Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Fehlerbehebung AWS CloudTrail Identität und Zugriff

Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit CloudTrail IAM auftreten können.

Ich bin nicht berechtigt, eine Aktion auszuführen in CloudTrail

Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können.

Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer mateojackson versucht, über die Konsole Details zu einer fiktiven my-example-widget-Ressource anzuzeigen, jedoch nicht über cloudtrail:GetWidget-Berechtigungen verfügt.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudtrail:GetWidget on resource: my-example-widget

In diesem Fall muss die Richtlinie für den Benutzer mateojackson aktualisiert werden, damit er mit der cloudtrail:GetWidget-Aktion auf die my-example-widget-Ressource zugreifen kann.

Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.

Wenn Ihnen der AWS-Managementkonsole mitteilt, dass Sie nicht berechtigt sind, eine Aktion auszuführen, müssen Sie Ihren Administrator um Unterstützung bitten. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.

Der folgende Beispielfehler tritt auf, wenn der mateojackson IAM-Benutzer versucht, die Konsole zu verwenden, um Details zu einem Trail anzuzeigen, für sein Konto jedoch weder die entsprechende CloudTrail verwaltete Richtlinie (AWSCloudTrail_FullAccessoder AWSCloudTrail_ReadOnlyAccess) noch die entsprechenden Berechtigungen gelten.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudtrail:GetTrailStatus on resource: My-Trail

In diesem Fall bittet Mateo seinen Administrator, seine Richtlinien zu aktualisieren, damit er in der Konsole auf Trail-Informationen und -Status zugreifen kann.

Wenn Sie sich mit einem IAM-Benutzer oder einer IAM-Rolle anmelden, der über die AWSCloudTrail_FullAccess verwaltete Richtlinie oder die entsprechenden Berechtigungen verfügt, und Sie die Amazon CloudWatch Logs-Integration mit einem Trail nicht konfigurieren AWS Config können, fehlen Ihnen möglicherweise die erforderlichen Berechtigungen für die Integration mit diesen Diensten. Weitere Informationen erhalten Sie unter Erteilen der Erlaubnis zum Ansehen AWS Config Informationen auf der CloudTrail Konsole und Erteilen der Erlaubnis, Amazon CloudWatch Logs-Informationen auf der Konsole einzusehen und zu konfigurieren CloudTrail.

Ich bin nicht berechtigt, IAM durchzuführen: PassRole

Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zum Durchführen der iam:PassRole-Aktion autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an CloudTrail übergeben zu können.

In einigen AWS-Services Fällen können Sie eine vorhandene Rolle an diesen Dienst übergeben, anstatt eine neue Dienstrolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.

Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen marymajor versucht, die Konsole zu verwenden, um eine Aktion in CloudTrail auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion iam:PassRole ausführen zu können.

Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.

Ich möchte Leute außerhalb von mir zulassen AWS-Konto um auf meine CloudTrail Ressourcen zuzugreifen

Sie können eine Rolle erstellen und CloudTrail Informationen zwischen mehreren Personen austauschen AWS-Konten. Weitere Informationen finden Sie unter CloudTrail Protokolldateien zwischen AWS Konten teilen.

Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Im Fall von Diensten, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (Access Control Lists, ACLs) verwenden, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.

Weitere Informationen dazu finden Sie hier:

Ich bin nicht berechtigt, IAM durchzuführen: PassRole

Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zum Durchführen der iam:PassRole-Aktion autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an CloudTrail übergeben zu können.

In einigen AWS-Services Fällen können Sie eine vorhandene Rolle an diesen Dienst übergeben, anstatt eine neue Dienstrolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.

Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen marymajor versucht, die Konsole zu verwenden, um eine Aktion in CloudTrail auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion iam:PassRole ausführen zu können.

Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.

Ich erhalte eine NoManagementAccountSLRExistsException-Ausnahme, wenn ich versuche, einen Organisations-Trail oder einen Ereignisdatenspeicher zu erstellen

Die Ausnahme NoManagementAccountSLRExistsException wird ausgelöst, wenn das Verwaltungskonto keine serviceverknüpfte Rolle hat.

Wenn Sie mithilfe der AWS Organizations CLI- oder API-Operation einen delegierten Administrator hinzufügen, werden CloudTrail serviceverknüpfte Rollen nicht automatisch erstellt, sofern sie nicht vorhanden sind. Die dienstverknüpften Rollen werden nur erstellt, wenn Sie vom Verwaltungskonto aus direkt den Dienst anrufen. CloudTrail Wenn Sie beispielsweise einen delegierten Administrator hinzufügen oder mithilfe der CloudTrail Konsole oder CloudTrail API einen Organisationspfad oder einen Event-Datenspeicher erstellen, AWS CLI wird die AWSServiceRoleForCloudTrail serviceverknüpfte Rolle erstellt.

Wenn Sie mithilfe der AWS CloudTrail CLI- oder API-Operation einen delegierten Administrator hinzufügen, CloudTrail werden sowohl die Rolle als auch die serviceverknüpften AWSServiceRoleForCloudTrail Rollen erstellt. AWSServiceRoleForCloudTrailEventContext

Wenn Sie das Verwaltungskonto Ihrer Organisation verwenden, um einen delegierten Administrator hinzuzufügen oder einen Organisationspfad oder einen Event-Datenspeicher in der CloudTrail Konsole zu erstellen, oder indem Sie die CloudTrail OR-API verwenden, CloudTrail wird automatisch die AWS CLI AWSServiceRoleForCloudTrail serviceverknüpfte Rolle für Ihr Verwaltungskonto erstellt, sofern sie noch nicht vorhanden ist. Weitere Informationen finden Sie unter Verwenden von serviceverknüpften Rollen für CloudTrail.

Wenn Sie keinen delegierten Administrator hinzugefügt haben, verwenden Sie die CloudTrail Konsole AWS CLI oder die CloudTrail API, um den delegierten Administrator hinzuzufügen. Weitere Informationen zum Hinzufügen eines delegierten Administrators finden Sie unter Fügen Sie einen CloudTrail delegierten Administrator hinzu und RegisterOrganizationDelegatedAdmin (API).

Wenn Sie den delegierten Administrator bereits hinzugefügt haben, verwenden Sie das Verwaltungskonto, um den Organisationspfad oder den Event-Datenspeicher in der CloudTrail Konsole zu erstellen, oder verwenden Sie die OR-API AWS CLI . CloudTrail Weitere Informationen zum Erstellen eines Organisationspfads finden Sie unter Vorbereiten der Erstellung eines Trails für Ihre Organisation in der KonsoleErstellen eines Trails für eine Organisation mit AWS CLI, und CreateTrail (API).