Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Sicherheit bei Amazon CloudFront
Cloud-Sicherheit AWS hat höchste Priorität. Als AWS Kunde profitieren Sie von einer Rechenzentrums- und Netzwerkarchitektur, die darauf ausgelegt sind, die Anforderungen der sicherheitssensibelsten Unternehmen zu erfüllen.
Sicherheit ist eine gemeinsame Verantwortung von Ihnen AWS und Ihnen. Das [Modell der geteilten Verantwortung](https://aws.amazon.com/compliance/shared-responsibility-model/) beschreibt dies als Sicherheit *der* Cloud und Sicherheit *in* der Cloud:
+ **Sicherheit der Cloud** — AWS ist verantwortlich für den Schutz der Infrastruktur, die AWS Dienste in der AWS Cloud ausführt. AWS bietet Ihnen auch Dienste, die Sie sicher nutzen können. Auditoren von Drittanbietern testen und überprüfen die Effektivität unserer Sicherheitsmaßnahmen im Rahmen der [AWS -Compliance-Programme](https://aws.amazon.com/compliance/programs/) regelmäßig. Weitere Informationen zu den Compliance-Programmen, die für Amazon gelten CloudFront, finden Sie unter [AWS Services in Scope by Compliance Program](https://aws.amazon.com/compliance/services-in-scope/).
+ **Sicherheit in der Cloud** — Ihre Verantwortung richtet sich nach dem AWS Service, den Sie nutzen. In Ihre Verantwortung fallen außerdem weitere Faktoren, wie z. B. die Vertraulichkeit der Daten, die Anforderungen Ihrer Organisation sowie geltende Gesetze und Vorschriften.
Diese Dokumentation hilft Ihnen zu verstehen, wie Sie das Modell der gemeinsamen Verantwortung bei der Nutzung anwenden können CloudFront. In den folgenden Themen erfahren Sie, wie Sie die Konfiguration vornehmen CloudFront , um Ihre Sicherheits- und Compliance-Ziele zu erreichen. Sie erfahren auch, wie Sie andere AWS Dienste nutzen können, die Sie bei der Überwachung und Sicherung Ihrer CloudFront Ressourcen unterstützen.
**Topics**
+ [Datenschutz bei Amazon CloudFront](data-protection-summary.md)
+ [Identity and Access Management für Amazon CloudFront](security-iam.md)
+ [Protokollierung und Überwachung in Amazon CloudFront](logging-and-monitoring.md)
+ [Konformitätsvalidierung für Amazon CloudFront](compliance.md)
+ [Ausfallsicherheit in Amazon CloudFront](disaster-recovery-resiliency.md)
+ [Sicherheit der Infrastruktur in Amazon CloudFront](infrastructure-security.md)
# Datenschutz bei Amazon CloudFront
Das AWS [Modell](https://aws.amazon.com/compliance/shared-responsibility-model/) der gilt für den Datenschutz bei Amazon CloudFront. Wie in diesem Modell beschrieben, AWS ist verantwortlich für den Schutz der globalen Infrastruktur, auf der alle Systeme laufen AWS Cloud. Sie sind dafür verantwortlich, die Kontrolle über Ihre in dieser Infrastruktur gehosteten Inhalte zu behalten. Sie sind auch für die Sicherheitskonfiguration und die Verwaltungsaufgaben für die von Ihnen verwendeten AWS-Services verantwortlich. Weitere Informationen zum Datenschutz finden Sie unter [Häufig gestellte Fragen zum Datenschutz](https://aws.amazon.com/compliance/data-privacy-faq/). Informationen zum Datenschutz in Europa finden Sie im Blog-Beitrag [AWS -Modell der geteilten Verantwortung und in der DSGVO](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) im *AWS -Sicherheitsblog*.
Aus Datenschutzgründen empfehlen wir, dass Sie AWS-Konto Anmeldeinformationen schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einrichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:
+ Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).
+ Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
+ Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail. Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten finden Sie unter [Arbeiten mit CloudTrail Pfaden](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) im *AWS CloudTrail Benutzerhandbuch*.
+ Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.
+ Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.
+ Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter [Federal Information Processing Standard (FIPS) 140-3](https://aws.amazon.com/compliance/fips/).
Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld **Name**, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie mit der Konsole, der CloudFront API oder auf andere AWS-Services Weise arbeiten oder diese verwenden. AWS CLI AWS SDKs Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.
Amazon CloudFront bietet verschiedene Optionen, mit denen Sie die bereitgestellten Inhalte schützen können:
+ Konfigurieren von HTTPS-Verbindungen.
+ Konfigurieren Sie die Verschlüsselung auf Feldebene, um während der Übertragung zusätzliche Sicherheit für bestimmte Daten zu bieten.
+ Beschränken des Zugriffs auf Inhalte, sodass nur bestimmte Personen oder Personen eines bestimmten Bereichs diese sehen können.
Die folgenden Themen erläutern die Optionen im Detail.
**Topics**
+ [Verschlüsselung während der Übertragung](#data-protection-summary-encryption-in-transit)
+ [Verschlüsselung im Ruhezustand](#data-protection-summary-encryption-at-rest)
+ [Einschränken des Zugriffs auf Inhalte](#data-protection-summary-restrict-access)
## Verschlüsselung während der Übertragung
Um Ihre Daten während der Übertragung zu verschlüsseln, konfigurieren Sie Amazon CloudFront so, dass Zuschauer HTTPS verwenden müssen, um Ihre Dateien anzufordern, sodass Verbindungen bei der CloudFront Kommunikation mit Zuschauern verschlüsselt werden. Sie können auch so konfigurieren CloudFront , dass HTTPS verwendet wird, um Dateien von Ihrem Ursprung abzurufen, sodass Verbindungen bei der CloudFront Kommunikation mit Ihrem Ursprung verschlüsselt werden.
Weitere Informationen finden Sie unter [Verwenden Sie HTTPS mit CloudFront](using-https.md).
Die Verschlüsselung auf Feldebene fügt zusammen mit HTTPS eine zusätzliche Sicherheitsschicht hinzu, mit der Sie bestimmte Daten während der gesamten Systemverarbeitung schützen können, sodass nur bestimmte Anwendungen sie sehen können. Durch die Konfiguration der Verschlüsselung auf Feldebene können Sie vertrauliche Informationen CloudFront, die von Benutzern übermittelt wurden, sicher auf Ihre Webserver hochladen. Die sensiblen Informationen, die Ihnen von Clients zur Verfügung gestellt werden, werden an dem Edge-Standort verschlüsselt, der näher am Benutzer ist. Die Verschlüsselung bleibt für den gesamten Anwendungs-Stack erhalten. Auf diese Weise wird sichergestellt, dass nur Anwendungen, die die Daten benötigen (und über die Anmeldeinformationen zur Entschlüsselung verfügen) dazu in der Lage sind.
Weitere Informationen finden Sie unter [Vertrauliche Daten durch Verschlüsselung auf Feldebene schützen](field-level-encryption.md).
Die CloudFront API-Endpunkte `cloudfront.amazonaws.com` und akzeptieren nur `cloudfront-fips.amazonaws.com` HTTPS-Verkehr. Das heißt, wenn Sie Informationen über die CloudFront API senden und empfangen, werden Ihre Daten — einschließlich Verteilungskonfigurationen, Cache-Richtlinien und Richtlinien für Ursprungsanfragen, Schlüsselgruppen und öffentliche Schlüssel sowie Funktionscode in CloudFront Funktionen — bei der Übertragung immer verschlüsselt. Darüber hinaus werden alle Anfragen, die an die CloudFront API-Endpunkte gesendet werden, mit Anmeldeinformationen signiert und angemeldet. AWS AWS CloudTrail
Der Funktionscode und die Konfiguration in CloudFront Functions werden bei der Übertragung immer verschlüsselt, wenn sie an den Edge-Standort (Points of PresencePOPs) und zwischen anderen Speicherorten, die von CloudFront verwendet werden, kopiert werden.
## Verschlüsselung im Ruhezustand
Der Funktionscode und die Konfiguration in CloudFront Functions werden immer in einem verschlüsselten Format am Edge-Standort und an anderen Speicherorten gespeichert POPs, die von verwendet werden CloudFront.
## Einschränken des Zugriffs auf Inhalte
Viele Unternehmen, die Inhalte über das Internet bereitstellen, möchten den Zugriff auf Dokumente, Geschäftsdaten, Medien-Streams oder Inhalte, die nur für ausgewählte Benutzer gedacht sind, beschränken. Um diese Inhalte mithilfe von Amazon sicher bereitzustellen CloudFront, können Sie einen oder mehrere der folgenden Schritte ausführen:
**Verwenden Sie signierte Cookies URLs oder Cookies**
Sie können den Zugriff auf Inhalte einschränken, die für bestimmte Nutzer bestimmt sind — beispielsweise Nutzer, die eine Gebühr bezahlt haben —, indem Sie diese privaten Inhalte mithilfe CloudFront signierter oder signierter Cookies bereitstellen. URLs Weitere Informationen finden Sie unter [Stellen Sie private Inhalte mit signierten URLs und signierten Cookies bereit](PrivateContent.md).
**Beschränken des Zugriffs auf Inhalte in Amazon S3-Buckets**
Wenn Sie den Zugriff auf Ihre Inhalte einschränken, indem Sie beispielsweise CloudFront signierte URLs oder signierte Cookies verwenden, möchten Sie auch nicht, dass andere Personen Dateien über die direkte URL der Datei aufrufen. Stattdessen möchten Sie, dass der Zugriff auf die Dateien nur über die CloudFront -URL möglich ist, sodass Ihre Schutzmechanismen funktionieren.
Wenn Sie einen Amazon S3 S3-Bucket als Ursprung für eine CloudFront Distribution verwenden, können Sie eine Origin Access Control (OAC) einrichten, die es ermöglicht, den Zugriff auf den S3-Bucket einzuschränken. Weitere Informationen finden Sie unter [Beschränken des Zugriffs auf einen Amazon-S3-Ursprung](private-content-restricting-access-to-s3.md).
**Beschränken des Zugriffs auf Inhalte von einem Application Load Balancer**
Wenn Sie einen Application Load Balancer in Elastic Load Balancing als Ursprung verwenden CloudFront , können Sie die Konfiguration so konfigurierenCloudFront , dass Benutzer nicht direkt auf den Application Load Balancer zugreifen können. Auf diese Weise können Benutzer nur über den Application Load Balancer auf den Application Load Balancer zugreifen CloudFront, sodass Sie alle Vorteile der Verwendung nutzen CloudFront können. Weitere Informationen finden Sie unter [Beschränken des Zugriffs auf Application Load Balancer](restrict-access-to-load-balancer.md).
**Verwenden Sie das Internet AWS WAF ACLs**
Sie können einen Firewall-Dienst für Webanwendungen verwenden AWS WAF, um eine Web-Zugriffskontrollliste (Web ACL) zu erstellen, um den Zugriff auf Ihre Inhalte einzuschränken. Basierend auf den von Ihnen angegebenen Bedingungen, wie z. B. den IP-Adressen, von denen Anfragen stammen, oder den Werten von Abfragezeichenfolgen, CloudFront reagiert der Dienst auf Anfragen entweder mit dem angeforderten Inhalt oder mit einem HTTP-403-Statuscode (Forbidden). Weitere Informationen finden Sie unter [Verwenden von AWS WAF-Sicherheitsvorkehrungen](distribution-web-awswaf.md).
**Verwenden von geografische Einschränkungen**
Mithilfe einer *geografischen Einschränkung* oder *Geoblockierung* können Sie verhindern, dass Benutzer aus bestimmten geografischen Regionen auf Inhalte zugreifen, die Sie über eine CloudFront-Verteilung bereitstellen. Beim Konfigurieren geografischer Einschränkungen können Sie aus verschiedenen Optionen wählen. Weitere Informationen finden Sie unter [Einschränken der geografischen Distribution Ihrer Inhalte](georestrictions.md).
# Identity and Access Management für Amazon CloudFront
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um Ressourcen zu verwenden. CloudFront IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.
**Topics**
+ [Zielgruppe](#security_iam_audience)
+ [Authentifizierung mit Identitäten](#security_iam_authentication)
+ [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage)
+ [So CloudFront arbeitet Amazon mit IAM](security_iam_service-with-iam.md)
+ [Beispiele für identitätsbasierte Richtlinien für Amazon CloudFront](security_iam_id-based-policy-examples.md)
+ [AWS verwaltete Richtlinien für Amazon CloudFront](security-iam-awsmanpol.md)
+ [Verwenden von serviceverknüpften Rollen für CloudFront](using-service-linked-roles.md)
+ [Fehlerbehebung bei CloudFront Amazon-Identität und -Zugriff](security_iam_troubleshoot.md)
## Zielgruppe
Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab:
+ **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Fehlerbehebung bei CloudFront Amazon-Identität und -Zugriff](security_iam_troubleshoot.md)).
+ **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [So CloudFront arbeitet Amazon mit IAM](security_iam_service-with-iam.md)).
+ **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Beispiele für identitätsbasierte Richtlinien für Amazon CloudFront](security_iam_id-based-policy-examples.md)).
## Authentifizierung mit Identitäten
Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos
Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *.
AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*.
### AWS-Konto Root-Benutzer
Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*.
### Verbundidentität
Als bewährte Methode sollten menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden.
Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen.
Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*.
### IAM-Benutzer und -Gruppen
Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können.
Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*.
### IAM-Rollen
Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*.
IAM-Rollen sind nützlich für Verbundbenutzerzugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, dienstübergreifenden Zugriff und Anwendungen, die auf Amazon ausgeführt werden. EC2 Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Verwalten des Zugriffs mit Richtlinien
Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an Identitäten oder Ressourcen anhängen. AWS Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*.
Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf.
Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird.
### Identitätsbasierte Richtlinien
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*.
### Ressourcenbasierte Richtlinien
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html).
Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.
### Weitere Richtlinientypen
AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:
+ **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*.
+ **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*.
+ **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html).
+ **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*.
### Mehrere Richtlinientypen
Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die sich daraus ergebenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*.
# So CloudFront arbeitet Amazon mit IAM
Bevor Sie IAM verwenden, um den Zugriff auf zu verwalten CloudFront, sollten Sie sich darüber informieren, mit welchen IAM-Funktionen Sie arbeiten können. CloudFront
**IAM-Funktionen, die Sie mit Amazon verwenden können CloudFront**
| IAM-Feature | CloudFront Unterstützung |
| --- | --- |
| [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja |
| [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Nein |
| [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja |
| [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja |
| [Richtlinienbedingungsschlüssel (servicespezifisch)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja |
| [ACLs](#security_iam_service-with-iam-acls) | Nein |
| [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Teilweise |
| [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Ja |
| [Forward Access Sessions (FAS)](#security_iam_service-with-iam-principal-permissions) | Nein |
| [Servicerollen](#security_iam_service-with-iam-roles-service) | Nein |
| [Serviceverknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Ja |
Einen allgemeinen Überblick darüber, wie CloudFront und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [IAM-Benutzerhandbuch unter AWS Dienste, die mit *IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
## Identitätsbasierte Richtlinien für CloudFront
**Unterstützt Richtlinien auf Identitätsbasis:** Ja
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
### Beispiele für identitätsbasierte Richtlinien für CloudFront
Beispiele für CloudFront identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon CloudFront](security_iam_id-based-policy-examples.md)
## Ressourcenbasierte Richtlinien finden Sie in CloudFront
**Unterstützt ressourcenbasierte Richtlinien:** Nein
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services
Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Richtlinienaktionen für CloudFront
**Unterstützt Richtlinienaktionen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Eine Liste der CloudFront Aktionen finden Sie unter [Von Amazon definierte Aktionen CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions) in der *Service Authorization Reference*.
Bei den in der Richtlinie CloudFront verwendeten Aktionen wird vor der Aktion das folgende Präfix verwendet:
```
cloudfront
```
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata:
```
"Action": [
"cloudfront:action1",
"cloudfront:action2"
]
```
Beispiele für CloudFront identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon CloudFront](security_iam_id-based-policy-examples.md)
## Politische Ressourcen für CloudFront
**Unterstützt Richtlinienressourcen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Eine Liste der CloudFront Ressourcentypen und ihrer ARNs Eigenschaften finden Sie unter [Von Amazon definierte Ressourcen CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-resources-for-iam-policies) in der *Service Authorization Reference*. Informationen darüber, mit welchen Aktionen Sie den ARN jeder Ressource angeben können, finden Sie unter [Von Amazon definierte Aktionen CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions).
Beispiele für CloudFront identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon CloudFront](security_iam_id-based-policy-examples.md)
## Bedingungsschlüssel für Richtlinien für CloudFront
**Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der CloudFront Bedingungsschlüssel finden Sie unter [Bedingungsschlüssel für Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-policy-keys) in der *Service Authorization Reference*. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Von Amazon definierte Aktionen CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions).
Beispiele für CloudFront identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon CloudFront](security_iam_id-based-policy-examples.md)
## ACLs in CloudFront
**Unterstützt ACLs:** Nein
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
## ABAC mit CloudFront
**Unterstützt ABAC (Tags in Richtlinien):** Teilweise
Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, die Operationen zulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt.
Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden.
Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**.
*Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*.
CloudFront unterstützt ABAC für CloudFront Ressourcen, die Tags unterstützen, wie z. B. Distributionen, Mandanten oder Trust Stores.
## Verwenden temporärer Anmeldeinformationen mit CloudFront
**Unterstützt temporäre Anmeldeinformationen:** Ja
Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*.
## Zugriffssitzungen weiterleiten für CloudFront
**Unterstützt Forward Access Sessions (FAS):** Nein
Forward-Access-Sitzungen (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen AWS-Service an nachgelagerte Dienste zu stellen. Einzelheiten zu den Richtlinien für FAS-Anfragen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
## Servicerollen für CloudFront
**Unterstützt Servicerollen:** Nein
Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*.
**Warnung**
Durch das Ändern der Berechtigungen für eine Servicerolle kann die CloudFront Funktionalität beeinträchtigt werden. Bearbeiten Sie Servicerollen nur, CloudFront wenn Sie dazu eine Anleitung erhalten.
## Dienstbezogene Rollen für CloudFront
**Unterstützt serviceverknüpfte Rollen:** Ja
Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.
CloudFront verwendet dienstbezogene Rollen, um Aktionen für Sie auszuführen. Weitere Informationen zum Erstellen oder Verwalten von CloudFront dienstbezogenen Rollen finden Sie unter. [Verwenden von serviceverknüpften Rollen für CloudFront](using-service-linked-roles.md) Weitere Informationen zum Erstellen oder Verwalten von serviceverknüpften Lambda@Edge-Rollen finden Sie unter [Serviceverknüpfte Rollen für Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Tabelle nach einem Service mit einem `Yes` in der Spalte **Service-linked role** (Serviceverknüpfte Rolle). Wählen Sie den Link **Yes** (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen.
# Beispiele für identitätsbasierte Richtlinien für Amazon CloudFront
Benutzer und Rollen haben standardmäßig nicht die Berechtigung, CloudFront-Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*.
Einzelheiten zu Aktionen und Ressourcentypen, die von definiert wurden CloudFront, einschließlich des Formats von ARNs für jeden der Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html) in der *Service Authorization Reference*.
**Topics**
+ [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices)
+ [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions)
+ [Berechtigungen für den programmgesteuerten Zugriff CloudFront](#security_iam_id-based-policy-examples-programmatic-access-all)
+ [Für die Verwendung der CloudFront Konsole sind Berechtigungen erforderlich](#security_iam_id-based-policy-examples-console-required-permissions)
+ [Beispiele für vom Kunden verwaltete Richtlinien](#security_iam_id-based-policy-examples-sdk-cli)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand CloudFront Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der API oder. AWS CLI AWS
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Berechtigungen für den programmgesteuerten Zugriff CloudFront
Das folgende Beispiel zeigt eine Berechtigungsrichtlinie. Der Abschnitt `Sid` (die Anweisungs-ID) ist optional.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowAllCloudFrontPermissions",
"Effect": "Allow",
"Action": ["cloudfront:*"],
"Resource": "*"
}
]
}
```
------
Die Richtlinie gewährt Berechtigungen zur Ausführung aller CloudFront Operationen, was für den programmgesteuerten Zugriff CloudFront ausreicht. Wenn Sie die Konsole für den Zugriff verwenden CloudFront, finden Sie weitere Informationen unter. [Für die Verwendung der CloudFront Konsole sind Berechtigungen erforderlich](#security_iam_id-based-policy-examples-console-required-permissions)
Eine Liste der Aktionen und den ARN, den Sie angeben, um die Erlaubnis zur Verwendung der einzelnen Aktionen zu erteilen oder zu verweigern, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html) in der *Service Authorization Reference*.
## Für die Verwendung der CloudFront Konsole sind Berechtigungen erforderlich
Um vollen Zugriff auf die CloudFront Konsole zu gewähren, gewähren Sie die Berechtigungen in der folgenden Berechtigungsrichtlinie:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:*",
"cloudwatch:DescribeAlarms",
"cloudwatch:PutMetricAlarm",
"cloudwatch:GetMetricStatistics",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets",
"s3:PutBucketPolicy"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
Gründe, warum die Berechtigungen erforderlich sind
**`acm:ListCertificates`**
Wenn Sie Distributionen mithilfe der CloudFront Konsole erstellen und aktualisieren und so konfigurieren CloudFront möchten, dass HTTPS zwischen dem Betrachter und CloudFront oder zwischen CloudFront dem Ursprung erforderlich ist, können Sie eine Liste der ACM-Zertifikate anzeigen.
Diese Berechtigung ist nicht erforderlich, wenn Sie die CloudFront Konsole nicht verwenden.
**`cloudfront:*`**
Ermöglicht es Ihnen, alle CloudFront Aktionen auszuführen.
**`cloudwatch:DescribeAlarms` und `cloudwatch:PutMetricAlarm`**
Ermöglicht das Erstellen und Anzeigen von CloudWatch Alarmen in der CloudFront Konsole. Weitere Informationen finden Sie auch unter `sns:ListSubscriptionsByTopic` und `sns:ListTopics`.
Diese Berechtigungen sind nicht erforderlich, wenn Sie die CloudFront-Konsole nicht verwenden.
**`cloudwatch:GetMetricStatistics`**
Lassen Sie uns CloudWatch Metriken in der CloudFront Konsole CloudFront rendern.
Diese Berechtigung ist nicht erforderlich, wenn Sie die CloudFront Konsole nicht verwenden.
**`elasticloadbalancing:DescribeLoadBalancers`**
Zeigt beim Erstellen und Aktualisieren von Verteilungen eine Liste der Elastic-Load-Balancing-Load-Balancer in der Liste der verfügbaren Ursprünge an.
Diese Berechtigung ist nicht erforderlich, wenn Sie die CloudFront Konsole nicht verwenden.
**`iam:ListServerCertificates`**
Wenn Sie Distributionen mithilfe der CloudFront Konsole erstellen und aktualisieren und so konfigurieren CloudFront möchten, dass HTTPS zwischen dem Viewer und CloudFront oder zwischen dem CloudFront Ursprung erforderlich ist, können Sie eine Liste der Zertifikate im IAM-Zertifikatsspeicher anzeigen.
Diese Berechtigung ist nicht erforderlich, wenn Sie die CloudFront Konsole nicht verwenden.
**`s3:ListAllMyBuckets`**
ermöglicht beim Erstellen und Aktualisieren von Verteilungen die Durchführung der folgenden Operationen:
+ Anzeigen einer Liste von S3-Buckets in der Liste der verfügbaren Ursprünge
+ Anzeigen einer Liste von S3-Buckets, in denen Sie die Zugriffsprotokolle speichern können
Diese Berechtigung ist nicht erforderlich, wenn Sie die CloudFront Konsole nicht verwenden.
**`S3:PutBucketPolicy`**
Wenn Sie Verteilungen erstellen oder aktualisieren, die den Zugriff auf S3-Buckets beschränken, kann der Benutzer die Bucket-Richtlinie so aktualisieren, mit Zugriff auf die CloudFront-Ursprungszugriffsidentität gewährt wird. Weitere Informationen finden Sie unter [Verwenden einer Ursprungszugriffsidentität (Legacy, nicht empfohlen)](private-content-restricting-access-to-s3.md#private-content-restricting-access-to-s3-oai).
Diese Berechtigung ist nicht erforderlich, wenn Sie die CloudFront Konsole nicht verwenden.
**`sns:ListSubscriptionsByTopic` und `sns:ListTopics`**
Wenn Sie CloudWatch Alarme in der CloudFront Konsole erstellen, können Sie ein SNS-Thema für Benachrichtigungen auswählen.
Diese Berechtigungen sind nicht erforderlich, wenn Sie die CloudFront-Konsole nicht verwenden.
**`waf:GetWebACL` und `waf:ListWebACLs`**
Ermöglicht das Anzeigen einer Liste von AWS WAF Websites ACLs in der CloudFront Konsole.
Diese Berechtigungen sind nicht erforderlich, wenn Sie die CloudFront-Konsole nicht verwenden.
### Aktionen für die Konsole, für die nur Zugriffsrechte erforderlich sind CloudFront
Auf der Seite [CloudFront Security Savings](https://console.aws.amazon.com//cloudfront/v3/home#/savings-bundle/overview) Bundle können Sie die folgenden CloudFront Aktionen ausführen. Die folgenden API-Aktionen sind nicht dafür vorgesehen, von Ihrem Code aufgerufen zu werden, und sind auch nicht im AWS CLI und enthalten AWS SDKs.
****
| Action | Description |
| --- | --- |
| `CreateSavingsPlan` | Gewährt die Berechtigung zum Erstellen eines neuen Savings Plan. |
| `GetSavingsPlan` | Gewährt die Berechtigung zum Abrufen eines Savings Plan. |
| `ListRateCards` | Erteilt die Erlaubnis, CloudFront Preiskarten für das Konto aufzulisten. |
| `ListSavingsPlans` | Gewährt die Berechtigung zum Auflisten von Savings Plans im Konto. |
| `ListUsages` | Erteilt die Erlaubnis, die CloudFront Nutzung aufzulisten. |
| `UpdateSavingsPlan` | Gewährt die Berechtigung zum Aktualisieren eines Savings Plan. |
**Hinweise**
Weitere Informationen zu CloudFront Sparplänen finden Sie im Bereich CloudFront Sicherheitssparpaket [bei Amazon CloudFront FAQs](https://aws.amazon.com/cloudfront/faqs/).
Wenn Sie einen Sparplan für erstellen CloudFront und ihn später löschen möchten, wenden Sie sich an [AWS Support](https://console.aws.amazon.com/support/home#/case/create?issueType=customer-service).
## Beispiele für vom Kunden verwaltete Richtlinien
Sie können Ihre eigenen benutzerdefinierten IAM-Richtlinien erstellen, um Berechtigungen für CloudFront API-Aktionen zuzulassen. Die benutzerdefinierten Richtlinien können Sie dann den IAM-Benutzern oder -Gruppen zuweisen, welche die angegebenen Berechtigungen benötigen. Diese Richtlinien funktionieren, wenn Sie die CloudFront API AWS SDKs, die oder die AWS CLI verwenden. Die folgenden Beispiele zeigen Berechtigungen für einige häufige Anwendungsfälle. Informationen zu der Richtlinie, die einem Benutzer vollen Zugriff gewährt CloudFront, finden Sie unter[Für die Verwendung der CloudFront Konsole sind Berechtigungen erforderlich](#security_iam_id-based-policy-examples-console-required-permissions).
**Topics**
+ [Beispiel 1: Lesezugriff auf alle Verteilungen gewähren](#security_iam_id-based-policy-examples-allow-read-all-distributions)
+ [Beispiel 2: Erstellen, Aktualisieren und Löschen von Distributionen erlauben](#security_iam_id-based-policy-examples-allow-create-update-delete-distributions)
+ [Beispiel 3: Erstellen und Auflisten von Invalidierungen erlauben](#security_iam_id-based-policy-examples-allow-create-list-invalidations)
+ [Beispiel 4: Erlauben der Erstellung einer Distribution](#create-distribution-iam-policy)
### Beispiel 1: Lesezugriff auf alle Verteilungen gewähren
Die folgende Berechtigungsrichtlinie gewährt dem Benutzer die Berechtigung, alle Distributionen in der CloudFront Konsole anzuzeigen:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
### Beispiel 2: Erstellen, Aktualisieren und Löschen von Distributionen erlauben
Die folgende Berechtigungsrichtlinie ermöglicht es Benutzern, Distributionen mithilfe der Konsole zu erstellen, zu aktualisieren und zu löschen: CloudFront
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:CreateDistribution",
"cloudfront:DeleteDistribution",
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:UpdateDistribution",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets",
"s3:PutBucketPolicy"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
Die `cloudfront:ListCloudFrontOriginAccessIdentities`-Berechtigung erlaubt es Benutzern, automatisch einer vorhandenen Ursprungszugriffsidentität die Berechtigung für den Zugriff auf Objekte in einem Amazon S3-Bucket zu erteilen. Wenn Sie außerdem möchten, dass Benutzer Ursprungszugriffsidentitäten erstellen können, müssen Sie auch die `cloudfront:CreateCloudFrontOriginAccessIdentity`-Berechtigung erteilen.
### Beispiel 3: Erstellen und Auflisten von Invalidierungen erlauben
Die folgende Berechtigungsrichtlinie erlaubt Benutzern, Invalidierungen zu erstellen und aufzulisten. Sie beinhaltet Lesezugriff auf CloudFront Distributionen, da Sie Invalidierungen erstellen und anzeigen, indem Sie zuerst die Einstellungen für eine Distribution anzeigen:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:GetDistribution",
"cloudfront:GetStreamingDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"cloudfront:CreateInvalidation",
"cloudfront:GetInvalidation",
"cloudfront:ListInvalidations",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
### Beispiel 4: Erlauben der Erstellung einer Distribution
Die folgende Berechtigungsrichtlinie gewährt dem Benutzer die Berechtigung, Distributionen in der Konsole zu erstellen und aufzulisten. CloudFront Geben Sie für die Aktion `CreateDistribution` das Platzhalterzeichen (\$1) für `Resource` und nicht für den Distribution-ARN (`arn:aws:cloudfront::123456789012:distribution/*`) an. Weitere Informationen zum `Resource`-Element finden Sie unter [IAM-JSON-Richtlinienelemente: Ressource](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html) im *IAM-Benutzerhandbuch*.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "cloudfront:CreateDistribution",
"Resource": "*"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "cloudfront:ListDistributions",
"Resource": "*"
}
]
}
```
------
# AWS verwaltete Richtlinien für Amazon CloudFront
Um Benutzern, Gruppen und Rollen Berechtigungen hinzuzufügen, ist es einfacher, AWS verwaltete Richtlinien zu verwenden, als Richtlinien selbst zu schreiben. Es erfordert Zeit und Fachwissen, um [von Kunden verwaltete IAM-Richtlinien zu erstellen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html), die Ihren Benutzern nur die benötigten Berechtigungen bieten. Um schnell loszulegen, können Sie unsere AWS verwalteten Richtlinien verwenden. Diese Richtlinien decken allgemeine Anwendungsfälle ab und sind in Ihrem AWS-Konto verfügbar. Weitere Informationen zu AWS verwalteten Richtlinien finden Sie im *IAM-Benutzerhandbuch* unter [AWS Verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies).
AWS Dienste verwalten und aktualisieren AWS verwaltete Richtlinien. Sie können die Berechtigungen in AWS verwalteten Richtlinien nicht ändern. Services fügen einer von AWS verwalteten Richtlinien gelegentlich zusätzliche Berechtigungen hinzu, um neue Features zu unterstützen. Diese Art von Update betrifft alle Identitäten (Benutzer, Gruppen und Rollen), an welche die Richtlinie angehängt ist. Services aktualisieren eine von AWS verwaltete Richtlinie am ehesten, wenn eine neue Funktion gestartet wird oder neue Berechtigungen verfügbar werden. Dienste entfernen keine Berechtigungen aus einer AWS verwalteten Richtlinie, sodass durch Richtlinienaktualisierungen Ihre bestehenden Berechtigungen nicht beeinträchtigt werden.
AWS Unterstützt außerdem verwaltete Richtlinien für Jobfunktionen, die sich über mehrere Dienste erstrecken. Die **ReadOnlyAccess** AWS verwaltete Richtlinie bietet beispielsweise schreibgeschützten Zugriff auf alle AWS Dienste und Ressourcen. Wenn ein Dienst eine neue Funktion startet, werden nur Leseberechtigungen für neue Operationen und Ressourcen AWS hinzugefügt. Eine Liste und Beschreibungen der Richtlinien für Auftragsfunktionen finden Sie in [Verwaltete AWS -Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Leitfaden*.
**Topics**
+ [AWS verwaltete Richtlinie: CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only)
+ [AWS verwaltete Richtlinie: CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access)
+ [AWS verwaltete Richtlinie: AWSCloud FrontLogger](#security-iam-awsmanpol-cloudfront-logger)
+ [AWS verwaltete Richtlinie: AWSLambda Replicator](#security-iam-awsmanpol-lambda-replicator)
+ [AWS verwaltete Richtlinie: Front AWSCloud VPCOrigin ServiceRolePolicy](#security-iam-awsmanpol-vpc-origin)
+ [CloudFront Aktualisierungen AWS verwalteter Richtlinien](#security-iam-awsmanpol-updates)
## AWS verwaltete Richtlinie: CloudFrontReadOnlyAccess
Sie können die **CloudFrontReadOnlyAccess**-Richtlinie an Ihre IAM-Identitäten anfügen. Diese Richtlinie ermöglicht nur Leseberechtigungen für Ressourcen. CloudFront Sie ermöglicht auch Nur-Leseberechtigungen für andere AWS Dienstressourcen, die sich auf die Konsole beziehen CloudFront und in der Konsole sichtbar sind. CloudFront
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen.
+ `cloudfront:Describe*`— Ermöglicht Prinzipalen das Abrufen von Informationen über Metadaten zu Ressourcen. CloudFront
+ `cloudfront:Get*`— Ermöglicht Prinzipalen, detaillierte Informationen und Konfigurationen für CloudFront Ressourcen abzurufen.
+ `cloudfront:List*`— Ermöglicht Prinzipalen das Abrufen von Ressourcenlisten. CloudFront
+ `cloudfront-keyvaluestore:Describe*` – Ermöglicht es Prinzipalen, Informationen über den Schlüsselwertspeicher abzurufen.
+ `cloudfront-keyvaluestore:Get*` – Ermöglicht es Prinzipalen, detaillierte Informationen und Konfigurationen für den Schlüsselwertspeicher abzurufen.
+ `cloudfront-keyvaluestore:List*` – Ermöglicht es Prinzipalen, eine Liste der Schlüsselwertspeicher abzurufen.
+ `acm:DescribeCertificate` – Ermöglicht es Prinzipalen, Details über ein ACM-Zertifikat abzurufen.
+ `acm:ListCertificates` – Ermöglicht es Prinzipalen, eine Liste von ACM-Zertifikaten abzurufen.
+ `iam:ListServerCertificates` – Ermöglicht es Prinzipalen, eine Liste der in IAM gespeicherten Serverzertifikate abzurufen.
+ `route53:List*` – Ermöglicht es Prinzipalen, Listen von Route 53-Ressourcen abzurufen.
+ `waf:ListWebACLs`— Ermöglicht es Prinzipalen, eine Liste der eingegebenen Websites ACLs abzurufen. AWS WAF
+ `waf:GetWebACL`— Ermöglicht es Prinzipalen, detaillierte Informationen über das Web ACLs in abzurufen. AWS WAF
+ `wafv2:ListWebACLs`— Ermöglicht es Prinzipalen, eine Liste der eingegebenen Websites ACLs abzurufen. AWS WAF
+ `wafv2:GetWebACL`— Ermöglicht es Prinzipalen, detaillierte Informationen über das Web ACLs in abzurufen. AWS WAF
+ `pricingplanmanager:GetSubscription`— Ermöglicht Prinzipalen nur Lesezugriff, um Details zu Preisplanabonnements abzurufen.
+ `pricingplanmanager:ListSubscriptions`— Ermöglicht Prinzipalen den Lesezugriff auf Abonnements mit Listenpreisen.
+ `ec2:DescribeIpamPools`— Ermöglicht Prinzipalen, detaillierte Informationen zu Ihren IPAM-Pools abzurufen.
+ `ec2:GetIpamPoolCidrs`— Ermöglicht Prinzipalen, die CIDRs bereitgestellten Daten in einen IPAM-Pool zu übertragen.
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [CloudFrontReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudFrontReadOnlyAccess.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
## AWS verwaltete Richtlinie: CloudFrontFullAccess
Sie können die **CloudFrontFullAccess**-Richtlinie an Ihre IAM-Identitäten anfügen. Diese Richtlinie ermöglicht Administratorberechtigungen für CloudFront Ressourcen. Sie ermöglicht auch Nur-Leseberechtigungen für andere AWS Dienstressourcen, die sich auf die Konsole beziehen CloudFront und in der CloudFront Konsole sichtbar sind.
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen.
+ `s3:ListAllMyBuckets` – Ermöglicht es Prinzipalen, eine Liste aller Amazon S3 Buckets abzurufen.
+ `acm:DescribeCertificate` – Ermöglicht es Prinzipalen, Details über ein ACM-Zertifikat abzurufen.
+ `acm:ListCertificates` – Ermöglicht es Prinzipalen, eine Liste von ACM-Zertifikaten abzurufen.
+ `acm:RequestCertificate` – Ermöglicht es Prinzipalen, verwaltete Zertifikate von ACM anzufordern.
+ `cloudfront:*`— Ermöglicht Prinzipalen, alle Aktionen für alle Ressourcen auszuführen. CloudFront
+ `cloudfront-keyvaluestore:*` – Ermöglicht es Prinzipalen, alle Aktionen im Schlüsselwertspeicher durchzuführen.
+ `iam:ListServerCertificates` – Ermöglicht es Prinzipalen, eine Liste der in IAM gespeicherten Serverzertifikate abzurufen.
+ `waf:ListWebACLs`— Ermöglicht es Prinzipalen, eine Liste der eingegebenen Websites ACLs abzurufen. AWS WAF
+ `waf:GetWebACL`— Ermöglicht es Prinzipalen, detaillierte Informationen über das Web ACLs in abzurufen. AWS WAF
+ `waf:CreateWebACLs`— Ermöglicht Prinzipalen das Erstellen einer Web-ACL in. AWS WAF
+ `wafv2:ListWebACLs`— Ermöglicht Prinzipalen das Abrufen einer Liste von ACLs Webeingängen. AWS WAF
+ `wafv2:GetWebACL`— Ermöglicht es Prinzipalen, detaillierte Informationen über das Web ACLs in abzurufen. AWS WAF
+ `kinesis:ListStreams` – Ermöglicht Prinzipalen das Abrufen einer Liste von Amazon Kinesis Streams.
+ `elasticloadbalancing:DescribeLoadBalancers` – Ermöglicht es Prinzipalen, detaillierte Informationen über Load Balancer in Elastic Load Balancing abzurufen.
+ `kinesis:DescribeStream` – Ermöglicht Prinzipalen das Abrufen detaillierter Informationen zu einem Kinesis Stream.
+ `iam:ListRoles` – Erlaubt Prinzipalen das Abrufen einer Liste von Rollen in IAM.
+ `pricingplanmanager:AssociateResourcesToSubscription`- Ermöglicht Prinzipalen, Ressourcen einem Abonnement zuzuordnen. Dadurch können die Ressourcen durch den Preisplan des Abonnements abgedeckt werden.
+ `pricingplanmanager:CancelSubscription`- Ermöglicht Principals, ein bestehendes Abonnement zu kündigen.
+ `pricingplanmanager:CancelSubscriptionChange`- Ermöglicht Prinzipalen, eine ausstehende Änderung an einem bestehenden Abonnement, z. B. ein Plan-Upgrade, zu stornieren, bevor die Änderung übernommen wird.
+ `pricingplanmanager:CreateSubscription`- Ermöglicht Prinzipalen, ein Abonnement für einen Preisplan zu erstellen.
+ `pricingplanmanager:DisassociateResourcesFromSubscription`- Ermöglicht Prinzipalen, die Zuordnung zwischen Ressourcen und einem bestehenden Abonnement aufzuheben.
+ `pricingplanmanager:UpdateSubscription`- Ermöglicht Prinzipalen, ein bestehendes Abonnement zu ändern, z. B. den Preisplan zu ändern.
+ `pricingplanmanager:GetSubscription`— Ermöglicht Prinzipalen nur Lesezugriff, um Details zu Preisplanabonnements abzurufen.
+ `pricingplanmanager:ListSubscriptions`— Ermöglicht Prinzipalen den Lesezugriff auf Abonnements mit Listenpreisen.
+ `ec2:DescribeInstances`- Ermöglicht Principals, detaillierte Informationen zu Instances in Amazon EC2 zu erhalten.
+ `ec2:DescribeInternetGateways`- Ermöglicht Principals, detaillierte Informationen über Internet-Gateways bei Amazon zu erhalten. EC2
+ `ec2:DescribeIpamPools`— Ermöglicht Prinzipalen, detaillierte Informationen über Ihre IPAM-Pools zu erhalten.
+ `ec2:GetIpamPoolCidrs`— Ermöglicht Prinzipalen, die CIDRs bereitgestellten Daten in einen IPAM-Pool zu übertragen.
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [CloudFrontFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudFrontFullAccess.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
**Wichtig**
Wenn Sie Zugriffsprotokolle erstellen und speichern CloudFront möchten, müssen Sie zusätzliche Berechtigungen erteilen. Weitere Informationen finden Sie unter [Berechtigungen](standard-logging-legacy-s3.md#AccessLogsBucketAndFileOwnership).
## AWS verwaltete Richtlinie: AWSCloud FrontLogger
Sie können die **AWSCloudFrontLogger**Richtlinie nicht an Ihre IAM-Identitäten anhängen. Diese Richtlinie ist mit einer dienstbezogenen Rolle verknüpft, mit der Sie Aktionen CloudFront in Ihrem Namen ausführen können. Weitere Informationen finden Sie unter [Serviceverknüpfte Rollen für Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Diese Richtlinie ermöglicht es CloudFront , Protokolldateien an Amazon zu übertragen CloudWatch. Details zu Berechtigungen dieser Richtlinie finden Sie unter [Berechtigungen für dienstverknüpfte Rollen für den Logger CloudFront](lambda-edge-permissions.md#slr-permissions-cloudfront-logger).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSCloudFrontLogger](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudFrontLogger.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
## AWS verwaltete Richtlinie: AWSLambda Replicator
Sie können die **AWSLambdaReplicator-Richtlinie** nicht an Ihre IAM-Identitäten anhängen. Diese Richtlinie ist mit einer dienstbezogenen Rolle verknüpft, die es ermöglicht, Aktionen CloudFront in Ihrem Namen durchzuführen. Weitere Informationen finden Sie unter [Serviceverknüpfte Rollen für Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Diese Richtlinie ermöglicht das Erstellen CloudFront , Löschen und Deaktivieren von Funktionen, AWS Lambda auf die Lambda @Edge -Funktionen repliziert werden sollen. AWS-Regionen Details zu Berechtigungen dieser Richtlinie finden Sie unter [Serviceverknüpfte Rollenberechtigungen für Lambda Replicator](lambda-edge-permissions.md#slr-permissions-lambda-replicator).
Die Berechtigungen für diese Richtlinie finden Sie unter [AWSLambdaReplicator](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaReplicator.html) in der Referenz für *AWS verwaltete* Richtlinien.
## AWS verwaltete Richtlinie: Front AWSCloud VPCOrigin ServiceRolePolicy
Sie können die **AWSCloudVPCOriginServiceRolePolicyFront-Richtlinie** nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist mit einer dienstbezogenen Rolle verknüpft, mit der Sie Aktionen CloudFront in Ihrem Namen ausführen können. Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für CloudFront](using-service-linked-roles.md).
Diese Richtlinie ermöglicht CloudFront die Verwaltung EC2 elastischer Netzwerkschnittstellen und Sicherheitsgruppen in Ihrem Namen. Details zu Berechtigungen dieser Richtlinie finden Sie unter [Dienstbezogene Rollenberechtigungen für CloudFront VPC Origins](using-service-linked-roles.md#slr-permissions).
Die Berechtigungen für diese Richtlinie finden Sie unter [AWSCloudFront VPCOrigin ServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudFrontVPCOriginServiceRolePolicy.html) in der *Referenz für AWS verwaltete Richtlinien*.
## CloudFront Aktualisierungen AWS verwalteter Richtlinien
Hier finden Sie Informationen zu Aktualisierungen AWS verwalteter Richtlinien, die CloudFront seit Beginn der Nachverfolgung dieser Änderungen durch diesen Dienst vorgenommen wurden. Abonnieren Sie den RSS-Feed auf der Seite CloudFront [Dokumentenverlauf](WhatsNew.md), um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.
| Änderungen | Beschreibung | Date |
| --- | --- | --- |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) – Aktualisierung auf eine bestehende Richtlinie | CloudFront neue Berechtigungen für Amazon hinzugefügt EC2. Die neuen Berechtigungen ermöglichen es Prinzipalen, die `ec2:GetIpamPoolCidrs` Aktionen `ec2:DescribeIpamPools` und zu verwenden. | 24. November 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access) – Aktualisierung auf eine bestehende Richtlinie | CloudFront neue Berechtigungen für Amazon hinzugefügt EC2. Die neuen Berechtigungen ermöglichen es Prinzipalen, die `ec2:GetIpamPoolCidrs` Aktionen `ec2:DescribeIpamPools` und zu verwenden. | 24. November 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access) – Aktualisierung auf eine bestehende Richtlinie | CloudFront hat eine neue Berechtigung zum Erstellen einer AWS WAF ACL-Ressource hinzugefügt und dem AWS Pricing Plan Manager Berechtigungen zum Erstellen, Aktualisieren, Löschen und Lesen hinzugefügt. | 18. November 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access) – Aktualisierung auf eine bestehende Richtlinie | CloudFront hat eine neue Berechtigung zum Erstellen einer AWS WAF ACL-Ressource hinzugefügt und dem AWS Pricing Plan Manager Berechtigungen zum Erstellen, Aktualisieren, Löschen und Lesen hinzugefügt. | 18. November 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) – Aktualisierung auf eine bestehende Richtlinie | CloudFront neue Berechtigungen für den Nur-Lese-Zugriff auf den AWS Pricing Plan Manager hinzugefügt. | 18. November 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) – Aktualisierung auf eine bestehende Richtlinie | CloudFront neue Berechtigungen für den Nur-Lese-Zugriff auf den AWS Pricing Plan Manager hinzugefügt. | 18. November 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) – Aktualisierung auf eine bestehende Richtlinie | CloudFront neue Erlaubnis für ACM hinzugefügt. Diese neue Berechtigung ermöglicht es Prinzipalen, Details zu einem ACM-Zertifikat abzurufen. | 28. April 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access) – Aktualisierung auf eine bestehende Richtlinie | CloudFront neue Berechtigungen für ACM hinzugefügt. Diese neuen Berechtigungen ermöglichen es Prinzipalen, Details zu einem ACM-Zertifikat abzurufen und ein verwaltetes Zertifikat von ACM anzufordern. | 28. April 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access) – Aktualisierung auf eine bestehende Richtlinie | CloudFront neue Berechtigungen für Amazon EC2 und Elastic Load Balancing hinzugefügt. Die neuen Berechtigungen ermöglichen es CloudFront , detaillierte Informationen über Load Balancer in Elastic Load Balancing und Instances und Internet-Gateways in Amazon abzurufen. EC2 | 20. November 2024 |
| [AWSCloudVorderseite VPCOrigin ServiceRolePolicy — Neue](#security-iam-awsmanpol-vpc-origin) Richtlinie | CloudFront hat eine neue Richtlinie hinzugefügt. Diese Richtlinie ermöglicht CloudFront die Verwaltung EC2 elastischer Netzwerkschnittstellen und Sicherheitsgruppen in Ihrem Namen. | 20. November 2024 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) und [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access) – Update von zwei vorhandenen Richtlinien. | CloudFront neue Berechtigungen für Key-Value-Stores hinzugefügt. Die neuen Berechtigungen ermöglichen es Benutzern, Informationen über Schlüsselwertspeicher abzurufen und entsprechende Maßnahmen zu ergreifen. | 19. Dezember 2023 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) – Aktualisierung auf eine bestehende Richtlinie | CloudFront hat eine neue Berechtigung zur Beschreibung von CloudFront Funktionen hinzugefügt. Diese Berechtigung ermöglicht es dem Benutzer, der Gruppe oder der Rolle, Informationen und Metadaten zu einer Funktion zu lesen, nicht jedoch den Code der Funktion. | 8. September 2021 |
| CloudFront hat begonnen, Änderungen zu verfolgen | CloudFront hat begonnen, Änderungen für die AWS verwalteten Richtlinien zu verfolgen. | 8. September 2021 |
# Verwenden von serviceverknüpften Rollen für CloudFront
Amazon CloudFront verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte Rollen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role). Eine serviceverknüpfte Rolle ist eine einzigartige Art von IAM-Rolle, mit der direkt verknüpft ist. CloudFront Mit Diensten verknüpfte Rollen sind vordefiniert CloudFront und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.
Eine dienstbezogene Rolle CloudFront erleichtert die Einrichtung, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. CloudFront definiert die Berechtigungen ihrer dienstbezogenen Rollen und CloudFront kann, sofern nicht anders definiert, nur ihre Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.
Sie können eine serviceverknüpfte Rolle erst löschen, nachdem ihre verwandten Ressourcen gelöscht wurden. Dadurch werden Ihre CloudFront Ressourcen geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können.
**Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen, finden Sie unter [AWS Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Spalte Dienstverknüpfte Rollen nach den Diensten, für die **Ja steht**.** Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.
## Dienstbezogene Rollenberechtigungen für CloudFront VPC Origins
CloudFront VPC Origins verwendet die serviceverknüpfte Rolle mit dem Namen **AWSServiceRoleForCloudFrontVPCOrigin**— Ermöglicht CloudFront die Verwaltung EC2 elastischer Netzwerkschnittstellen und Sicherheitsgruppen in Ihrem Namen.
Die serviceverknüpfte Rolle AWSServiceRoleForCloudFrontVPCOrigin vertraut darauf, dass die folgenden Services die Rolle annehmen:
+ `vpcorigin.cloudfront.amazonaws.com`
Die Rollenberechtigungsrichtlinie mit dem Namen AWSCloud Front VPCOrigin ServiceRolePolicy ermöglicht es CloudFront VPC Origins, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:
+ Aktion: `ec2:CreateNetworkInterface` für `arn:aws:ec2:*:*:network-interface/*`
+ Aktion: `ec2:CreateNetworkInterface` für `arn:aws:ec2:*:*:subnet/*` und `arn:aws:ec2:*:*:security-group/*`
+ Aktion: `ec2:CreateSecurityGroup` für `arn:aws:ec2:*:*:security-group/*`
+ Aktion: `ec2:CreateSecurityGroup` für `arn:aws:ec2:*:*:vpc/*`
+ Aktion: `ec2:ModifyNetworkInterfaceAttribute`, `ec2:DeleteNetworkInterface`, `ec2:DeleteSecurityGroup`, `ec2:AssignIpv6Addresses` und `ec2:UnassignIpv6Addresses` für `supported AWS resources that have the aws:ResourceTag/aws.cloudfront.vpcorigin tag enabled`
+ Aktion: `ec2:DescribeNetworkInterfaces`, `ec2:DescribeSecurityGroups`, `ec2:DescribeInstances`, `ec2:DescribeInternetGateways`, `ec2:DescribeSubnets`, `ec2:DescribeRegions` und `ec2:DescribeAddresses` für `all AWS resources that the actions support`
+ Aktion: `ec2:CreateTags` und `arn:aws:ec2:*:*:security-group/*` für `arn:aws:ec2:*:*:network-interface/*`
+ Aktion: `elasticloadbalancing:DescribeLoadBalancers`, `elasticloadbalancing:DescribeListeners` und `elasticloadbalancing:DescribeTargetGroups` für `all AWS resources that the actions support`
Sie müssen Berechtigungen konfigurieren, damit eine Benutzer, Gruppen oder Rollen eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen können. Weitere Informationen finden Sie unter [serviceverknüpfte Rollenberechtigung](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*.
## Eine serviceverknüpfte Rolle für CloudFront VPC Origins erstellen
Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie einen VPC-Ursprung in der AWS-Managementkonsole, der oder der AWS API erstellen AWS CLI, erstellt CloudFront VPC Origins die serviceverknüpfte Rolle für Sie.
Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie einen VPC-Ursprung erstellen, erstellt CloudFront VPC Origins die serviceverknüpfte Rolle erneut für Sie.
## Eine serviceverknüpfte Rolle für CloudFront VPC Origins bearbeiten
CloudFront In VPC Origins können Sie die AWSServiceRoleForCloudFrontVPCOrigin serviceverknüpfte Rolle nicht bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
## Löschen Sie eine serviceverknüpfte Rolle für CloudFront VPC Origins
Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpften Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.
**Anmerkung**
Wenn der CloudFront Dienst die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.
**Um CloudFront VPC Origins-Ressourcen zu löschen, die von AWSServiceRoleForCloudFrontVPCOrigin**
+ Löschen Sie die VPC-Ursprungsressourcen in Ihrem Konto.
+ Es kann einige Zeit dauern CloudFront , bis das Löschen der Ressourcen aus Ihrem Konto abgeschlossen ist. Wenn Sie die serviceverknüpfte Rolle nicht sofort löschen können, warten Sie und versuchen Sie es erneut.
**So löschen Sie die serviceverknüpfte Rolle mit IAM**
Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die AWSServiceRoleForCloudFrontVPCOrigin serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Benutzerhandbuch*.
## Unterstützte Regionen für serviceverknüpfte Rollen mit CloudFront VPC Origins
CloudFront VPC Origins unterstützt nicht die Verwendung von serviceverknüpften Rollen in allen Regionen, in denen der Service verfügbar ist. Sie können die Rolle AWSServiceRoleForCloudFrontVPCOrigin in den folgenden Regionen verwenden.
| Name der Region | Regions-ID | Support in CloudFront |
| --- | --- | --- |
| USA Ost (Nord-Virginia) | us-east-1 | Ja |
| USA Ost (Ohio) | us-east-2 | Ja |
| USA West (Nordkalifornien) | us-west-1 (außer AZ usw1-az2) | Ja |
| USA West (Oregon) | us-west-2 | Ja |
| Afrika (Kapstadt) | af-south-1 | Ja |
| Asien-Pazifik (Hongkong) | ap-east-1 | Ja |
| Asien-Pazifik (Jakarta) | ap-southeast-3 | Ja |
| Asien-Pazifik (Melbourne) | ap-southeast-4 | Ja |
| Asien-Pazifik (Mumbai) | ap-south-1 | Ja |
| Asien-Pazifik (Hyderabad) | ap-south-2 | Ja |
| Asien-Pazifik (Osaka) | ap-northeast-3 | Ja |
| Asien-Pazifik (Seoul) | ap-northeast-2 | Ja |
| Asien-Pazifik (Singapore) | ap-southeast-1 | Ja |
| Asien-Pazifik (Sydney) | ap-southeast-2 | Ja |
| Asien-Pazifik (Tokyo) | ap-northeast-1 (außer AZ apne1-az3) | Ja |
| Kanada (Zentral) | ca-central-1 (außer AZ cac1-az3) | Ja |
| Kanada West (Calgary) | ca-west-1 | Ja |
| Europa (Frankfurt) | eu-central-1 | Ja |
| Europa (Ireland) | eu-west-1 | Ja |
| Europa (London) | eu-west-2 | Ja |
| Europa (Milan) | eu-south-1 | Ja |
| Europa (Paris) | eu-west-3 | Ja |
| Europa (Spain) | eu-south-2 | Ja |
| Europa (Stockholm) | eu-north-1 | Ja |
| Europa (Zürich) | eu-central-2 | Ja |
| Israel (Tel Aviv) | il-central-1 | Ja |
| Naher Osten (Bahrain) | me-south-1 | Ja |
| Naher Osten (VAE) | me-central-1 | Ja |
| Südamerika (São Paulo) | sa-east-1 | Ja |
# Fehlerbehebung bei CloudFront Amazon-Identität und -Zugriff
Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit CloudFront und IAM auftreten können.
**Topics**
+ [Ich bin nicht berechtigt, eine Aktion durchzuführen in CloudFront](#security_iam_troubleshoot-no-permissions)
+ [Ich bin nicht berechtigt, iam auszuführen: PassRole](#security_iam_troubleshoot-passrole)
+ [Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine CloudFront Ressourcen ermöglichen](#security_iam_troubleshoot-cross-account-access)
## Ich bin nicht berechtigt, eine Aktion durchzuführen in CloudFront
Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können.
Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer `mateojackson` versucht, über die Konsole Details zu einer fiktiven `my-example-widget`-Ressource anzuzeigen, jedoch nicht über `cloudfront:GetWidget`-Berechtigungen verfügt.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudfront:GetWidget on resource: my-example-widget
```
In diesem Fall muss die Richtlinie für den Benutzer `mateojackson` aktualisiert werden, damit er mit der `cloudfront:GetWidget`-Aktion auf die `my-example-widget`-Ressource zugreifen kann.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
## Ich bin nicht berechtigt, iam auszuführen: PassRole
Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zum Durchführen der `iam:PassRole`-Aktion autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an CloudFront übergeben zu können.
Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.
Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in CloudFront auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
## Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine CloudFront Ressourcen ermöglichen
Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.
Weitere Informationen dazu finden Sie hier:
+ Informationen darüber, ob diese Funktionen CloudFront unterstützt werden, finden Sie unter. [So CloudFront arbeitet Amazon mit IAM](security_iam_service-with-iam.md)
+ *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen gewähren können, AWS-Konten die Ihnen gehören, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs auf einen IAM-Benutzer in einem anderen AWS-Konto , den Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).*
+ Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html).
+ Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*.
+ Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
# Protokollierung und Überwachung in Amazon CloudFront
Die Überwachung ist ein wichtiger Bestandteil der Aufrechterhaltung der Verfügbarkeit CloudFront und Leistung Ihrer AWS Lösungen. Sie sollten Überwachungsdaten aus allen Teilen Ihrer AWS Lösung sammeln, damit Sie einen etwaigen Ausfall an mehreren Stellen leichter debuggen können. AWS bietet verschiedene Tools zur Überwachung Ihrer CloudFront Ressourcen und Aktivitäten sowie zur Reaktion auf potenzielle Vorfälle:
** CloudWatch Amazon-Alarme**
Mithilfe von CloudWatch Alarmen beobachten Sie eine einzelne Metrik über einen von Ihnen festgelegten Zeitraum. Wenn die Metrik einen bestimmten Schwellenwert überschreitet, wird eine Benachrichtigung an ein Amazon SNS SNS-Thema oder eine AWS Auto Scaling Richtlinie gesendet. CloudWatch Alarme lösen keine Aktionen aus, wenn sich eine Metrik in einem bestimmten Status befindet. Der Status muss sich stattdessen geändert haben und für eine festgelegte Anzahl an Zeiträumen aufrechterhalten worden sein.
Weitere Informationen finden Sie unter [Überwachen von CloudFront-Metriken mit Amazon CloudWatch](monitoring-using-cloudwatch.md).
**AWS CloudTrail Logs**
CloudTrail bietet eine Aufzeichnung der API-Aktionen, die von einem Benutzer, einer Rolle oder einem AWS Dienst in ausgeführt wurden CloudFront. Anhand der von gesammelten Informationen können Sie die API-Anfrage ermitteln CloudTrail, an die die Anfrage gestellt wurde CloudFront, die IP-Adresse, von der aus die Anfrage gestellt wurde, wer die Anfrage gestellt hat, wann sie gestellt wurde, und weitere Details.
Weitere Informationen finden Sie unter [Protokollieren von API-Aufrufen in Amazon CloudFront mit AWS CloudTrail](logging_using_cloudtrail.md).
**CloudFront Standardprotokolle und Zugriffsprotokolle in Echtzeit**
CloudFront Protokolle enthalten detaillierte Aufzeichnungen über Anfragen, die an eine Distribution gestellt werden. Diese Protokolle sind für viele Anwendungen nützlich. Beispielsweise können Protokollinformationen bei Sicherheits- und Zugriffsprüfungen nützlich sein.
Weitere Informationen erhalten Sie unter [Zugriffsprotokolle (Standardprotokolle)](AccessLogs.md) und [Erstellen und verwenden Sie Konfigurationen für Echtzeit-Zugriffsprotokolle](real-time-logs.md#create-real-time-log-config).
**Protokolle für Edge-Funktionen**
Von Edge-Funktionen generierte Protokolle, sowohl CloudFront Functions als auch Lambda @Edge, werden direkt an Amazon CloudWatch Logs gesendet und nirgends von CloudFront gespeichert. CloudFront Functions verwendet eine [dienstbezogene AWS Identity and Access Management (IAM) -Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role), um von Kunden generierte Protokolle direkt an Logs in Ihrem Konto zu CloudWatch senden.
Weitere Informationen finden Sie unter [Protokolle für Edge-Funktionen](edge-functions-logs.md).
**CloudFront Konsolenberichte**
Die CloudFront Konsole enthält eine Vielzahl von Berichten, darunter den Cache-Statistikbericht, den Bericht über beliebte Objekte und den Bericht mit den häufigsten Verweisen. Die meisten CloudFront Konsolenberichte basieren auf den Daten in den CloudFront Zugriffsprotokollen, die detaillierte Informationen über jede eingehende Benutzeranfrage enthalten CloudFront . Sie müssen Zugriffsprotokolle nicht aktivieren, um die Berichte anzeigen zu können.
Weitere Informationen finden Sie unter [Anzeigen der CloudFront-Berichte in der Konsole](reports.md).
# Konformitätsvalidierung für Amazon CloudFront
Externe Prüfer bewerten die Sicherheit und Konformität von Amazon im CloudFront Rahmen mehrerer AWS Compliance-Programme. Zu diesen Programmen gehören SOC, PCI, HIPAA und andere.
Eine Liste der AWS Services im Rahmen bestimmter Compliance-Programme finden Sie unter [AWS Services im Umfang nach Compliance-Programmen](https://aws.amazon.com/compliance/services-in-scope/). Allgemeine Informationen finden Sie unter [AWS -Compliance-Programme](https://aws.amazon.com/compliance/programs/).
Sie können Prüfberichte von Drittanbietern unter herunterladen AWS Artifact. Weitere Informationen finden Sie unter [Berichte herunterladen in AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html).
Ihre Verantwortung für die Einhaltung der Vorschriften bei der Nutzung CloudFront hängt von der Vertraulichkeit Ihrer Daten, den Compliance-Zielen Ihres Unternehmens und den geltenden Gesetzen und Vorschriften ab. AWS stellt die folgenden Ressourcen zur Verfügung, die Sie bei der Einhaltung der Vorschriften unterstützen:
+ [Schnellstartanleitungen zu Sicherheit und Compliance](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance) — In diesen Bereitstellungsleitfäden werden architektonische Überlegungen erörtert und Schritte für die Implementierung von Umgebungen beschrieben, auf denen auf Sicherheit und Compliance ausgerichtete Basisumgebungen eingerichtet werden. AWS
+ [Architektur für HIPAA-Sicherheit und -Compliance am AWS](https://docs.aws.amazon.com/whitepapers/latest/architecting-hipaa-security-and-compliance-on-aws/architecting-hipaa-security-and-compliance-on-aws.html) — In diesem Whitepaper wird beschrieben, wie Unternehmen HIPAA-konforme Anwendungen entwickeln können. AWS
Das AWS HIPAA-Compliance-Programm umfasst CloudFront (mit Ausnahme der Bereitstellung von Inhalten über Embedded) einen HIPAA-fähigen Service. CloudFront POPs Wenn Sie einen Business Associate Addendum (BAA) abgeschlossen haben AWS, können Sie ihn (mit Ausnahme der Inhaltsbereitstellung über CloudFront Embedded POPs) verwenden, um Inhalte bereitzustellen, die geschützte Gesundheitsinformationen CloudFront (PHI) enthalten. Weitere Informationen finden Sie unter [HIPAA-Compliance](https://aws.amazon.com/compliance/hipaa-compliance/).
+ [AWS Ressourcen zur Einhaltung](https://aws.amazon.com/compliance/resources/) von Vorschriften — Diese Sammlung von Arbeitsmappen und Leitfäden kann auf Ihre Branche und Ihren Standort zutreffen.
+ [AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html)— Dieser AWS Service bewertet, wie gut Ihre Ressourcenkonfigurationen den internen Praktiken, Branchenrichtlinien und Vorschriften entsprechen.
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html)— Dieser AWS Service nutzt Sicherheitskontrollen, um Ressourcenkonfigurationen und Sicherheitsstandards zu bewerten und Sie bei der Einhaltung verschiedener Compliance-Rahmenbedingungen zu unterstützen. Weitere Informationen zur Verwendung von Security Hub CSPM zur Bewertung von CloudFront Ressourcen finden Sie unter [Amazon CloudFront Controls](https://docs.aws.amazon.com/securityhub/latest/userguide/cloudfront-controls.html) im *AWS Security Hub CSPM Benutzerhandbuch*.
## CloudFront Bewährte Verfahren zur Einhaltung
In diesem Abschnitt finden Sie bewährte Verfahren und Empfehlungen zur Einhaltung der Vorschriften, wenn Sie Amazon für CloudFront die Bereitstellung Ihrer Inhalte verwenden.
Wenn Sie PCI-konforme oder HIPAA-konforme Workloads ausführen, die auf dem [Modell der AWS gemeinsamen Verantwortung](https://aws.amazon.com/compliance/shared-responsibility-model/) basieren, empfehlen wir Ihnen, Ihre CloudFront Nutzungsdaten der letzten 365 Tage für future Prüfzwecke zu protokollieren. Sie können Nutzungsdaten wie folgt protokollieren:
+ Aktivieren CloudFront Sie die Zugriffsprotokolle. Weitere Informationen finden Sie unter [Zugriffsprotokolle (Standardprotokolle)](AccessLogs.md).
+ Erfassen Sie Anfragen, die an die CloudFront API gesendet werden. Weitere Informationen finden Sie unter [Protokollieren von API-Aufrufen in Amazon CloudFront mit AWS CloudTrail](logging_using_cloudtrail.md).
Darüber hinaus finden Sie im Folgenden Einzelheiten zur Konformität mit den PCI-DSS- und SOC-Standards. CloudFront
### Payment Card Industry Data Security Standard (PCI DSS)
CloudFront (mit Ausnahme der Inhaltsbereitstellung über CloudFront Embedded POPs) unterstützt die Verarbeitung, Speicherung und Übertragung von Kreditkartendaten durch einen Händler oder Dienstanbieter und wurde als konform mit dem Payment Card Industry (PCI) Data Security Standard (DSS) validiert. Weitere Informationen zu PCI DSS, einschließlich der Möglichkeit, eine Kopie des AWS PCI Compliance Package anzufordern, finden Sie unter [PCI DSS Level 1.](https://aws.amazon.com/compliance/pci-dss-level-1-faqs/)
Aus Sicherheitsgründen empfehlen wir, Kreditkarteninformationen nicht in CloudFront Edge-Caches zwischenzuspeichern. Sie können Ihren Absender beispielsweise so konfigurieren, dass Antworten, die Kreditkarteninformationen enthalten, wie z. B. die letzten vier Ziffern einer Kreditkartennummer und die Kontaktinformationen des Karteninhabers, eine `Cache-Control:no-cache="` *field-name* `"` Kopfzeile enthalten.
### System and Organization Controls (SOC)
CloudFront (mit Ausnahme der Bereitstellung von Inhalten über CloudFront Embedded POPs) entspricht den Maßnahmen zur System- und Organisationskontrolle (SOC), einschließlich SOC 1, SOC 2 und SOC 3. SOC-Berichte sind unabhängige Prüfungsberichte von Drittanbietern, die belegen, wie wichtige Compliance-Kontrollen und -Ziele AWS erreicht werden. Diese Audits stellen sicher, dass geeignete Sicherheitsmaßnahmen und Verfahren zum Schutz vor Beeinträchtigungen von Sicherheit, Vertraulichkeit und Verfügbarkeit von Kunden- und Unternehmensdaten vorhanden sind. Die Ergebnisse dieser Prüfungen durch Dritte sind auf der [AWS SOC-Compliance-Website](https://aws.amazon.com/compliance/soc-faqs/) verfügbar. Dort finden Sie in den veröffentlichten Berichten weitere Informationen zu den Kontrollen, die den AWS Betrieb und die Einhaltung der Vorschriften unterstützen.
# Ausfallsicherheit in Amazon CloudFront
Im Zentrum der globalen AWS-Infrastruktur stehen die AWS-Regionen und Availability Zones (Verfügbarkeitszonen, AZs). AWS Regionen stellen mehrere physisch getrennte und isolierte Availability Zones bereit, die mit Netzwerken mit geringer Latenz, hohem Durchsatz und hochredundanten Vernetzungen verbunden sind. Mithilfe von Availability Zones können Sie Anwendungen und Datenbanken erstellen und ausführen, die automatisch Failover zwischen Availability Zones ausführen, ohne dass es zu Unterbrechungen kommt. Availability Zones sind besser hoch verfügbar, fehlertoleranter und skalierbarer als herkömmliche Infrastrukturen mit einem oder mehreren Rechenzentren.
Weitere Informationen über AWS-Regionen und -Availability Zones finden Sie unter [AWS Globale Infrastruktur](https://aws.amazon.com/about-aws/global-infrastructure/).
## Origin Failover in CloudFront
Neben der Unterstützung der globalen AWS-Infrastruktur bietet Amazon CloudFront die Funktion Origin Failover, um Ihren Anforderungen an die Datenresilienz gerecht zu werden. CloudFront ist ein globaler Service, der Ihre Inhalte über ein weltweites Netzwerk von Rechenzentren bereitstellt, die als *Edge-Standorte* oder *Points of Presence* (POP) bezeichnet werden. Wenn Ihre Inhalte nicht bereits an einem Edge-Standort zwischengespeichert sind, ruft CloudFront sie aus einem Ursprungs-Server ab, den Sie als Quelle für die definitive Version des Inhalts identifiziert haben.
Sie können die Ausfallsicherheit und Verfügbarkeit für bestimmte Szenarien erhöhen, indem Sie CloudFront mit einem Origin Failover einrichten. Erstellen Sie zuerst eine Ursprungsgruppe, in der Sie einen primären Ursprung plus einen zweiten Ursprung für CloudFront festlegen. CloudFront wechselt automatisch zum zweiten Ursprung, wenn der primäre Ursprung bestimmte HTTP-Statuscode-Fehlerantworten ausgibt. Weitere Informationen finden Sie unter [Optimieren der Hochverfügbarkeit mit CloudFront Origin Failover](high_availability_origin_failover.md).
# Sicherheit der Infrastruktur in Amazon CloudFront
Als verwalteter Service ist Amazon CloudFront durch die globale Netzwerksicherheit von AWS geschützt. Informationen zu AWS-Sicherheitsservices und wie AWS die Infrastruktur schützt, finden Sie unter [AWS-Cloud-Sicherheit](https://aws.amazon.com/security/). Informationen zum Entwerfen Ihrer AWS-Umgebung anhand der bewährten Methoden für die Infrastruktursicherheit finden Sie unter [Infrastrukturschutz](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) im *Security Pillar AWS Well‐Architected Framework*.
Sie verwenden von AWS veröffentlichte API-Aufrufe, um über das Netzwerk auf CloudFront zuzugreifen. Kunden müssen Folgendes unterstützen:
+ Transport Layer Security (TLS). Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
+ Verschlüsselungs-Suiten mit Perfect Forward Secrecy (PFS) wie DHE (Ephemeral Diffie-Hellman) oder ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). Die meisten modernen Systeme wie Java 7 und höher unterstützen diese Modi.
CloudFront Functions nutzt eine hochsichere Isolationsbarriere zwischen AWS-Konten, um sicherzustellen, dass Kundenumgebungen vor Side-Channel-Angriffen wie Spectre und Meltdown geschützt sind. Funktionen können nicht auf Daten anderer Kunden zugreifen oder diese ändern. Funktionen werden in einem dedizierten Single-Thread-Prozess auf einer dedizierten CPU ohne Hyperthreading ausgeführt In jedem bestimmten CloudFront Edge Location Point of Presence (POP) bedient CloudFront Functions jeweils nur einen Kunden, und alle kundenspezifischen Daten werden zwischen Funktionsausführungen gelöscht.