Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Verwalten AWS CloudShell Zugriff und Nutzung mit IAM-Richtlinien
Mit den Ressourcen zur Zugriffsverwaltung, die von bereitgestellt werden können AWS Identity and Access Management, können Administratoren IAM-Benutzern Berechtigungen gewähren. Auf diese Weise können diese Benutzer auf die Funktionen der Umgebung zugreifen AWS CloudShell und diese nutzen. Administratoren können auch Richtlinien erstellen, die detailliert angeben, welche Aktionen diese Benutzer mit der Shell-Umgebung ausführen können.
Der schnellste Weg für einen Administrator, Benutzern Zugriff zu gewähren, ist eine AWS verwaltete Richtlinie. Eine von AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet AWS wird. Das folgende AWS verwaltete Richtlinienformular AWS CloudShell kann an IAM-Identitäten angehängt werden:
-
AWS CloudShellFullAccess: Gewährt die Berechtigung zur Verwendung von AWS CloudShell mit vollem Zugriff auf alle Features.
Die AWS CloudShellFullAccess Richtlinie verwendet das Platzhalterzeichen (*), um der IAM-Identität (Benutzer, Rolle oder Gruppe) vollen Zugriff auf und Funktionen zu gewähren. CloudShell Weitere Informationen zu dieser Richtlinie finden Sie AWS CloudShellFullAccess im AWS Managed Policy User Guide.
Anmerkung
IAM-Identitäten mit den folgenden AWS verwalteten Richtlinien können ebenfalls gestartet werden. CloudShell Diese Richtlinien bieten jedoch umfangreiche Berechtigungen. Wir empfehlen daher, diese Richtlinien nur zu gewähren, wenn sie für die berufliche Rolle eines IAM-Benutzers unerlässlich sind.
-
Administrator: Gewährt IAM-Benutzern vollen Zugriff und ermöglicht es ihnen, Berechtigungen an jeden Dienst und jede Ressource in zu delegieren. AWS
-
Poweruser für Entwickler: Ermöglicht IAM-Benutzern, Aufgaben zur Anwendungsentwicklung durchzuführen und Ressourcen und Dienste zu erstellen und zu konfigurieren, die eine AWS bewusste Anwendungsentwicklung unterstützen.
Weitere Informationen zum Anhängen verwalteter Richtlinien finden Sie unter Hinzufügen von IAM-Identitätsberechtigungen (Konsole) im IAM-Benutzerhandbuch.
Zulässige Aktionen verwalten in AWS CloudShell mithilfe benutzerdefinierter Richtlinien
Um die Aktionen zu verwalten, die ein IAM-Benutzer ausführen kann CloudShell, erstellen Sie eine benutzerdefinierte Richtlinie, die die CloudShellPolicy verwaltete Richtlinie als Vorlage verwendet. Bearbeiten Sie alternativ eine Inline-Richtlinie, die in die entsprechende IAM-Identität (Benutzer, Gruppe oder Rolle) eingebettet ist.
Sie können beispielsweise IAM-Benutzern den Zugriff gewähren CloudShell, sie aber daran hindern, die Anmeldeinformationen für die CloudShell Umgebung weiterzuleiten, mit denen sie sich anmelden. AWS-Managementkonsole
Wichtig
Um AWS CloudShell von der aus zu starten AWS-Managementkonsole, benötigt ein IAM-Benutzer Berechtigungen für die folgenden Aktionen:
-
CreateEnvironment
-
CreateSession
-
GetEnvironmentStatus
-
StartEnvironment
Wenn eine dieser Aktionen in einer angehängten Richtlinie nicht ausdrücklich zulässig ist, wird beim Startversuch ein IAM-Berechtigungsfehler zurückgegeben. CloudShell
| Name | Beschreibung der gewährten Genehmigung | Zum Starten erforderlich? CloudShell |
|---|---|---|
|
|
Erstellt eine CloudShell Umgebung, ruft das Layout zu Beginn der CloudShell Sitzung ab und speichert das aktuelle Layout aus der Webanwendung im Backend. Diese Berechtigung erwartet |
Ja |
|
|
Stellt eine Verbindung zu einer CloudShell Umgebung von der her AWS-Managementkonsole. |
Ja |
|
|
Liest den Status einer CloudShell Umgebung. |
Ja |
|
|
Löscht eine CloudShell Umgebung. |
Nein |
|
|
Generiert vorsignierte Amazon S3-URLs, die zum Herunterladen von Dateien über CloudShell die CloudShell Weboberfläche verwendet werden. Dies ist für VPC-Umgebungen nicht verfügbar. |
Nein |
|
|
Generiert vorsignierte Amazon S3-URLs, die zum Hochladen von Dateien über CloudShell die CloudShell Weboberfläche verwendet werden. Dies ist für VPC-Umgebungen nicht verfügbar. |
Nein |
|
Beschreibt die Umgebungen. |
Nein |
|
|
Leitet die Anmeldeinformationen, mit denen Sie sich anmelden, AWS-Managementkonsole an CloudShell weiter. |
Nein |
|
|
Startet eine CloudShell Umgebung, die gestoppt wird. |
Ja |
|
|
Stoppt eine CloudShell Umgebung, die gerade läuft. |
Nein |
|
|
Genehmigt einen Befehl, der CloudShell von anderen AWS Servicekonsolen an gesendet wurde. | Nein |
Beispiele für IAM-Richtlinien für CloudShell
Die folgenden Beispiele zeigen, wie Richtlinien erstellt werden können, um einzuschränken, wer Zugriff CloudShell hat. Die Beispiele zeigen auch die Aktionen, die in der Shell-Umgebung ausgeführt werden können.
Die folgende Richtlinie erzwingt eine vollständige Verweigerung des Zugriffs auf CloudShell und die zugehörigen Funktionen.
Diese folgende Richtlinie ermöglicht IAM-Benutzern den Zugriff, verhindert CloudShell jedoch, dass sie vorsignierte URLs für das Hoch- und Herunterladen von Dateien generieren. Benutzer können weiterhin Dateien in und aus der Umgebung übertragen, wget beispielsweise mithilfe von Clients wie.
Die folgende Richtlinie ermöglicht IAM-Benutzern den Zugriff CloudShell. Die Richtlinie verhindert jedoch, dass die Anmeldeinformationen, mit denen Sie sich angemeldet haben, AWS-Managementkonsole an die CloudShell Umgebung weitergeleitet werden. IAM-Benutzer mit dieser Richtlinie müssen ihre Anmeldeinformationen darin CloudShell manuell konfigurieren.
Die folgende Richtlinie ermöglicht es IAM-Benutzern, Umgebungen zu erstellen AWS CloudShell .
Erforderliche IAM-Berechtigungen für die Erstellung und Verwendung CloudShell von VPC-Umgebungen
Um CloudShell VPC-Umgebungen zu erstellen und zu verwenden, muss der IAM-Administrator den Zugriff auf VPC-spezifische Amazon EC2-Berechtigungen aktivieren. In diesem Abschnitt werden die Amazon EC2-Berechtigungen aufgeführt, die zum Erstellen und Verwenden von VPC-Umgebungen erforderlich sind.
Um VPC-Umgebungen zu erstellen, muss die Ihrer Rolle zugewiesene IAM-Richtlinie die folgenden Amazon EC2-Berechtigungen enthalten:
ec2:DescribeVpcsec2:DescribeSubnetsec2:DescribeSecurityGroupsec2:DescribeDhcpOptionsec2:DescribeNetworkInterfaces
-
ec2:CreateTags -
ec2:CreateNetworkInterface -
ec2:CreateNetworkInterfacePermission
Wir empfehlen, auch Folgendes einzubeziehen:
-
ec2:DeleteNetworkInterface
Anmerkung
Diese Berechtigung ist nicht zwingend erforderlich, sie ist jedoch erforderlich, CloudShell um die von ihr erstellte ENI-Ressource (ENIs, die für CloudShell VPC-Umgebungen erstellt wurden, sind mit einem ManagedByCloudShell Schlüssel gekennzeichnet) zu bereinigen. Wenn diese Berechtigung nicht aktiviert ist, müssen Sie die ENI-Ressource nach jeder Verwendung der CloudShell VPC-Umgebung manuell bereinigen.
IAM-Richtlinie, die vollen CloudShell Zugriff gewährt, einschließlich des Zugriffs auf VPC
Das folgende Beispiel zeigt, wie vollständige Berechtigungen, einschließlich des Zugriffs auf VPC, für Folgendes aktiviert werden: CloudShell
Verwenden von IAM-Bedingungsschlüsseln für VPC-Umgebungen
Sie können CloudShell-specific Bedingungsschlüssel für VPC-Einstellungen verwenden, um zusätzliche Berechtigungskontrollen für Ihre VPC-Umgebungen bereitzustellen. Sie können auch die Subnetze und Sicherheitsgruppen angeben, die die VPC-Umgebung verwenden kann und welche nicht.
CloudShell unterstützt die folgenden Bedingungsschlüssel in IAM-Richtlinien:
-
CloudShell:VpcIds— Erlauben oder verweigern Sie eine oder mehrere VPCs -
CloudShell:SubnetIds— Erlauben oder verweigern Sie ein oder mehrere Subnetze -
CloudShell:SecurityGroupIds— Erlaubt oder verweigert eine oder mehrere Sicherheitsgruppen
Anmerkung
Wenn die Berechtigungen für Benutzer mit Zugriff auf öffentliche CloudShell Umgebungen geändert werden, um die cloudshell:createEnvironment Aktion einzuschränken, können sie weiterhin auf ihre bestehende öffentliche Umgebung zugreifen. Wenn Sie jedoch eine IAM-Richtlinie mit dieser Einschränkung ändern und deren Zugriff auf die bestehende öffentliche Umgebung deaktivieren möchten, müssen Sie zuerst die IAM-Richtlinie mit der Einschränkung aktualisieren und dann sicherstellen, dass jeder CloudShell Benutzer in Ihrem Konto die vorhandene öffentliche Umgebung manuell über die CloudShell Webbenutzeroberfläche löscht (Aktionen → Umgebung löschen CloudShell).
Beispielrichtlinien mit Bedingungsschlüsseln für VPC-Einstellungen
In den folgenden Beispielen wird gezeigt, wie Bedingungsschlüssel für VPC-Einstellungen verwendet werden. Nachdem Sie eine Richtlinienanweisung mit den gewünschten Einschränkungen erstellt haben, fügen Sie die Richtlinienanweisung für den -Zielbenutzer oder die Zielrolle an.
Stellen Sie sicher, dass Benutzer nur VPC-Umgebungen erstellen, und lehnen Sie die Erstellung öffentlicher Umgebungen ab
Um sicherzustellen, dass Benutzer nur VPC-Umgebungen erstellen können, verwenden Sie die Sperrberechtigung, wie im folgenden Beispiel gezeigt:
{ "Statement": [ { "Sid": "DenyCloudShellNonVpcEnvironments", "Action": [ "cloudshell:CreateEnvironment" ], "Effect": "Deny", "Resource": "*", "Condition": { "Null": { "cloudshell:VpcIds": "true" } } } ] }
Benutzern den Zugriff auf bestimmte VPCs, Subnetze oder Sicherheitsgruppen verweigern
Um Benutzern den Zugriff auf bestimmte VPCs StringEquals zu verweigern, überprüfen Sie den Wert der cloudshell:VpcIds-Bedingung. Im folgenden Beispiel wird Benutzern der Zugriff auf und verweigert: vpc-1 vpc-2
Um Benutzern den Zugriff auf bestimmte VPCs StringEquals zu verweigern, überprüfen Sie den Wert der cloudshell:SubnetIds-Bedingung. Das folgende Beispiel verweigert Benutzern den Zugriff auf subnet-1 und: subnet-2
Um Benutzern den Zugriff auf bestimmte VPCs StringEquals zu verweigern, überprüfen Sie den Wert der cloudshell:SecurityGroupIds-Bedingung. Das folgende Beispiel verweigert Benutzern den Zugriff auf sg-1 und: sg-2
Erlauben Sie Benutzern, Umgebungen mit bestimmten VPC-Konfigurationen zu erstellen
Um Benutzern den Zugriff auf bestimmte VPCs zu ermöglichen, verwenden Sie, StringEquals um den Wert der cloudshell:VpcIds Bedingung zu überprüfen. Das folgende Beispiel ermöglicht Benutzern den Zugriff auf vpc-1 undvpc-2:
Um Benutzern den Zugriff auf bestimmte VPCs zu ermöglichen, verwenden Sie, StringEquals um den Wert der cloudshell:SubnetIds Bedingung zu überprüfen. Das folgende Beispiel ermöglicht Benutzern den Zugriff auf subnet-1 undsubnet-2:
Um Benutzern den Zugriff auf bestimmte VPCs zu ermöglichen, verwenden Sie, StringEquals um den Wert der cloudshell:SecurityGroupIds Bedingung zu überprüfen. Das folgende Beispiel ermöglicht Benutzern den Zugriff auf sg-1 undsg-2:
Berechtigungen für den Zugriff AWS-Services
CloudShell verwendet die IAM-Anmeldeinformationen, mit denen Sie sich bei der AWS-Managementkonsole angemeldet haben.
Anmerkung
Um die IAM-Anmeldeinformationen zu verwenden, mit denen Sie sich angemeldet haben AWS-Managementkonsolecloudshell:PutCredentials, benötigen Sie die entsprechende Berechtigung.
Diese Vorauthentifizierungsfunktion von CloudShell erleichtert die Verwendung. AWS CLI Ein IAM-Benutzer benötigt jedoch weiterhin explizite Berechtigungen für die AWS-Services , die über die Befehlszeile aufgerufen werden.
Nehmen wir zum Beispiel an, dass IAM-Benutzer Amazon S3-Buckets erstellen und Dateien als Objekte in sie hochladen müssen. Sie können eine Richtlinie erstellen, die diese Aktionen explizit zulässt. Die IAM-Konsole bietet einen interaktiven visuellen Editor, der Sie durch den Prozess der Erstellung eines JSON-formatted Richtliniendokuments führt. Nachdem die Richtlinie erstellt wurde, können Sie sie an die entsprechende IAM-Identität (Benutzer, Gruppe oder Rolle) anhängen.
Weitere Informationen zum Anhängen verwalteter Richtlinien finden Sie unter Hinzufügen von IAM-Identitätsberechtigungen (Konsole) im IAM-Benutzerhandbuch.
Berechtigungen für den Zugriff auf Amazon Q CLI-Funktionen in CloudShell
Um Amazon Q CLI-Funktionen wie Inline-Vorschläge CloudShell, Chat und Übersetzung nutzen zu können, stellen Sie sicher, dass Sie über die erforderlichen IAM-Berechtigungen verfügen. Wenn Sie in nicht auf die Funktionen der Amazon Q CLI zugreifen können CloudShell, wenden Sie sich an Ihren Administrator, um Ihnen die erforderlichen IAM-Berechtigungen zu erteilen. Weitere Informationen finden Sie in den Identity-based Richtlinienbeispielen für Amazon Q Developer im Amazon Q Developer User Guide.
