Amazon Monitron steht neuen Kunden nicht mehr offen. Bestandskunden können den Service weiterhin wie gewohnt nutzen. Funktionen, die denen von Amazon Monitron ähneln, finden Sie in unserem [ Blogbeitrag. ](https://aws.amazon.com/blogs/machine-learning/maintain-access-and-consider-alternatives-for-amazon-monitron) Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Wie Amazon Monitron mit IAM funktioniert Bevor Sie IAM verwenden, um den Zugriff auf Amazon Monitron zu verwalten, sollten Sie wissen, welche IAM-Funktionen für Amazon Monitron verfügbar sind. Einen allgemeinen Überblick darüber, wie Amazon Monitron und andere AWS Dienste mit IAM arbeiten, finden Sie im IAM-Benutzerhandbuch unter [AWS Services, die mit ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) IAM funktionieren. * * **Topics** + [Richtlinien von Amazon Monitron Identity-Based](#security_iam_service-with-iam-id-based-policies) + [Richtlinien von Amazon Monitron Resource-Based](#security_iam_service-with-iam-resource-based-policies) + [Autorisierung auf der Grundlage von Amazon Monitron-Tags](#security_iam_service-with-iam-tags) + [Amazon Monitor IAM-Rollen](#security_iam_service-with-iam-roles) + [Beispiele für Amazon Monitron-Richtlinien Identity-Based](#security_iam_id-based-policy-examples) + [Fehlerbehebung bei Amazon Monitron Identity and Access](#security_iam_troubleshoot) ## Richtlinien von Amazon Monitron Identity-Based Verwenden Sie identitätsbasierte IAM-Richtlinien, um zulässige oder verweigerte Aktionen und Ressourcen sowie die Bedingungen anzugeben, unter denen Aktionen zulässig oder verweigert werden. Amazon Monitron unterstützt bestimmte Aktionen, Ressourcen und Bedingungsschlüssel. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*. **Topics** + [Aktionen](#security_iam_service-with-iam-id-based-policies-actions) + [Ressourcen](#security_iam_service-with-iam-id-based-policies-resources) + [Bedingungsschlüssel](#security_iam_service-with-iam-id-based-policies-conditionkeys) + [Beispiele](#security_iam_service-with-iam-id-based-policies-examples) ### Aktionen Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu gewähren. In Amazon Monitron verwenden Richtlinienaktionen vor der Aktion das folgende Präfix:`monitron:`. Um beispielsweise jemandem die Erlaubnis zu erteilen, ein Projekt mit dem Amazon `CreateProject` Monitron-Vorgang zu erstellen, nehmen Sie die `monitron:CreateProject` Aktion in seine Richtlinie auf. Richtlinienanweisungen müssen entweder ein – `Action`oder ein `NotAction`-Element enthalten. Amazon Monitron definiert seine eigenen Aktionen, die Aufgaben beschreiben, die Sie mit diesem Service ausführen können. **Anmerkung** Für den `deleteProject` Vorgang benötigen Sie die AWS IAM Identity Center (SSO-) Berechtigungen zum Löschen. Ohne diese Berechtigungen entfernt die Löschfunktion das Projekt trotzdem. Die Ressourcen werden dabei jedoch nicht aus SSO entfernt, und es kann sein, dass Verweise auf SSO verloren gehen. Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie wie folgt durch Kommata: ``` "Action": [ "monitron:action1", "monitron:action2" ] ``` Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `List` beginnen, einschließlich der folgenden Aktion: ``` "Action": "monitron:List*" ``` ### Ressourcen Amazon Monitron unterstützt nicht die Angabe von Ressourcen-ARNs in einer Richtlinie. ### Bedingungsschlüssel Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Alle AWS globalen Bedingungsschlüssel finden Sie unter [AWS Globale Bedingungskontextschlüssel ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im * IAM-Benutzerhandbuch*. Amazon Monitron definiert seinen eigenen Satz von Bedingungsschlüsseln und unterstützt auch die Verwendung einiger globaler Bedingungsschlüssel. Eine Liste aller AWS globalen Bedingungsschlüssel finden Sie unter [AWS Globale Bedingungskontextschlüssel ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im * IAM-Benutzerhandbuch. * Eine Liste der Amazon Monitron-Bedingungsschlüssel finden Sie [ im * IAM-Benutzerhandbuch unter Von Amazon Monitron definierte*](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmonitron.html#amazonmonitron-actions-as-permissions) Aktionen. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [ Bedingungsschlüssel für Amazon Monitron. ](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmonitron.html#amazonmonitron-policy-keys) ### Beispiele Beispiele für identitätsbasierte Richtlinien von Amazon Monitron finden Sie unter. [Beispiele für Amazon Monitron-Richtlinien Identity-Based](#security_iam_id-based-policy-examples) ## Richtlinien von Amazon Monitron Resource-Based Amazon Monitron unterstützt keine ressourcenbasierten Richtlinien. ## Autorisierung auf der Grundlage von Amazon Monitron-Tags Sie können Tags bestimmten Typen von Amazon Monitron-Ressourcen zur Autorisierung zuordnen. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie Tag-Informationen im [ Bedingungselement einer Richtlinie mithilfe ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) der `aws:TagKeys` Bedingungsschlüssel`Amazon Monitron:TagResource/${TagKey}`,`aws:RequestTag/${TagKey}`, oder Condition ein. ## Amazon Monitor IAM-Rollen Eine [ IAM-Rolle ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) ist eine Entität in Ihrem AWS Konto, die über bestimmte Berechtigungen verfügt. ### Verwendung temporärer Anmeldeinformationen mit Amazon Monitron Sie können temporäre Anmeldeinformationen verwenden, um sich mit dem Verbund anzumelden, eine IAM-Rolle zu übernehmen oder eine kontoübergreifende Rolle zu übernehmen. Sie erhalten temporäre Sicherheitsanmeldeinformationen, indem Sie AWS STS API-Operationen wie [ AssumeRole ](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) oder [ GetFederationToken ](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) aufrufen. Amazon Monitron unterstützt die Verwendung temporärer Anmeldeinformationen. ### Service-Linked Rollen [Service-linked Rollen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) ermöglichen es AWS Diensten, auf Ressourcen in anderen Diensten zuzugreifen, um eine Aktion in Ihrem Namen durchzuführen. Service-linked Rollen werden in Ihrem IAM-Konto angezeigt und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für serviceverknüpfte Rollen anzeigen, aber nicht bearbeiten. Amazon Monitron unterstützt serviceverknüpfte Rollen. ### Servicerollen Dieses Feature ermöglicht einem Service das Annehmen einer [Servicerolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) in Ihrem Namen. Diese Rolle gewährt dem Service Zugriff auf Ressourcen in anderen Diensten, um eine Aktion in Ihrem Namen auszuführen. Servicerollen werden in Ihrem IAM-Konto angezeigt und gehören zum Konto. Dies bedeutet, dass ein IAM-Administrator die Berechtigungen für diese Rolle ändern kann. Dies kann jedoch die Funktionalität des Dienstes beeinträchtigen. Amazon Monitron unterstützt Servicerollen. ## Beispiele für Amazon Monitron-Richtlinien Identity-Based Standardmäßig sind IAM-Benutzer und -Rollen nicht berechtigt, Amazon Monitron-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mit dem ausführen. AWS-Managementkonsole Ein IAM-Administrator muss den IAM-Benutzern, -Gruppen oder -Rollen, für die sie erforderlich sind, Berechtigungen erteilen. Dann können diese Benutzer, Gruppen oder Rollen die spezifischen Operationen mit den angegebenen Ressourcen ausführen, die sie benötigen. Der Administrator muss diese Richtlinien anschließend den IAM-Benutzern oder -Gruppen anfügen, die diese Berechtigungen benötigen. Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von Richtlinien auf der JSON-Registerkarte](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) im *IAM-Benutzerhandbuch*. **Topics** + [Bewährte Methoden für Richtlinien](#security_iam_service-with-iam-policy-best-practices) + [Verwenden der Amazon Monitron Console](#security_iam_id-based-policy-examples-console) + [Beispiel: Alle Amazon Monitron-Projekte auflisten](#security_iam_id-based-policy-examples-access-one-bucket) + [Beispiel: Amazon Monitron-Projekte anhand von Stichwörtern auflisten](#security_iam_id-based-policy-examples-view-widget-tags) ### Bewährte Methoden für Richtlinien Identity-based Richtlinien legen fest, ob jemand Amazon Monitron-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn Sie identitätsbasierte Richtlinien erstellen oder bearbeiten, folgen Sie diesen Richtlinien und Empfehlungen: + **Beginnen Sie mit AWS verwalteten Richtlinien und wechseln Sie zu Berechtigungen mit den geringsten Rechten ** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um Ihren Benutzern und Workloads zunächst Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*. + **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*. + **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese im Rahmen einer bestimmten Aktion verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*. + **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*. + **Mehrstufige Authentifizierung (MFA) erforderlich ** — Wenn Sie ein Szenario haben, in dem IAM-Benutzer oder ein Root-Benutzer in Ihrem System erforderlich sind AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*. Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*. ### Verwenden der Amazon Monitron Console Um Amazon Monitron mithilfe der Konsole einzurichten, schließen Sie den ersten Einrichtungsvorgang mit einem Benutzer mit hohen Rechten ab (z. B. einem Benutzer, dem die `AdministratorAccess` verwaltete Richtlinie angehängt ist). Um nach der Ersteinrichtung auf die Amazon Monitron-Konsole für den täglichen Betrieb zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Amazon Monitron-Ressourcen in Ihrem AWS Konto aufzulisten und einzusehen, und sie müssen eine Reihe von Berechtigungen für IAM Identity Center beinhalten. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die restriktiver ist als diese erforderlichen Mindestberechtigungen, funktioniert die Konsole für Entitäten (IAM-Benutzer oder -Rollen) mit dieser Richtlinie nicht wie vorgesehen. Für grundlegende Funktionen der Amazon Monitron Console müssen Sie die verwaltete Richtlinie anhängen. `AmazonMonitronFullAccess` Je nach den Umständen benötigen Sie möglicherweise auch zusätzliche Berechtigungen für den Dienst Organizations and SSO. Wenden Sie sich an den AWS Support, wenn Sie weitere Informationen benötigen. ### Beispiel: Alle Amazon Monitron-Projekte auflisten Diese Beispielrichtlinie gewährt einem IAM-Benutzer in Ihrem AWS Konto die Erlaubnis, alle Projekte in Ihrem Konto aufzulisten. ### Beispiel: Amazon Monitron-Projekte anhand von Stichwörtern auflisten Sie können Bedingungen in Ihrer identitätsbasierten Richtlinie verwenden, um den Zugriff auf Amazon Monitron-Ressourcen anhand von Stichwörtern zu kontrollieren. Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen können, die das Auflisten von Projekten ermöglicht. Die Erlaubnis wird jedoch nur erteilt, wenn das Projekt-Tag den Wert von `location` hat`Seattle`. Diese Richtlinie gewährt auch die Berechtigungen, die für die Ausführung dieser Aktion auf der Konsole erforderlich sind. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ListProjectsInConsole", "Effect": "Allow", "Action": "monitron:ListProjects", "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/location": "Seattle" } } } ] } ``` ------ Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*. ## Fehlerbehebung bei Amazon Monitron Identity and Access Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit Amazon Monitron und IAM auftreten können. **Topics** + [Ich bin nicht berechtigt, eine Aktion in Amazon Monitron auszuführen](#security_iam_troubleshoot-no-permissions) + [Ich möchte Personen außerhalb von mir zulassen AWS Konto für den Zugriff auf meine Amazon Monitron-Ressourcen](#security_iam_troubleshoot-cross-account-access) ### Ich bin nicht berechtigt, eine Aktion in Amazon Monitron auszuführen Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können. Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer `mateojackson` versucht, über die Konsole Details zu einer fiktiven `{{my-example-widget}}`-Ressource anzuzeigen, jedoch nicht über `monitron:{{GetWidget}}`-Berechtigungen verfügt. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: monitron:{{GetWidget}} on resource: {{my-example-widget}} ``` In diesem Fall muss die Richtlinie für den Benutzer `mateojackson` aktualisiert werden, damit er mit der `monitron:{{GetWidget}}`-Aktion auf die `{{my-example-widget}}`-Ressource zugreifen kann. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ### Ich möchte Personen außerhalb von mir zulassen AWS Konto für den Zugriff auf meine Amazon Monitron-Ressourcen Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Im Fall von Diensten, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (Access Control Lists, ACLs) verwenden, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren. Weitere Informationen dazu finden Sie hier: + Informationen darüber, ob Amazon Monitron diese Funktionen unterstützt, finden Sie unter[Wie Amazon Monitron mit IAM funktioniert](#security_iam_service-with-iam). + Weitere Informationen zum Bereitstellen des Zugriffs auf Ihre Ressourcen in Ihrem eigenen AWS-Konten Bereich finden Sie im IAM-Benutzerhandbuch unter [ Bereitstellen des Zugriffs für einen IAM-Benutzer in einem anderen Benutzer AWS-Konto , ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) dessen Eigentümer * Sie sind. * + Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren AWS-Konten, finden Sie im [* IAM-Benutzerhandbuch unter Gewähren des Zugriffs auf Ressourcen, die Dritten AWS-Konten*](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) gehören. + Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*. + Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.