Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Generierung einer Richtlinie basierend auf der Zugriffsaktivität
Sie können die AWS CloudTrail für einen IAM-Benutzer oder eine IAM-Rolle aufgezeichnete Zugriffsaktivität verwenden, damit IAM Access Analyzer eine vom Kunden verwaltete Richtlinie generiert, die den Zugriff nur auf die Dienste ermöglicht, die bestimmte Benutzer und Rollen benötigen.
Wenn IAM Access Analyzer eine IAM-Richtlinie generiert, werden Informationen zurückgegeben, die Ihnen helfen, die Richtlinie weiter anzupassen. Bei der Generierung einer Richtlinie können zwei Kategorien von Informationen zurückgegeben werden:
+ **Richtlinie mit Informationen auf Aktionsebene —** Für einige AWS Services, wie Amazon EC2, kann IAM Access Analyzer die in Ihren CloudTrail Ereignissen gefundenen Aktionen identifizieren und die Aktionen auflisten, die in der generierten Richtlinie verwendet werden. Eine Liste der unterstützten Services finden Sie unter [IAM Access Analyzer Services zur Richtliniengenerierung](access-analyzer-policy-generation-action-last-accessed-support.md). Bei einigen Services fordert IAM Access Analyzer Sie auf, der generierten Richtlinie Aktionen für die Services hinzuzufügen.
+ **Richtlinie mit Informationen auf Serviceebene –** IAM Access Analyzer verwendet Informationen, auf die [zuletzt zugegriffen wurde](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_last-accessed.html), um eine Richtlinienvorlage mit allen kürzlich verwendeten Services zu erstellen. Wenn Sie die verwenden AWS-Managementkonsole, fordern wir Sie auf, die Services zu überprüfen und Aktionen hinzuzufügen, um die Richtlinie zu vervollständigen.
## So generieren Sie eine Richtlinie basierend auf der Zugriffsaktivität
Im folgenden Verfahren reduzieren wir die einer Rolle zugewiesenen Berechtigungen, damit sie der Nutzung durch einen Benutzer entsprechen. Wählen Sie bei der Benutzerauswahl einen Benutzer aus, dessen Verwendung die Rolle veranschaulicht. Viele Kunden richten Testbenutzerkonten mit **PowerUser**Berechtigungen ein und lassen sie dann für einen kurzen Zeitraum bestimmte Aufgaben ausführen, um festzustellen, welcher Zugriff zur Ausführung dieser Aufgaben erforderlich ist.
------
#### [ Console ]
1. Folgen Sie dem Anmeldeverfahren, das Ihrem Benutzertyp entspricht, wie im Abschnitt [So melden Sie sich bei AWS an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *AWS -Anmelde-Benutzerhandbuch* beschrieben.
1. Geben Sie auf der **Startseite der IAM-Konsole** im linken Navigationsbereich Ihre Abfrage in das Textfeld **IAM suchen** ein.
1. Wählen Sie im Navigationsbereich **Benutzer** und dann den Benutzernamen aus, um zur Seite mit den Benutzerdetails zu gelangen.
1. Wählen Sie auf der Registerkarte **Berechtigungen** unter Richtlinie basierend auf CloudTrail Ereignissen generieren die Option **Richtlinie generieren** aus.
1. Konfigurieren Sie auf der Seite **Richtlinie generieren** die folgenden Elemente:
+ Wählen Sie unter **Zeitraum auswählen** die Option **Letzte 7 Tage** aus.
+ Damit der **CloudTrail Trail analysiert werden kann**, wählen Sie die Region und den Trail aus, in dem die Aktivitäten dieses Benutzers aufgezeichnet wurden.
+ Wählen Sie **Neue Servicerolle erstellen und verwenden** aus.
1. Wählen Sie **Richtlinie generieren** aus und warten Sie, bis die Rolle erstellt ist. Aktualisieren Sie die Konsolenseite nicht und verlassen Sie sie nicht, bis die Benachrichtigung **Richtliniengenerierung in Bearbeitung** angezeigt wird.
1. Nachdem die Richtlinie erstellt wurde, müssen Sie sie überprüfen und nach Bedarf ARNs für das Konto IDs und die Ressourcen anpassen. Darüber hinaus enthält die automatisch generierte Richtlinie möglicherweise nicht die Informationen auf Aktionsebene, die zum Abschließen der Richtlinie erforderlich sind. Weitere Informationen finden Sie unter Generierung von [IAM Access Analyzer-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-generation.html).
Sie können beispielsweise die erste Anweisung bearbeiten, die den `Allow`-Effekt und das `NotAction`-Element enthält, um nur Amazon-EC2- und Amazon-S3-Aktionen zuzulassen. Um dies zu tun, ersetzen Sie sie mit der Anweisung mit der `FullAccessToSomeServices`-ID. Ihre neue Richtlinie könnte wie die folgende Beispielrichtlinie aussehen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "FullAccessToSomeServices",
"Effect": "Allow",
"Action": [
"ec2:*",
"s3:*"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole",
"iam:DeleteServiceLinkedRole",
"iam:ListRoles",
"organizations:DescribeOrganization"
],
"Resource": "*"
}
]
}
```
------
1. Überprüfen und korrigieren Sie alle Fehler, Warnungen oder Vorschläge, die während der [Richtlinienvalidierung](access_policies_policy-validator.md) zurückgegeben werden, um die bewährte Praxis der [Gewährung der geringsten Berechtigung](best-practices.md#grant-least-privilege) zu unterstützen.
1. **Wenn Sie die Berechtigungen Ihrer Richtlinien für bestimmte Aktionen und Ressourcen weiter einschränken möchten, können Sie sich Ihre Ereignisse im CloudTrail Eventverlauf ansehen.** Dort können Sie detaillierte Informationen zu den spezifischen Aktionen und Ressourcen einsehen, auf die Ihr Benutzer zugegriffen hat. Weitere Informationen finden Sie im *AWS CloudTrail Benutzerhandbuch* unter [ CloudTrail Ereignisse in der CloudTrail Konsole anzeigen](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events-console.html).
1. Nachdem Sie Ihre Richtlinie überprüft und validiert haben, speichern Sie sie unter einem aussagekräftigen Namen.
1. Navigieren Sie zur Seite **Rollen** und wählen Sie die Rolle aus, die Personen übernehmen, wenn sie die von Ihrer neuen Richtlinie zugelassenen Aufgaben ausführen.
1. Wählen Sie die Registerkarte **Berechtigungen**, dann **Berechtigungen hinzufügen** und anschließend **Richtlinien anfügen** aus.
1. Wählen Sie auf der Seite **Berechtigungsrichtlinien anfügen** in der Liste **Weitere Berechtigungsrichtlinien** die von Ihnen erstellte Richtlinie aus, und wählen Sie dann **Richtlinien anfügen** aus.
1. Sie kehren zur Seite mit den **Rollendetails** zurück. Der Rolle sind zwei Richtlinien zugeordnet, Ihre zuvor AWS verwaltete Richtlinie, z. B. **PowerUserAccess**, und Ihre neue Richtlinie. Aktivieren Sie das Kontrollkästchen für die AWS verwaltete Richtlinie und wählen Sie dann **Entfernen** aus. Wenn Sie aufgefordert werden, das Entfernen zu bestätigen, wählen Sie **Entfernen** aus.
IAM-Benutzer, SAML- und OICD-Verbundprinzipale und Workloads, die diese Rolle annehmen, verfügen jetzt gemäß der neuen Richtlinie, die Sie erstellt haben, über eingeschränkten Zugriff.
------
#### [ AWS CLI ]
Sie können die folgenden Befehle verwenden, um eine Richtlinie mit AWS CLI zu generieren.
**Erstellen einer Richtlinie**
+ [aws accessanalyzer start-policy-generation](https://docs.aws.amazon.com/cli/latest/reference/accessanalyzer/start-policy-generation.html)
**Anzeigen einer generierten Richtlinie**
+ [als Accessanalyzer get-generated-policy](https://docs.aws.amazon.com/cli/latest/reference/accessanalyzer/get-generated-policy.html)
**Stornieren einer Anforderung zur Richtliniengenerierung**
+ [als Accessanalyzer cancel-policy-generation](https://docs.aws.amazon.com/cli/latest/reference/accessanalyzer/cancel-policy-generation.html)
**Anzeigen einer Liste von Anforderungen zur Richtliniengenerierung**
+ [als Accessanalyzer list-policy-generations](https://docs.aws.amazon.com/cli/latest/reference/accessanalyzer/list-policy-generations.html)
------
#### [ API ]
Sie können die folgenden Vorgänge verwenden, um eine Richtlinie mithilfe der AWS -API zu generieren.
**Erstellen einer Richtlinie**
+ [StartPolicyGeneration](https://docs.aws.amazon.com/access-analyzer/latest/APIReference/API_StartPolicyGeneration.html)
**Anzeigen einer generierten Richtlinie**
+ [GetGeneratedPolicy](https://docs.aws.amazon.com/access-analyzer/latest/APIReference/API_GetGeneratedPolicy.html)
**Stornieren einer Anforderung zur Richtliniengenerierung**
+ [CancelPolicyGeneration](https://docs.aws.amazon.com/access-analyzer/latest/APIReference/API_CancelPolicyGeneration.html)
**Anzeigen einer Liste von Anforderungen zur Richtliniengenerierung**
+ [ListPolicyGenerations](https://docs.aws.amazon.com/access-analyzer/latest/APIReference/API_ListPolicyGenerations.html)
------