Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS CloudTrail Beispiele für ressourcenbasierte Richtlinien

In diesem Abschnitt finden Sie Beispiele für ressourcenbasierte Richtlinien für CloudTrail Lake-Dashboards, Event-Datenspeicher und Kanäle.

CloudTrail unterstützt die folgenden Arten von ressourcenbasierten Richtlinien:

Resource-based Beispiele für Richtlinien für Kanäle

Die ressourcenbasierte Richtlinie definiert, welche Prinzipal-Entitäten (Konten, Benutzer, Rollen und Verbundbenutzer) PutAuditEvents auf dem Kanal aufrufen können, um Ereignisse an den Zielereignisdatenspeicher zu übermitteln.

Die für die Richtlinie erforderlichen Informationen werden durch den Integrationstyp bestimmt.

Die folgenden Anforderungen gelten für die ressourcenbasierte Richtlinie:

Der Kanalbesitzer kann die PutAuditEvents-API auf dem Kanal aufrufen, es sei denn, die Richtlinie verweigert dem Besitzer den Zugriff auf die Ressource.

Beispiel: Bereitstellung von Kanalzugriff für Prinzipale

Das folgende Beispiel gewährt den Prinzipalen Berechtigungen mit den ARNs arn:aws:iam::111122223333:root und arn:aws:iam::123456789012:root zum Aufrufen der PutAuditEvents API auf dem CloudTrail Kanal mit dem ARN. arn:aws:iam::444455556666:root arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Sid": "ChannelPolicy",
            "Effect": "Allow",
            "Principal":
            {
                "AWS":
                [
                    "arn:aws:iam::111122223333:root",
                    "arn:aws:iam::444455556666:root",
                    "arn:aws:iam::123456789012:root"
                ]
            },
            "Action": "cloudtrail-data:PutAuditEvents",
            "Resource": "arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b"
        }
    ]
}

Beispiel: Verwendung einer externen ID, um einem verwirrten Stellvertreter vorzubeugen

Das folgende Beispiel verwendet eine externe ID, um verwirrte Stellvertreter anzusprechen und zu verhindern. Das Problem des verwirrten Stellvertreters ist ein Sicherheitsproblem, bei dem eine Entität, die keine Berechtigung zur Durchführung einer Aktion hat, eine privilegiertere Entität zur Durchführung der Aktion zwingen kann.

Der Integrationspartner erstellt die externe ID, die in der Richtlinie verwendet werden soll. Anschließend stellt er Ihnen die externe ID im Rahmen der Integrationserstellung zur Verfügung. Dieser Wert kann eine beliebige eindeutige Zeichenfolge sein, wie eine Passphrase oder Kontonummer.

Das Beispiel gewährt den Prinzipalen mit den ARNs arn:aws:iam::111122223333:root Berechtigungen und arn:aws:iam::123456789012:root zum Aufrufen der PutAuditEvents API auf der CloudTrail Kanalressourcearn:aws:iam::444455556666:root, wenn der PutAuditEvents API-Aufruf den in der Richtlinie definierten externen ID-Wert enthält.

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Sid": "ChannelPolicy",
            "Effect": "Allow",
            "Principal":
            {
                "AWS":
                [
                    "arn:aws:iam::111122223333:root",
                    "arn:aws:iam::444455556666:root",
                    "arn:aws:iam::123456789012:root"
                ]
            },
            "Action": "cloudtrail-data:PutAuditEvents",
            "Resource": "arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b"
        }
    ]
}

Resource-based Beispiele für Richtlinien für Event-Datenspeicher

Resource-based Mithilfe von Richtlinien können Sie steuern, welche Principals Aktionen in Ihrem Event-Datenspeicher ausführen können.

Sie können ressourcenbasierte Richtlinien verwenden, um kontoübergreifenden Zugriff zu ermöglichen, sodass ausgewählte Hauptbenutzer Ihren Event-Datenspeicher abfragen, Abfragen auflisten und stornieren sowie Abfrageergebnisse anzeigen können.

Für das CloudTrail Lake-Dashboard werden ressourcenbasierte Richtlinien verwendet, um Abfragen in Ihren Event-Datenspeichern auszuführen, um die Daten für die Widgets des Dashboards aufzufüllen, wenn das Dashboard aktualisiert wird. CloudTrail CloudTrail Lake bietet Ihnen die Möglichkeit, eine ressourcenbasierte Standardrichtlinie an Ihre Event-Datenspeicher anzuhängen, wenn Sie ein benutzerdefiniertes Dashboard erstellen oder das Highlights-Dashboard auf der Konsole aktivieren. CloudTrail

Die folgenden Aktionen werden in ressourcenbasierten Richtlinien für Event-Datenspeicher unterstützt:

Wenn Sie einen Event-Datenspeicher erstellen oder aktualisieren oder Dashboards auf der CloudTrail Konsole verwalten, haben Sie die Möglichkeit, Ihrem Event-Datenspeicher eine ressourcenbasierte Richtlinie hinzuzufügen. Sie können auch den Befehl put-resource-policy ausführen, um eine ressourcenbasierte Richtlinie an einen Event-Datenspeicher anzuhängen.

Eine ressourcenbasierte Richtlinie besteht aus einer oder mehreren Anweisungen. Sie kann beispielsweise eine Anweisung enthalten, die es ermöglicht CloudTrail , den Event-Datenspeicher für ein Dashboard abzufragen, und eine weitere Anweisung, die den kontoübergreifenden Zugriff zur Abfrage des Event-Datenspeichers ermöglicht. Sie können die ressourcenbasierte Richtlinie eines vorhandenen Event-Datenspeichers von der Detailseite des Event-Datenspeichers auf der Konsole aus aktualisieren. CloudTrail

CloudTrail Erstellt für Datenspeicher für Organisationsereignisse eine ressourcenbasierte Standardrichtlinie, in der die Aktionen aufgeführt sind, die die delegierten Administratorkonten in den Event-Datenspeichern der Organisation ausführen dürfen. Die Berechtigungen in dieser Richtlinie werden von den delegierten Administratorberechtigungen in abgeleitet. AWS Organizations Diese Richtlinie wird automatisch aktualisiert, wenn Änderungen am Event-Datenspeicher der Organisation oder an der Organisation vorgenommen werden (z. B. wenn ein CloudTrail delegiertes Administratorkonto registriert oder entfernt wird).

Beispiel: Erlauben Sie CloudTrail das Ausführen von Abfragen zur Aktualisierung eines Dashboards

Um die Daten in einem CloudTrail Lake-Dashboard während einer Aktualisierung auszufüllen, müssen Sie zulassen CloudTrail , dass Abfragen in Ihrem Namen ausgeführt werden. Fügen Sie dazu jedem Event-Datenspeicher, der einem Dashboard-Widget zugeordnet ist, eine ressourcenbasierte Richtlinie an, die eine Anweisung enthält, mit der der StartQuery Vorgang CloudTrail zum Auffüllen der Daten für das Widget ausgeführt werden kann.

Im Folgenden sind die Anforderungen für die Anweisung aufgeführt:

Die folgende Beispielrichtlinie enthält eine Anweisung, die das Ausführen von Abfragen in einem Ereignisdatenspeicher für zwei benutzerdefinierte Dashboards mit dem Namen example-dashboard1 und example-dashboard2 und das Highlights-Dashboard mit dem Namen account AWSCloudTrail-Highlights ermöglicht CloudTrail . 123456789012

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action":
            [
                "cloudtrail:StartQuery"
            ],
            "Resource": "arn:aws:cloudtrail:us-east-1:123456789012:dashboard/*",
            "Condition": {
               "StringLike": {
                  "AWS:SourceArn": [
                     "arn:aws:cloudtrail:us-east-1:123456789012:dashboard/example-dashboard1",
                     "arn:aws:cloudtrail:us-east-1:123456789012:dashboard/example-dashboard2",
                     "arn:aws:cloudtrail:us-east-1:123456789012:dashboard/AWSCloudTrail-Highlights"
                  ],
                  "AWS:SourceAccount": "123456789012"
               }
            }
        }
    ]
}

Beispiel: Erlauben Sie anderen Konten, einen Event-Datenspeicher abzufragen und Abfrageergebnisse anzuzeigen

Sie können ressourcenbasierte Richtlinien verwenden, um kontoübergreifenden Zugriff auf Ihre Event-Datenspeicher zu ermöglichen, sodass andere Konten Abfragen in Ihren Event-Datenspeichern ausführen können.

Die folgende Beispielrichtlinie enthält eine Anweisung, die es Root-Benutzern in den Konten111122223333,, und ermöglicht 777777777777999999999999, Abfragen auszuführen und 111111111111 Abfrageergebnisse für den Event-Datenspeicher abzurufen, der der Konto-ID gehört. 555555555555

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "policy1",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::777777777777:root",
            "arn:aws:iam::999999999999:root",
            "arn:aws:iam::111111111111:root"
        ]
      },
      "Action": [
        "cloudtrail:StartQuery",
        "cloudtrail:GetEventDataStore",
        "cloudtrail:GetQueryResults"
      ],
      "Resource": "arn:aws:cloudtrail:us-east-1:555555555555:eventdatastore/example80-699f-4045-a7d2-730dbf313ccf"
    }
  ]
}

Resource-based Beispiel für eine Richtlinie für ein Dashboard

Sie können einen Aktualisierungszeitplan für ein CloudTrail Lake-Dashboard festlegen, der es ermöglicht, das Dashboard in Ihrem Namen in dem Intervall CloudTrail zu aktualisieren, das Sie bei der Festlegung des Aktualisierungszeitplans definiert haben. Dazu müssen Sie dem Dashboard eine ressourcenbasierte Richtlinie hinzufügen, damit CloudTrail der StartDashboardRefresh Vorgang auf Ihrem Dashboard ausgeführt werden kann.

Die folgenden Anforderungen gelten für die ressourcenbasierte Richtlinie:

Die folgende Beispielrichtlinie ermöglicht das Aktualisieren eines Dashboards CloudTrail , das exampleDash nach einem Konto benannt ist123456789012.

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action":
            [
                "cloudtrail:StartDashboardRefresh"
            ],
            "Resource": "arn:aws:cloudtrail:us-east-1:123456789012:dashboard/*",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudtrail:us-east-1:123456789012:dashboard/exampleDash",
                    "AWS:SourceAccount":"123456789012"
                }
            }
        }
    ]
}