Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Auswertungslogik für Richtlinien

Wenn ein Principal versucht, das zu verwenden AWS Management Console, der AWS API, oder der AWS CLI, dieser Schulleiter sendet eine Anfrage an AWS. Wann ein AWS der Dienst erhält die Anfrage, AWS führt mehrere Schritte durch, um festzustellen, ob die Anfrage zugelassen oder abgelehnt werden soll.

Verarbeitung des Anforderungskontexts

AWS verarbeitet die Anfrage, um die folgenden Informationen in einem Anforderungskontext zu sammeln:

AWS verwendet diese Informationen dann, um Richtlinien zu finden, die für den Anforderungskontext gelten.

Auswerten von Richtlinien in einem einzelnen Konto

Wie AWS Die Bewertung von Richtlinien hängt von den Arten von Richtlinien ab, die für den Anforderungskontext gelten. Die folgenden Richtlinientypen, in der Reihenfolge ihrer Häufigkeit aufgeführt, können innerhalb einer einzigen Richtlinie verwendet werden AWS-Konto. Weitere Informationen zu diesen Richtlinientypen finden Sie unterRichtlinien und Berechtigungen in AWS Identity and Access Management. Um zu erfahren, wie AWS bewertet Richtlinien für den kontoübergreifenden Zugriff, siehe. Logik für die kontenübergreifende Richtlinienauswertung

Denken Sie daran, dass eine explizite Zugriffsverweigerung in all diesen Richtlinien eine Zugriffserlaubnis überschreibt.

Auswerten identitätsbasierter Richtlinien mit ressourcenbasierten Richtlinien

Identitätsbasierte Richtlinien und ressourcenbasierte Richtlinien erteilen Identitäten oder Ressourcen, an die sie angefügt sind, Berechtigungen. Wenn eine IAM Entität (Benutzer oder Rolle) Zugriff auf eine Ressource innerhalb desselben Kontos anfordert, AWS bewertet alle Berechtigungen, die durch die identitäts- und ressourcenbasierten Richtlinien gewährt wurden. Die so entstehenden Berechtigungen ergeben sich aus den gesamten Berechtigungen der beiden Typen. Wenn eine Aktion durch eine identitätsbasierte Richtlinie, eine ressourcenbasierte Richtlinie oder beides zulässig ist, dann AWS erlaubt die Aktion. Eine explizite Zugriffsverweigerung in einer der beiden Richtlinien überschreibt die Zugriffserlaubnis.

Auswerten von identitätsbasierten Richtlinien mit Berechtigungsgrenzen

Wann AWS bewertet die identitätsbasierten Richtlinien und die Berechtigungsgrenzen für einen Benutzer. Die daraus resultierenden Berechtigungen stellen die Schnittmenge der beiden Kategorien dar. Das heißt, wenn Sie einem Benutzer mit bestehenden identitätsbasierten Richtlinien eine Berechtigungsgrenze hinzufügen, reduzieren Sie möglicherweise die Aktionen, die der Benutzer ausführen kann. Wenn Sie andererseits eine Berechtigungsgrenze von einem Benutzer entfernen, können Sie die Aktionen erweitern, die dieser ausführen kann. Eine explizite Zugriffsverweigerung in einer der beiden Richtlinien überschreibt die Zugriffserlaubnis. Informationen darüber, wie andere Richtlinientypen mit Berechtigungsgrenzen ausgewertet werden, finden Sie unter Auswerten von effektiven Berechtigungen mit Grenzen.

Evaluierung identitätsbasierter Richtlinien mit Organizations SCPs

Wenn ein Benutzer einem Konto angehört, das Mitglied einer Organisation ist, bilden die daraus resultierenden Berechtigungen die Schnittmenge zwischen den Richtlinien des Benutzers und den. SCP Das bedeutet, dass eine Aktion sowohl durch die identitätsbasierte Richtlinie als auch durch zugelassen werden muss. SCP Eine explizite Zugriffsverweigerung in einer der beiden Richtlinien überschreibt die Zugriffserlaubnis.

Ob Ihr Konto Mitglied einer Organisation ist, erfahren Sie in AWS Organizations. Mitglieder der Organisation könnten von einem betroffen seinSCP. Um diese Daten mit dem anzuzeigen AWS CLI Befehl oder AWS APIVorgang, Sie müssen über Berechtigungen für die organizations:DescribeOrganization Aktion für Ihre Organisationseinheit verfügen. Sie müssen über zusätzliche Berechtigungen verfügen, um die Operation in der Organizations-Konsole auszuführen. Um zu erfahren, ob an SCP den Zugriff auf eine bestimmte Anfrage verweigert, oder um Ihre aktuellen Berechtigungen zu ändern, wenden Sie sich an AWS Organizations Administrator.

Ermitteln, ob eine Anforderung innerhalb eines Kontos zugelassen oder verweigert wird

Gehen Sie davon aus, dass ein Principal eine Anfrage sendet an AWS um auf eine Ressource zuzugreifen, die sich in demselben Konto wie die Entität des Prinzipals befindet. Das Tool AWS Der Vollstreckungskodex entscheidet, ob der Antrag zugelassen oder abgelehnt werden soll. AWS bewertet alle Richtlinien, die für den Anforderungskontext gelten. Im Folgenden finden Sie eine Zusammenfassung der AWS Bewertungslogik für Richtlinien innerhalb eines einzigen Kontos.

Das folgende Flussdiagramm enthält einen Überblick über den Entscheidungsprozess. Dieses Flussdiagramm deckt nicht die Auswirkungen ressourcenbasierter Richtlinien und impliziter Ablehnungen in anderen Arten von Richtlinien ab.

Beispielauswertung identitätsbasierter Richtlinien und ressourcenbasierter Richtlinien

Die gebräuchlichsten Richtlinientypen sind identitätsbasierte Richtlinien und ressourcenbasierte Richtlinien. Wenn der Zugriff auf eine Ressource angefordert wird, AWS wertet alle Berechtigungen aus, die durch die Richtlinien für mindestens eine Option „Zulassen“ innerhalb desselben Kontos gewährt wurden. Eine explizite Zugriffsverweigerung in einer der Richtlinien setzt eine Zugriffserlaubnis außer Kraft.

Angenommen, Carlos hat den Benutzernamen carlossalazar, und er versucht, eine Datei im Amazon S3-Bucket amzn-s3-demo-bucket-carlossalazar-logs zu speichern.

Gehen Sie außerdem davon aus, dass die folgende Richtlinie an den carlossalazar IAM Benutzer angehängt ist.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3ListRead",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "AllowS3Self",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket-carlossalazar/*",
                "arn:aws:s3:::amzn-s3-demo-bucket-carlossalazar"
            ]
        },
        {
            "Sid": "DenyS3Logs",
            "Effect": "Deny",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::*log*"
        }
    ]
}

Die AllowS3ListRead -Anweisung in dieser Richtlinie erlaubt Carlos, eine Liste aller Buckets im Konto anzuzeigen. Die AllowS3Self-Anweisung erlaubt Carlos vollständigen Zugriff auf den Bucket mit demselben Namen wie seinem Benutzernamen. Die DenyS3Logs-Anweisung verweigert Carlos den Zugriff auf S3-Buckets mit der Zeichenfolge log im Namen.

Außerdem ist die folgende ressourcenbasierte Richtlinie (eine sogenannte Bucket-Richtlinie) dem Bucket amzn-s3-demo-bucket-carlossalazar zugeordnet.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/carlossalazar"
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket-carlossalazar/*",
                "arn:aws:s3:::amzn-s3-demo-bucket-carlossalazar"
            ]
        }
    ]
}

Diese Richtlinie gibt an, dass nur der Benutzer carlossalazar auf den Bucket amzn-s3-demo-bucket-carlossalazar zugreifen kann.

Wenn Carlos seine Anfrage stellt, eine Datei im amzn-s3-demo-bucket-carlossalazar-logs Bucket zu speichern, AWS bestimmt, welche Richtlinien für die Anfrage gelten. In diesem Fall gelten nur die identitätsbasierte Richtlinie und die ressourcenbasierte Richtlinie. Beides sind Berechtigungsrichtlinien. Da keine Berechtigungsgrenzen gelten, wird die Auswertungslogik auf die folgende Logik reduziert.

AWS sucht zunächst nach einer Deny Aussage, die für den Kontext der Anfrage gilt. Es findet einen, weil die identitätsbasierte Richtlinie Carlos explizit den Zugriff auf alle S3-Buckets verweigert, die für die Protokollierung verwendet werden. Carlos wird der Zugriff verweigert.

Gehen Sie davon aus, dass er dann seinen Fehler erkennt und versucht, die Datei im amzn-s3-demo-bucket-carlossalazar Bucket zu speichern. AWS sucht nach einer Deny Aussage und findet keine. Dann überprüft es die Berechtigungsrichtlinien. Sowohl die identitätsbasierte Richtlinie, als auch die ressourcenbasierte Richtlinie lassen die Anforderung zu. Deshalb AWS erlaubt die Anfrage. Hätte eine von ihnen die Anweisung ausdrücklich abgelehnt, wäre die Anforderung abgelehnt worden. Wenn einer der Richtlinientypen die Anforderung zulässt und der andere nicht, ist die Anforderung weiterhin zulässig.

Der Unterschied zwischen expliziten und impliziten Zugriffsverweigerungen

Eine Anforderung führt zu einer expliziten Zugriffsverweigerung, wenn eine anwendbare Richtlinie eine Deny-Anweisung enthält. Wenn Richtlinien, die auf eine Anforderung anwendbar sind, eine Allow-Anweisung und eine Deny-Anweisung enthalten, übersteuert die Deny -Anweisung die Allow -Anweisung. Die Anforderung wird abgelehnt.

Eine implizite Verweigerung tritt auf, wenn es keine entsprechende Deny-Anweisung, aber auch keine anwendbare Allow-Anweisung gibt. Da einem IAM Prinzipal standardmäßig der Zugriff verweigert wird, muss er ausdrücklich berechtigt sein, eine Aktion auszuführen. Andernfalls wird ihnen der Zugriff implizit verweigert.

Bei der Planung Ihrer Autorisierungsstrategie müssen Sie Richtlinien mit Allow-Anweisungen erstellen, um Ihren Auftraggeber zu gestatten, erfolgreich Anforderungen durchzuführen. Sie können jedoch eine beliebige Kombination von expliziten und impliziten Zugriffsverweigerungen wählen.

Sie können beispielsweise die folgende Richtlinie erstellen, die zulässige Aktionen, implizit verweigerte Aktionen und explizit verweigerte Aktionen enthält. Die AllowGetList Anweisung ermöglicht den schreibgeschützten Zugriff auf IAM Aktionen, die mit den Get Präfixen und beginnen. List Alle anderen Aktionen inIAM, z. B. iam:CreatePolicy werden implizit verweigert. Die DenyReports Anweisung verweigert ausdrücklich den Zugriff auf IAM Berichte, indem sie den Zugriff auf Aktionen verweigert, die das Report Suffix enthalten, wie z. iam:GetOrganizationsAccessReport Wenn jemand diesem Prinzipal eine weitere Richtlinie hinzufügt, um ihm Zugriff auf IAM Berichte zu gewähren, z. B.iam:GenerateCredentialReport, werden Anfragen im Zusammenhang mit Berichten aufgrund dieser ausdrücklichen Verweigerung trotzdem verweigert.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGetList",
            "Effect": "Allow",
            "Action": [
                "iam:Get*",
                "iam:List*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DenyReports",
            "Effect": "Deny",
            "Action": "iam:*Report",
            "Resource": "*"
        }
    ]
}