Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Zusätzliche Einrichtungsoptionen für AWS Cloud9 (Team und Enterprise)

In diesem Thema wird davon ausgegangen, dass Sie die Einrichtungsschritte in Team-Einrichtung oder Enterprise-Einrichtung bereits abgeschlossen haben.

In Team-Einrichtung oder Enterprise-Einrichtung haben Sie Gruppen erstellt und AWS Cloud9-Zugriffsberechtigungen direkt zu diesen Gruppen hinzugefügt. Dadurch wird sichergestellt, dass Benutzer in diesen Gruppen auf AWS Cloud9 zugreifen können. In diesem Thema fügen Sie weitere Zugriffsberechtigungen hinzu, um die Arten von Umgebungen einzuschränken, die Benutzer in diesen Gruppen erstellen können. Dadurch können Kosten im Zusammenhang mit AWS Cloud9 in AWS-Konten und -Organisationen kontrolliert werden.

Zum Hinzufügen dieser Zugriffsberechtigungen erstellen Sie Ihre eigenen Richtlinien, die die AWS-Zugriffsberechtigungen definieren, die Sie durchsetzen möchten. Wir bezeichnen jede dieser Richtlinien als eine vom Kunden verwaltete Richtlinie. Dann fügen Sie diese vom Kunden verwalteten Richtlinien an die Gruppen an, zu denen die Benutzer gehören. In einigen Szenarien müssen Sie auch bereits bestehende AWS-verwaltete Richtlinien trennen, die bereits an diese Gruppen angefügt sind. Um dies einzurichten, führen Sie die Schritte in diesem Thema aus.

Schritt 1: Erstellen einer vom Kunden verwalteten Richtlinie

Sie können eine vom Kunden verwaltete Richtlinie mit der AWS Management Console oder AWS-Befehlszeilenschnittstelle (AWS CLI) erstellen.

Erstellen einer vom Kunden verwalteten Richtlinie mithilfe der Konsole

Wiederholen Sie diesen Schritt für jede weitere vom Kunden verwaltete Richtlinie, die Sie erstellen möchten. Fahren Sie dann mit dem Schritt Hinzufügen von vom Kunden verwaltete Richtlinien zu einer Gruppe mithilfe der Konsole fort.

Erstellen einer vom Kunden verwalteten Richtlinie mithilfe von AWS CLI

Fahren Sie fort mit Hinzufügen von vom Kunden verwalteten Richtlinien mithilfe einer AWS CLI zu einer Gruppe.

Schritt 2: Hinzufügen von kundenverwalteten Richtlinien zu einer Gruppe

Sie können vom Kunden verwaltete Richtlinie mit der AWS Management Console oder der AWS-Befehlszeilenschnittstelle (AWS CLI) zu einer Gruppe hinzufügen.

Hinzufügen von vom Kunden verwalteten Richtlinien mithilfe der Konsole zu einer Gruppe

Hinzufügen von vom Kunden verwalteten Richtlinien mithilfe der AWS CLI zu einer Gruppe

Führen Sie den IAM-attach-group-policy-Befehl aus und geben Sie den Namen der Gruppe und den Amazon Resource Name (ARN) der Richtlinie an.

aws iam attach-group-policy --group-name MyGroup --policy-arn arn:aws:iam::123456789012:policy/MyPolicy

Ersetzen Sie im vorherigen Befehl MyGroup durch den Namen der Gruppe. Ersetzen Sie 123456789012 durch Ihre AWS-Konto-ID. Ersetzen Sie MyPolicy durch den Namen der vom Kunden verwalteten Richtlinie.

Beispiele für eine vom Kunden verwaltete Richtlinie für Teams mithilfe von AWS Cloud9

Im Folgenden finden Sie einige Beispiele für Richtlinien, die Sie verwenden können, um die Umgebungen zu beschränken, die Benutzer in einer Gruppe in einem AWS-Konto erstellen können.

Benutzer einer Gruppe am Erstellen von Umgebungen hindern

Wenn die folgende vom Kunden verwaltete Richtlinie an eine AWS Cloud9-Benutzergruppe angefügt wird, hindert sie diese Benutzer am Erstellen von Umgebungen in einem AWS-Konto. Dies ist nützlich, wenn Sie möchten, dass ein Administratorbenutzer in Ihrem AWS-Konto das Erstellen von Umgebungen verwaltet. Andernfalls übernehmen dies die Benutzer in einer AWS Cloud9-Benutzergruppe.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloud9:CreateEnvironmentEC2",
        "cloud9:CreateEnvironmentSSH"
      ],
      "Resource": "*"
    }
  ]
}

Beachten Sie, dass die vorhergehende vom Kunden verwaltete Richtlinie explizit "Effect": "Allow" für "Action": "cloud9:CreateEnvironmentEC2" und "cloud9:CreateEnvironmentSSH" mit "Resource": "*" in der von AWSCloud9User verwalteten Richtlinie überschreibt, die bereits an die AWS Cloud9-Benutzergruppe angefügt ist.

Benutzer einer Gruppe am Erstellen von EC2-Umgebungen hindern

Wenn die folgende vom Kunden verwaltete Richtlinie an eine AWS Cloud9-Benutzergruppe angefügt wird, hindert sie diese Benutzer am Erstellen von EC2-Umgebungen in einem AWS-Konto. Dies ist nützlich, wenn Sie möchten, dass ein Administratorbenutzer in Ihrem AWS-Konto das Erstellen von EC2-Umgebungen verwaltet. Andernfalls übernehmen dies die Benutzer in einer AWS Cloud9-Benutzergruppe. Dies setzt voraus, dass Sie nicht auch eine Richtlinie angefügt haben, die Benutzer in dieser Gruppe am Erstellen von SSH-Umgebungen hindert. Andernfalls können diese Benutzer keine Umgebungen erstellen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*"
    }
  ]
}

Die vorhergehende vom Kunden verwaltete Richtlinie überschreibt explizit "Effect": "Allow" für "Action": "cloud9:CreateEnvironmentEC2" in "Resource": "*" in der von AWSCloud9User verwalteten Richtlinie, die bereits an die AWS Cloud9-Benutzergruppe angefügt ist.

Zulassen, dass Benutzer in einer Gruppe EC2-Umgebungen nur mit bestimmten Instance-Typen von Amazon-EC2 erstellen können

Wenn die folgende vom Kunden verwaltete Richtlinie an eine AWS Cloud9-Benutzergruppe angefügt ist, können die Benutzer in dieser Gruppe EC2-Umgebungen erstellen, die nur Instance-Typen beginnend mit t2 in einem AWS-Konto verwenden. Diese Richtlinie setzt voraus, dass Sie nicht auch eine Richtlinie angefügt haben, die Benutzer in dieser Gruppe am Erstellen von EC2-Umgebungen hindert. Andernfalls können diese Benutzer keine EC2-Umgebungen erstellen.

Sie können "t2.*" in der folgenden Richtlinie mit einer anderen Instance-Klasse ersetzen (z. B. "m4.*"). Oder Sie können sie auf mehrere Instance-Klassen und Instance-Typen beschränken (z. B. [ "t2.*", "m4.*" ] oder [ "t2.micro", "m4.large" ]).

Trennen Sie für eine AWS Cloud9-Benutzergruppe die von AWSCloud9User verwaltete Richtlinie von der Gruppe. Fügen Sie dann die folgende vom Kunden verwaltete Richtlinie an ihrer Stelle hinzu. Wenn Sie die von AWSCloud9User verwaltete Richtlinie nicht trennen, hat die folgende vom Kunden verwaltete Richtlinie keine Wirkung.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:CreateEnvironmentSSH",
        "cloud9:ValidateEnvironmentName",
        "cloud9:GetUserPublicKey",
        "cloud9:UpdateUserSettings",
        "cloud9:GetUserSettings",
        "iam:GetUser",
        "iam:ListUsers",
        "ec2:DescribeVpcs",
        "ec2:DescribeSubnets"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloud9:InstanceType": "t2.*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:DescribeEnvironmentMemberships"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "Null": {
          "cloud9:UserArn": "true",
          "cloud9:EnvironmentId": "true"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:CreateServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "iam:AWSServiceName": "cloud9.amazonaws.com"
        }
      }
    }
  ]
}

Die vorhergehende vom Kunden verwaltete Richtlinie erlaubt den Benutzern auch das Erstellen von SSH-Umgebungen. Um diese Benutzer komplett am Erstellen von SSH-Umgebungen zu hindern, entfernen Sie "cloud9:CreateEnvironmentSSH", aus der vorhergehenden vom Kunden verwalteten Richtlinie.

Zulassen, dass Benutzer in einer Gruppe nur eine einzelne EC2-Umgebung pro AWS-Region erstellen können

Wenn die folgende vom Kunden verwaltete Richtlinie an eine AWS Cloud9-Benutzergruppe angefügt ist, erlaubt sie jedem dieser Benutzer, maximal eine EC2-Umgebung pro AWS-Region zu erstellen, in der AWS Cloud9 verfügbar ist. Dies geschieht, indem der Name der Umgebung auf einen bestimmten Namen in dieser AWS-Region beschränkt wird. In diesem Beispiel ist die Umgebung auf my-demo-environment beschränkt.

Für eine AWS Cloud9-Benutzergruppe trennen Sie die AWSCloud9User verwaltete Richtlinie von der Gruppe und fügen Sie dann an dieser Stelle die folgende vom Benutzer verwaltete Richtlinie hinzu. Wenn Sie die von AWSCloud9User verwaltete Richtlinie nicht trennen, hat die folgende vom Kunden verwaltete Richtlinie keine Wirkung.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:CreateEnvironmentSSH",
        "cloud9:ValidateEnvironmentName",
        "cloud9:GetUserPublicKey",
        "cloud9:UpdateUserSettings",
        "cloud9:GetUserSettings",
        "iam:GetUser",
        "iam:ListUsers",
        "ec2:DescribeVpcs",
        "ec2:DescribeSubnets"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:CreateEnvironmentEC2"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloud9:EnvironmentName": "my-demo-environment"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:DescribeEnvironmentMemberships"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "Null": {
          "cloud9:UserArn": "true",
          "cloud9:EnvironmentId": "true"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:CreateServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "iam:AWSServiceName": "cloud9.amazonaws.com"
        }
      }
    }
  ]
}

Die vorhergehende vom Kunden verwaltete Richtlinie erlaubt den Benutzern das Erstellen von SSH-Umgebungen. Um diese Benutzer komplett am Erstellen von SSH-Umgebungen zu hindern, entfernen Sie "cloud9:CreateEnvironmentSSH", aus der vorhergehenden vom Kunden verwalteten Richtlinie.

Weitere Beispiele finden Sie unter Beispiele für vom Kunden verwaltete Richtlinien.

Nächste Schritte