Bewährte Methoden für Root-Benutzer für Ihren AWS-Konto

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Wenn Sie ein Konto zum ersten Mal erstellen AWS-Konto, verwenden Sie zunächst einen Satz von Standardanmeldedaten mit vollständigem Zugriff auf alle AWS Ressourcen in Ihrem Konto. Diese Identität wird als AWS-Konto -Root-Benutzer bezeichnet. Wir empfehlen dringend, dass Sie nicht auf den AWS-Konto Root-Benutzer zugreifen, es sei denn, Sie haben eine Aufgabe, für die Root-Benutzeranmeldedaten erforderlich sind. Sie müssen Ihre Root-Benutzeranmeldeinformationen und die Mechanismen zur Kontowiederherstellung sichern, um sicherzustellen, dass Sie Ihre Anmeldeinformationen mit weitreichenden Berechtigungen nicht für unbefugte Zwecke preisgeben.

Für mehrere, über Organizations AWS-Konten verwaltete Organisationen empfehlen wir, die Root-Benutzeranmeldedaten aus den Mitgliedskonten zu entfernen, um eine unbefugte Nutzung zu verhindern. Sie können das Root-Benutzerpasswort, Zugriffsschlüssel und Signaturzertifikate entfernen sowie die Multi-Faktor-Authentifizierung (MFA) deaktivieren und löschen. Mitgliedskonten können sich nicht bei ihrem Root-Benutzer anmelden oder eine Passwortwiederherstellung für ihren Root-Benutzer durchführen. Weitere Informationen finden Sie unter Root-Zugriff für Mitgliedskonten zentral verwalten.

Anstatt auf den Root-Benutzer zuzugreifen, erstellen Sie einen Administratorbenutzer für alltägliche Aufgaben.

Mit Ihrem administrativen Benutzer können Sie dann zusätzliche Identitäten für Benutzer erstellen, die Zugriff auf Ressourcen in Ihrem AWS-Konto benötigen. Wir empfehlen dringend, dass Benutzer sich beim Zugriff mit temporären Anmeldeinformationen authentifizieren müssen. AWS

Schützen Sie Ihre Root-Benutzer-Anmeldedaten, um eine unbefugte Nutzung zu verhindern

Schützen Sie Ihre Root-Benutzeranmeldeinformationen und verwenden Sie sie nur für die Aufgaben, die sie erfordern. Um eine unbefugte Nutzung zu verhindern, geben Sie Ihr Root-Benutzerpasswort, Ihre MFA, Ihre Zugriffsschlüssel, CloudFront Schlüsselpaare oder Ihre Signaturzertifikate nicht an Dritte weiter, außer an Personen, die aus geschäftlichen Gründen auf den Root-Benutzer zugreifen müssen.

Speichern Sie das Root-Benutzerkennwort nicht zusammen mit Tools, die von AWS-Services einem Konto abhängen, auf das mit demselben Passwort zugegriffen wird. Wenn Sie Ihr Root-Benutzer-Passwort verlieren oder vergessen, können Sie nicht auf diese Tools zugreifen. Wir empfehlen Ihnen, der Ausfallsicherheit Priorität einzuräumen und zu erwägen, dass zwei oder mehr Personen den Zugriff auf den Speicherort autorisieren müssen. Der Zugriff auf das Passwort oder dessen Speicherort sollten protokolliert und überwacht werden.

Verwenden eines sicheren Root-Benutzerpassworts zum Schutz des Zugriffs

Es empfiehlt sich, ein sicheres und eindeutiges Passwort zu verwenden. Tools wie Passwort-Manager mit starken Algorithmen zur Passwortgenerierung können Ihnen dabei helfen, diese Ziele zu erreichen. AWS setzt voraus, dass Ihr Passwort die folgenden Bedingungen erfüllt:

Weitere Informationen finden Sie unter Ändern Sie das Passwort für Root-Benutzer des AWS-Kontos.

Sichern Ihren Stammbenutzeranmeldung mit Multi-Faktor-Authentifizierung (MFA)

Da ein Root-Benutzer privilegierte Aktionen ausführen kann, ist es wichtig, zusätzlich zur E-Mail-Adresse und dem Passwort als Anmeldedaten, dem Root-Benutzer MFA als zweiten Authentifizierungsfaktor hinzuzufügen. Sie können bis zu acht MFA-Geräte mit einer beliebigen Kombination der derzeit unterstützten MFA-Typen bei Ihrem AWS-Konto Root-Benutzer registrieren.

Wir empfehlen dringend, mehrere MFA-Geräte für Ihre Root-Benutzeranmeldedaten zu aktivieren, um Ihrer Sicherheitsstrategie zusätzliche Flexibilität und Stabilität zu verleihen. Für eigenständige Konten und Verwaltungskonten verlangt die Durchsetzung von MFA, dass Root-Benutzer MFA innerhalb von 35 Tagen nach ihrem ersten Anmeldeversuch registrieren müssen, sofern sie nicht bereits aktiviert ist. Für Mitgliedskonten ist die Einrichtung von MFA derzeit optional, die Durchsetzung ist jedoch für Frühjahr 2025 geplant, sodass eine MFA-Registrierung innerhalb von 35 Tagen erforderlich ist, um mit dem fortzufahren. AWS Management Console

Keine Zugriffsschlüssel für den Root-Benutzer erstellen

Mit Zugriffstasten können Sie Befehle in der AWS Befehlszeilenschnittstelle (AWS CLI) ausführen oder API-Operationen von einem der AWS SDKs aus verwenden. Es wird dringend empfohlen, keine Zugriffsschlüsselpaare für Ihren Root-Benutzer zu erstellen, da der Root-Benutzer vollen Zugriff auf alle AWS-Services Ressourcen im Konto hat, einschließlich der Rechnungsinformationen.

Da nur für wenige Aufgaben der Root-Benutzer erforderlich ist und Sie diese Aufgaben in der Regel selten ausführen, empfehlen wir, sich bei dem anzumelden, um Root-Benutzeraufgaben ausführen AWS Management Console zu können. Bevor Sie Zugriffsschlüssel erstellen, prüfen Sie die Alternativen zu Langzeit-Zugriffsschlüsseln.

Verwenden Sie nach Möglichkeit die Genehmigung mehrerer Personen für die Anmeldung als Root-Benutzer

Erwägen Sie, die Genehmigung durch mehrere Personen zu verwenden, um sicherzustellen, dass keine Person sowohl auf MFA als auch auf das Passwort für den Root-Benutzer zugreifen kann. Einige Unternehmen fügen eine zusätzliche Sicherheitsebene hinzu, indem sie eine Gruppe von Administratoren mit Zugriff auf das Passwort und eine weitere Gruppe von Administratoren mit Zugriff auf MFA einrichten. Ein Mitglied aus jeder Gruppe muss sich als Root-Benutzer anmelden.

Verwenden einer Gruppen-E-Mail-Adresse für Root-Benutzer-Anmeldeinformationen

Verwenden Sie eine E-Mail-Adresse, die von Ihrem Unternehmen verwaltet wird und empfangene Nachrichten direkt an eine Gruppe von Benutzern weiterleitet. Wenn Sie den Kontoinhaber kontaktieren AWS müssen, verringert dieser Ansatz das Risiko von Verzögerungen bei der Beantwortung, selbst wenn Personen im Urlaub sind, krank sind oder das Unternehmen verlassen haben. Die E-Mail-Adresse, die für den Root-Benutzer verwendet wird, sollte nicht für andere Zwecke verwendet werden.

Einschränken des Zugriffs auf Mechanismen zur Kontowiederherstellung

Stellen Sie sicher, dass Sie einen Prozess zur Verwaltung der Wiederherstellungsmechanismen für Root-Benutzer-Anmeldeinformationen entwickeln, für den Fall, dass Sie in Notfällen wie der Übernahme Ihres Administratorkontos darauf zugreifen müssen.

Niemand sollte Zugriff sowohl auf den E-Mail-Posteingang sowie auf die Telefonnummer haben, da es sich bei beiden um Bestätigungskanäle handelt, mit denen Sie Ihr Root-Benutzer-Passwort wiederherstellen können. Es ist wichtig, dass zwei Personengruppen diese Kanäle verwalten. Eine Gruppe sollte Zugriff auf Ihre primäre E-Mail-Adresse haben und eine andere Gruppe sollte Zugriff auf die primäre Telefonnummer haben, um den Zugriff auf Ihr Konto als Root-Benutzer wiederherzustellen.

Sichern von Root-Benutzer-Anmeldedaten für Ihr Unternehmenskonto

Wenn Sie bei Organizations zu einer Strategie mit mehreren Konten übergehen, AWS-Konten hat jedes Ihrer eigenen Root-Benutzeranmeldedaten, die Sie sichern müssen. Das Konto, mit dem Sie Ihre Organisation erstellen, ist das Verwaltungskonto, und die übrigen Konten in Ihrer Organisation sind Mitgliedskonten.

Sichere Root-Benutzeranmeldedaten für das Verwaltungskonto

AWS erfordert, dass Sie MFA für den Root-Benutzer des Verwaltungskontos Ihrer Organisation registrieren. Die MFA-Registrierung muss beim ersten Anmeldeversuch oder innerhalb der 35-tägigen Nachfrist abgeschlossen werden. Wenn MFA innerhalb dieser Zeit nicht aktiviert ist, ist eine Registrierung erforderlich, bevor Sie auf die AWS Management Console zugreifen können. Weitere Informationen finden Sie unter Multi-Faktor-Authentifizierung für Root-Benutzer des AWS-Kontos.

Sichern von Root-Benutzer-Anmeldeinformationen für Mitgliedskonten

Wenn Sie Organisationnen zur Verwaltung mehrerer Konten verwenden, gibt es zwei Strategien, die Sie anwenden können, um den Zugriff von Root-Benutzern in Ihren Organisationen zu sichern.

Einzelheiten finden Sie unter Zugreifen auf Mitgliedskonten in Ihrer Organisation im Organisationen-Benutzerhandbuch.

Einrichten von präventiven Sicherheitskontrollen in Organisationen mithilfe einer Service-Kontrollrichtlinie (SCP)

Wenn für die Mitgliedskonten in Ihrer Organisation Root-Benutzer-Anmeldeinformationen aktiviert sind, können Sie eine SCP anwenden, um den Zugriff auf den Root-Benutzer des Mitgliedskontos einzuschränken. Das Verweigern aller Root-Benutzeraktionen in Ihren Mitgliedskonten, mit Ausnahme bestimmter Root-Aktionen, trägt dazu bei, unbefugten Zugriff zu verhindern. Einzelheiten finden Sie unter Verwenden eines SCP zum Einschränken der Aktionen des Root-Benutzers in Ihren Mitgliedskonten.

Überwachung von Zugang und Nutzung

Wir empfehlen Ihnen, Ihre derzeitigen Nachverfolgungsmechanismen zu verwenden, um die Anmeldung und Nutzung von Anmeldeinformationen von Root-Benutzern zu überwachen, zu warnen und zu melden, einschließlich Warnungen, die die Anmeldung und Nutzung von Root-Benutzern ankündigen. Die folgenden Services können dazu beitragen, sicherzustellen, dass die Nutzung der Anmeldeinformationen des Root-Benutzers nachverfolgt wird, und Sicherheitsprüfungen durchzuführen, die dazu beitragen können, eine unbefugte Nutzung zu verhindern.

Die Warnmeldungen sollten unter anderem die E-Mail-Adresse des Root-Benutzers enthalten. Halten Sie Verfahren für die Reaktion auf Warnungen bereit, damit Mitarbeiter, die eine Warnung zum Root-Benutzerzugriff erhalten, verstehen, wie sie überprüfen können, ob Root-Benutzerzugriff erwartet wird, und wie sie eskalieren können, wenn sie glauben, dass ein Sicherheitsvorfall vorliegt. Ein Beispiel für die Konfiguration von Warnmeldungen finden Sie unter AWS-Konto Root-Benutzeraktivitäten überwachen und benachrichtigen.

Auswertung der MFA-Compliance von Root-Benutzern

Die folgenden Services können bei der Bewertung der MFA-Compliance für Root-Benutzer-Anmeldeinformationen helfen.

Wenn Sie ein Sicherheitsproblem in Ihrem Konto melden möchten, lesen Sie Verdächtige E-Mails melden oder Meldung von Schwachstellen. Alternativ können Sie sich an AWS wenden, um Unterstützung und zusätzliche Hilfestellung zu erhalten.