View a markdown version of this page

Identitäts- und Zugriffsmanagement für AWS Compute Optimizer - AWS Compute Optimizer
Vertrauenswürdiger Zugriff für AWS OrganizationsBeispiele für Richtlinien für Compute OptimizerBeispiele für Richtlinien für die AutomatisierungWeitere Ressourcen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Identitäts- und Zugriffsmanagement für AWS Compute Optimizer

Sie können AWS Identity and Access Management (IAM) verwenden, um Identitäten (Benutzer, Gruppen oder Rollen) zu erstellen und diesen Identitäten Berechtigungen für den Zugriff auf die Konsole und die AWS Compute Optimizer APIs zu erteilen.

Standardmäßig haben IAM-Benutzer keinen Zugriff auf die Compute Optimizer-Konsole und die APIs. Sie gewähren Benutzern Zugriff, indem Sie IAM-Richtlinien an einen einzelnen Benutzer, eine Benutzergruppe oder eine Rolle anhängen. Weitere Informationen finden Sie unter Identitäten (Benutzer, Gruppen und Rollen) und Überblick über IAM-Richtlinien im IAM-Benutzerhandbuch.

Nachdem Sie die IAM-Benutzer erstellt haben, können Sie diesen individuelle Passwörter zuordnen. Anschließend können sie sich auf einer kontospezifischen Anmeldeseite bei Ihrem Konto anmelden und Compute Optimizer-Informationen einsehen. Weitere Informationen finden Sie unter Wie sich Benutzer bei Ihrem Konto anmelden.

Wichtig

  • Um Empfehlungen für EC2-Instances einzusehen, benötigt ein IAM-Benutzer die entsprechende Genehmigung. ec2:DescribeInstances

  • Um Empfehlungen für EBS-Volumes anzuzeigen, benötigt ein IAM-Benutzer die entsprechende Berechtigung. ec2:DescribeVolumes

  • Um Empfehlungen für EC2 Auto Scaling-Gruppen anzuzeigen, benötigt ein IAM-Benutzer die Berechtigungen und. autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances

  • Um Empfehlungen für Lambda-Funktionen anzuzeigen, benötigt ein IAM-Benutzer die Berechtigungen und. lambda:ListFunctions lambda:ListProvisionedConcurrencyConfigs

  • Um Empfehlungen für Amazon ECS-Services auf Fargate anzuzeigen, benötigt ein IAM-Benutzer die Berechtigungen und. ecs:ListServices ecs:ListClusters

  • Um aktuelle CloudWatch Metrikdaten in der Compute Optimizer-Konsole anzuzeigen, benötigt ein IAM-Benutzer die Erlaubnis. cloudwatch:GetMetricData

  • Um Empfehlungen für kommerzielle Softwarelizenzen einzusehen, sind bestimmte Amazon EC2-Instance-Rollen und IAM-Benutzerberechtigungen erforderlich. Weitere Informationen finden Sie unter Richtlinien zur Aktivierung kommerzieller Softwarelizenzempfehlungen.

  • Um Empfehlungen für Amazon RDS einzusehen, benötigt ein IAM-Benutzer die rds:DescribeDBInstances Berechtigungen und. rds:DescribeDBClusters

Wenn der Benutzer oder die Gruppe, der Sie Berechtigungen erteilen möchten, bereits über eine Richtlinie verfügt, können Sie dieser Richtlinie eine der hier abgebildeten Compute Optimizer-spezifischen Richtlinienanweisungen hinzufügen.

Vertrauenswürdiger Zugriff für AWS Organizations

Wenn Sie das Verwaltungskonto Ihrer Organisation verwenden und alle Mitgliedskonten innerhalb der Organisation einbeziehen, wird der vertrauenswürdige Zugriff für Compute Optimizer automatisch in Ihrem Organisationskonto aktiviert. Auf diese Weise kann Compute Optimizer die Rechenressourcen in diesen Mitgliedskonten analysieren und Empfehlungen für sie generieren.

Jedes Mal, wenn Sie auf Empfehlungen für Mitgliedskonten zugreifen, überprüft Compute Optimizer, ob der vertrauenswürdige Zugriff in Ihrem Organisationskonto aktiviert ist. Wenn Sie den vertrauenswürdigen Zugriff von Compute Optimizer deaktivieren, nachdem Sie sich angemeldet haben, verweigert Compute Optimizer den Zugriff auf Empfehlungen für die Mitgliedskonten Ihrer Organisation. Darüber hinaus sind die Mitgliedskonten innerhalb der Organisation nicht für Compute Optimizer angemeldet. Um den vertrauenswürdigen Zugriff wieder zu aktivieren, melden Sie sich erneut über das Verwaltungskonto Ihrer Organisation bei Compute Optimizer an und schließen Sie alle Mitgliedskonten innerhalb der Organisation ein. Weitere Informationen finden Sie unter Melden Sie sich an für AWS Compute Optimizer. Weitere Informationen zum AWS Organizations vertrauenswürdigen Zugriff finden Sie im AWS Organizations Benutzerhandbuch unter Verwenden AWS Organizations mit anderen AWS Diensten.

Beispiele für Richtlinien für Compute Optimizer

Richtlinie zur Anmeldung bei Compute Optimizer

Diese Grundsatzerklärung gewährt Folgendes:

Wichtig

Diese IAM-Rolle ist erforderlich, um sich dafür anzumelden. AWS Compute Optimizer

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer*",
            "Condition": {"StringLike": {"iam:AWSServiceName": "compute-optimizer.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer"
        },
        {
            "Effect": "Allow",
            "Action": "compute-optimizer:UpdateEnrollmentStatus",
            "Resource": "*"
        }
    ]
}
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws-cn:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer*",
            "Condition": {"StringLike": {"iam:AWSServiceName": "compute-optimizer.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws-cn:iam::*:role/aws-service-role/compute-optimizer.amazonaws.com/AWSServiceRoleForComputeOptimizer"
        },
        {
            "Effect": "Allow",
            "Action": "compute-optimizer:UpdateEnrollmentStatus",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "organizations:DescribeOrganization",
            "Resource": "*"
        }
    ]
}

Richtlinien zur Gewährung des Zugriffs auf Compute Optimizer for Standalone AWS-Konten

Die folgende Grundsatzerklärung gewährt vollen Zugriff auf Compute Optimizer for Standalone AWS-Konten.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:*",
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ecs:ListServices",
                "ecs:ListClusters",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribeAutoScalingInstances",
                "lambda:ListFunctions",
                "lambda:ListProvisionedConcurrencyConfigs",
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        }
    ]
}

Die folgende Grundsatzerklärung gewährt Lesezugriff auf Compute Optimizer for Standalone. AWS-Konten

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:GetEnrollmentStatus",
                "compute-optimizer:GetEffectiveRecommendationPreferences",
                "compute-optimizer:GetRecommendationPreferences",
                "compute-optimizer:GetRecommendationSummaries",
                "compute-optimizer:GetEC2InstanceRecommendations",
                "compute-optimizer:GetEC2RecommendationProjectedMetrics",
                "compute-optimizer:GetAutoScalingGroupRecommendations",
                "compute-optimizer:GetEBSVolumeRecommendations",
                "compute-optimizer:GetLambdaFunctionRecommendations",
                "compute-optimizer:DescribeRecommendationExportJobs",
                "compute-optimizer:GetEffectiveRecommendationPreferences",
                "compute-optimizer:GetRecommendationPreferences",
                "compute-optimizer:GetECSServiceRecommendations",
                "compute-optimizer:GetECSServiceRecommendationProjectedMetrics",
                "compute-optimizer:GetRDSDatabaseRecommendations",
                "compute-optimizer:GetRDSDatabaseRecommendationProjectedMetrics",
                "compute-optimizer:GetIdleRecommendations",
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ecs:ListServices",
                "ecs:ListClusters",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribeAutoScalingInstances",
                "lambda:ListFunctions",
                "lambda:ListProvisionedConcurrencyConfigs",
                "cloudwatch:GetMetricData",
                "rds:DescribeDBInstances",
                "rds:DescribeDBClusters"
            ],
            "Resource": "*"
        }
    ]
}

Richtlinien zur Gewährung des Zugriffs auf Compute Optimizer für ein Verwaltungskonto einer Organisation

Die folgende Grundsatzerklärung gewährt vollen Zugriff auf Compute Optimizer für ein Verwaltungskonto Ihrer Organisation.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:*",
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ecs:ListServices",
                "ecs:ListClusters",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribeAutoScalingInstances",
                "lambda:ListFunctions",
                "lambda:ListProvisionedConcurrencyConfigs",
                "cloudwatch:GetMetricData",
                "organizations:ListAccounts",
                "organizations:DescribeOrganization",
                "organizations:DescribeAccount",
                "organizations:EnableAWSServiceAccess",
                "organizations:ListDelegatedAdministrators",
                "organizations:RegisterDelegatedAdministrator",
                "organizations:DeregisterDelegatedAdministrator"
            ],
            "Resource": "*"
        }
    ]
}

Die folgende Grundsatzerklärung gewährt Lesezugriff auf Compute Optimizer für ein Verwaltungskonto einer Organisation.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:GetEnrollmentStatus",
                "compute-optimizer:GetEnrollmentStatusesForOrganization",
                "compute-optimizer:GetRecommendationSummaries",
                "compute-optimizer:GetEC2InstanceRecommendations",
                "compute-optimizer:GetEC2RecommendationProjectedMetrics",
                "compute-optimizer:GetAutoScalingGroupRecommendations",
                "compute-optimizer:GetEBSVolumeRecommendations",
                "compute-optimizer:GetLambdaFunctionRecommendations",
                "compute-optimizer:GetEffectiveRecommendationPreferences",
                "compute-optimizer:GetRecommendationPreferences",
                "compute-optimizer:GetECSServiceRecommendations",
                "compute-optimizer:GetECSServiceRecommendationProjectedMetrics",
                "compute-optimizer:GetRDSDatabaseRecommendations",
                "compute-optimizer:GetRDSDatabaseRecommendationProjectedMetrics",
                "compute-optimizer:GetIdleRecommendations",
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ecs:ListServices",
                "ecs:ListClusters",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribeAutoScalingInstances",
                "lambda:ListFunctions",
                "lambda:ListProvisionedConcurrencyConfigs",
                "cloudwatch:GetMetricData",
                "organizations:ListAccounts",
                "organizations:DescribeOrganization",
                "organizations:DescribeAccount",
                "organizations:ListDelegatedAdministrators",
                "rds:DescribeDBInstances",
                "rds:DescribeDBClusters"
            ],
            "Resource": "*"
        }
    ]
}

Richtlinien, mit denen der Zugriff auf die Verwaltung der Compute Optimizer-Empfehlungseinstellungen gewährt wird

Die folgenden Richtlinienerklärungen gewähren Zugriff auf das Anzeigen und Bearbeiten von Empfehlungseinstellungen.

Gewähren Sie den Zugriff auf die Verwaltung der Empfehlungspräferenzen nur für EC2-Instances

JSON
{
	"Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:DeleteRecommendationPreferences",
                "compute-optimizer:GetEffectiveRecommendationPreferences",
                "compute-optimizer:GetRecommendationPreferences",
                "compute-optimizer:PutRecommendationPreferences"
            ],
            "Resource": "*",
            "Condition" :  {
                "StringEquals" : {
                    "compute-optimizer:ResourceType" : "Ec2Instance"
                }
            }            
        }
    ]
}

Gewähren Sie Zugriff auf die Verwaltung von Empfehlungspräferenzen nur für EC2 Auto Scaling-Gruppen

JSON
{
	"Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:DeleteRecommendationPreferences",
                "compute-optimizer:GetEffectiveRecommendationPreferences",
                "compute-optimizer:GetRecommendationPreferences",
                "compute-optimizer:PutRecommendationPreferences"
            ],
            "Resource": "*",
            "Condition" :  {
                "StringEquals" : {
                    "compute-optimizer:ResourceType" : "AutoScalingGroup"
                }
            }            
        }
    ]
}

Gewähren Sie Zugriff auf die Verwaltung von Empfehlungspräferenzen nur für RDS-Instances

JSON
{
	"Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "compute-optimizer:DeleteRecommendationPreferences",
                "compute-optimizer:GetEffectiveRecommendationPreferences",
                "compute-optimizer:GetRecommendationPreferences",
                "compute-optimizer:PutRecommendationPreferences"
            ],
            "Resource": "*",
            "Condition" :  {
                "StringEquals" : {
                    "compute-optimizer:ResourceType" : "RdsDBInstance"
                }
            }            
        }
    ]
}

Richtlinien zur Aktivierung kommerzieller Softwarelizenzempfehlungen

Damit Compute Optimizer Lizenzempfehlungen generieren kann, fügen Sie die folgenden Rollen und Richtlinien für Amazon EC2-Instances hinzu.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue*"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:ApplicationInsights-*"
        }
    ]
}

Um Lizenzempfehlungen zu aktivieren und zu erhalten, fügen Sie Ihrem Benutzer, Ihrer Gruppe oder Rolle außerdem die folgende IAM-Richtlinie hinzu. Weitere Informationen finden Sie in der IAM-Richtlinie im CloudWatch Amazon-Benutzerhandbuch.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "applicationinsights:*",
                "iam:CreateServiceLinkedRole",
                "iam:ListRoles",
                "resource-groups:ListGroups"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Richtlinie zur Verweigerung des Zugriffs auf Compute Optimizer

Die folgende Richtlinienanweisung verweigert den Zugriff auf Compute Optimizer.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "compute-optimizer:*",
            "Resource": "*"
        }
    ]
}

Beispiele für Richtlinien für die Automatisierung

Richtlinie zur Aktivierung der Automatisierung für Ihr Konto

Die folgende Grundsatzerklärung aktiviert die Automatisierung für Ihr Konto.

{
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation",
            "Condition": {"StringLike": {"iam:AWSServiceName": "aco-automation.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PutRolePolicy", 
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation"
        },
        {
            "Effect": "Allow",
            "Action": "aco-automation:UpdateEnrollmentConfiguration",
            "Resource": "*"
        }
    ]
}

Richtlinie zur Aktivierung der Automatisierung in Ihrem Unternehmen

Die folgende Grundsatzerklärung ermöglicht die Automatisierung in Ihrem gesamten Unternehmen.


                {
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation",
            "Condition": {"StringLike": {"iam:AWSServiceName": "aco-automation.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PutRolePolicy", 
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/aco-automation.amazonaws.com/AWSServiceRoleForComputeOptimizerAutomation"
        },
        {
            "Effect": "Allow",
            "Action": "aco-automation:UpdateEnrollmentConfiguration",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "aco-automation:AssociateAccounts",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "aco-automation:DisassociateAccounts",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "aco-automation:ListAccounts",
            "Resource": "*"
        }
    ]
}

Richtlinie zur Gewährung des vollen Zugriffs auf Compute Optimizer Automation for Standalone AWS Konten

Die folgende Richtlinie gewährt eigenständigen AWS Konten vollen Zugriff auf Compute Optimizer Automation.


                {
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "aco-automation:*",
            "ec2:DescribeVolumes"
            ],
            "Resource": "*"
        }
    ]
}

Richtlinie zur Gewährung von Lesezugriff auf Compute Optimizer Automation for Standalone AWS Konten

Die folgende Richtlinie gewährt für eigenständige Konten nur Lesezugriff auf Compute Optimizer Automation. AWS 


                {
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "aco-automation:GetEnrollmentConfiguration",
               "aco-automation:GetAutomationEvent",
               "aco-automation:GetAutomationRule",
               "aco-automation:ListAutomationEvents",
               "aco-automation:ListAutomationEventSteps",
               "aco-automation:ListAutomationEventSummaries",
               "aco-automation:ListAutomationRules",
               "aco-automation:ListAutomationRulePreview",
               "aco-automation:ListAutomationRulePreviewSummaries",
               "aco-automation:ListRecommendedActions",
               "aco-automation:ListRecommendedActionSummaries",
               "aco-automation:ListTagsForResource",
               "ec2:DescribeVolumes"
            ],
            "Resource": "*"
        }
    ]
}

Richtlinie zur Gewährung des vollen Zugriffs auf Compute Optimizer Automation für ein Verwaltungskonto einer Organisation

Die folgende Richtlinie gewährt vollen Zugriff auf Compute Optimizer Automation für ein Verwaltungskonto einer Organisation.


                {
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "aco-automation:*",
               "ec2:DescribeVolumes",
               "organizations:ListAccounts",
               "organizations:DescribeOrganization",
               "organizations:DescribeAccount",
               "organizations:EnableAWSServiceAccess",
               "organizations:ListDelegatedAdministrators",
               "organizations:RegisterDelegatedAdministrator",
               "organizations:DeregisterDelegatedAdministrator"
            ],
            "Resource": "*"
        }
    ]
}

Richtlinie zur Gewährung von Lesezugriff auf Compute Optimizer Automation für ein Verwaltungskonto einer Organisation

Die folgende Richtlinie gewährt Lesezugriff auf Compute Optimizer Automation für ein Verwaltungskonto einer Organisation.


                {
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "aco-automation:GetEnrollmentConfiguration",
               "aco-automation:GetAutomationEvent",
               "aco-automation:GetAutomationRule",
               "aco-automation:ListAccounts",
               "aco-automation:ListAutomationEvents",
               "aco-automation:ListAutomationEventSteps",
               "aco-automation:ListAutomationEventSummaries",
               "aco-automation:ListAutomationRules",
               "aco-automation:ListAutomationRulePreview",
               "aco-automation:ListAutomationRulePreviewSummaries",
               "aco-automation:ListRecommendedActions",
               "aco-automation:ListRecommendedActionSummaries",
               "aco-automation:ListTagsForResource",
               "ec2:DescribeVolumes"
            ],
            "Resource": "*"
        }
    ]
}

Weitere Ressourcen