird anhand der Richtlinien festgelegt, ob die Anforderung zugelassen oder abgelehnt werden soll. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert und spezifizieren die Berechtigungen für Prinzipalentitäten. Es gibt mehrere Arten von Richtlinien, die sich darauf auswirken können, ob eine Anforderung zugelassen wird. Um Ihren Benutzern Berechtigungen für den Zugriff auf die AWS Ressourcen in ihrem eigenen Konto zu gewähren, benötigen Sie nur identitätsbasierte Richtlinien. Ressourcenbasierte Richtlinien werden häufig zum Erteilen von kontoübergreifenden Zugriff verwendet. Die anderen Richtlinientypen sind erweiterte Funktionen und sollten mit Bedacht eingesetzt werden.

AWS überprüft jede Richtlinie, die für den Kontext Ihrer Anfrage gilt. Wenn eine einzelne Berechtigungsrichtlinie eine verweigerte Aktion beinhaltet, AWS lehnt sie die gesamte Anfrage ab und beendet die Auswertung. Dieser Vorgang wird als explizite Zugriffsverweigerung bezeichnet. Da Anfragen standardmäßig abgelehnt werden, wird Ihre Anfrage nur AWS autorisiert, wenn jeder Teil Ihrer Anfrage gemäß den geltenden Berechtigungsrichtlinien zulässig ist. Die Auswertungslogik für eine Anforderung in einem einzelnen Konto folgt diesen allgemeinen Regeln:

Weitere Informationen dazu, wie alle Arten von Richtlinien ausgewertet werden, finden Sie unter Auswertungslogik für Richtlinien. Wenn Sie eine Anforderung in einem anderen Konto initiieren müssen, muss eine Richtlinie in dem anderen Konto Ihnen den Zugriff auf die Ressource erlauben und die IAM-Entität, die Sie zum Erstellen der Anfrage verwenden, muss eine identitätsbasierte Richtlinie haben, die die Anforderung erlaubt.

Aktionen oder Operationen

AWS Genehmigt die Aktionen oder Vorgänge in Ihrer Anfrage, nachdem Ihre Anfrage authentifiziert und autorisiert wurde. Operationen werden von einem Service definiert und enthalten Dinge, die Sie mit einer Ressource machen können (z. B. Anzeigen, Anlegen, Bearbeiten und Löschen der Ressource). Zum Beispiel unterstützt IAM ca. 40 Aktionen für eine Benutzerressource, einschließlich der folgenden Aktionen:

Damit ein Auftraggeber eine Operation ausführen kann, müssen Sie die erforderlichen Aktionen in eine Richtlinie aufnehmen, die für den Auftraggeber oder die betroffene Ressource gilt. Eine Liste der Aktionen, Ressourcentypen und Bedingungsschlüssel, die von den einzelnen Diensten unterstützt werden, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für AWS Dienste.

Ressourcen

Nachdem die in Ihrer Anfrage enthaltenen Vorgänge AWS genehmigt wurden, können sie für die zugehörigen Ressourcen in Ihrem Konto ausgeführt werden. Eine Ressource ist ein Objekt, das innerhalb eines Services existiert. Beispiele sind eine Amazon EC2-Instance, ein IAM-Benutzer und ein Amazon S3-Bucket. Der Service definiert eine Reihe von Aktionen, die für jede Ressource ausgeführt werden können. Wenn Sie eine Anforderung erstellen, um eine unabhängige Aktion für eine Ressource durchzuführen, wird diese Anforderung abgelehnt. Wenn Sie beispielsweise eine IAM-Rolle löschen möchten, aber eine IAM-Gruppenressource bereitstellen, schlägt die Anforderung fehl. AWS Servicetabellen, aus denen hervorgeht, welche Ressourcen von einer Aktion betroffen sind, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für AWS Dienste.