Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS Politische Beispiele für das Kostenmanagement

Dieses Thema enthält Beispielrichtlinien, die Sie Ihrer IAM-Rolle oder -Gruppe zuordnen können, um den Zugriff auf die Rechnungsinformationen und Tools Ihres Kontos zu kontrollieren. Die folgenden Grundregeln gelten für IAM-Richtlinien für Fakturierung und Kostenmanagement:

Eine Liste mit Richtlinienbeispielen für die Abrechnungskonsole finden Sie unter Beispiele für Abrechnungsrichtlinien im Billing-Benutzerhandbuch.

Benutzern den Zugriff auf die Billing and Cost Management-Konsole verweigern

Um einem Benutzer ausdrücklich den Zugriff auf alle Seiten der Billing and Cost Management-Konsole zu verweigern, verwenden Sie eine Richtlinie, die dieser Beispielrichtlinie ähnelt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "aws-portal:*",
            "Resource": "*"
        }
    ]
}

Den Zugriff auf das AWS Konsolen-Widget für Kosten und Nutzung für Mitgliedskonten verweigern

Um den Zugriff von (verknüpften) Mitgliederkonten auf Preis- und Nutzungsdaten einzuschränken, verwenden Sie Ihr Verwaltungskonto (Zahler), um auf die Registerkarte der Cost-Explorer-Einstellungen zuzugreifen und deaktivieren Sie Linked Account Access (Verknüpfter Kontozugriff). Dadurch wird der Zugriff auf Kosten- und Nutzungsdaten über die Cost Explorer Explorer-Konsole (AWS Cost Management), die Cost Explorer Explorer-API und das Kosten- und Nutzungs-Widget der AWS Konsolen-Startseite verweigert, unabhängig davon, welche IAM-Aktionen der Benutzer oder die Rolle eines Mitgliedskontos hat.

Verweigern Sie bestimmten Benutzern und Rollen den Zugriff auf das AWS Konsolen-Widget für Kosten und Nutzung

Verwenden Sie die unten stehende Berechtigungsrichtlinie, um bestimmten Benutzern und Rollen den Zugriff auf das AWS Konsolen-Widget für Kosten und Nutzung zu verweigern.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ce:*",
            "Resource": "*"
        }
    ]
}

Vollzugriff auf AWS Dienste zulassen, Benutzern jedoch den Zugriff auf die Billing and Cost Management-Konsole verweigern

Verwenden Sie die folgende Richtlinie, um Benutzern den Zugriff auf alles auf der Billing and Cost Management-Konsole zu verweigern. In diesem Fall sollten Sie auch den Benutzerzugriff auf AWS Identity and Access Management (IAM) verweigern, sodass die Benutzer nicht auf die Richtlinien zugreifen können, die den Zugriff auf Abrechnungsinformationen und Tools steuern.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-portal:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

Benutzern den Zugriff auf die Billing and Cost Management-Konsole mit Ausnahme der Kontoeinstellungen ermöglichen

Diese Richtlinie bietet Lesezugriff auf alle Elemente der Konsole für Fakturierung und Kostenmanagement, einschließlich der Konsolenseiten Payments Method (Zahlungsweise) und Reports (Berichte), aber verweigert Zugriff auf die Seite Account Settings (Kontoeinstellungen). Dadurch sind Kontopasswort, Kontaktinformationen und Sicherheitsfragen geschützt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "aws-portal:View*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "aws-portal:*Account",
            "Resource": "*"
        }
    ]
}

Erlauben Sie Benutzern, Rechnungsinformationen zu ändern

Damit Benutzer die Kontoabrechnungsinformationen in der Fakturierungs Billing and Cost Management Kostenmanagement-Konsole ändern können, müssen Sie den Benutzern auch erlauben, Ihre Rechnungsinformationen einzusehen. Das folgende Richtlinienbeispiel ermöglicht es einem Benutzer, die Konsolenseiten „Consolidated Billing“, „Preferences“ und „Credits“ zu ändern. Außerdem kann ein Benutzer die folgenden Seiten der Billing and Cost Management-Konsole aufrufen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "aws-portal:*Billing",
            "Resource": "*"
        }
    ]
}

Erlauben Sie Benutzern, Budgets zu erstellen

Damit Benutzer Budgets in der Billing and Cost Management Kostenmanagement-Konsole erstellen können, müssen Sie den Benutzern auch die Möglichkeit geben, Ihre Rechnungsinformationen einzusehen, CloudWatch Alarme zu erstellen und Amazon SNS SNS-Benachrichtigungen zu erstellen. Das folgende Richtlinienbeispiel ermöglicht es einem Benutzer, die Seite der Budgetkonsole zu ändern.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1435216493000",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling",
                "aws-portal:ModifyBilling",
                "budgets:ViewBudget",
                "budgets:ModifyBudget"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Stmt1435216514000",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:*"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Stmt1435216552000",
            "Effect": "Allow",
            "Action": [
                "sns:*"
            ],
            "Resource": [
                "arn:aws:sns:us-east-1::"
            ]
        }
    ]
}

Verweigern des Zugriffs auf Kontoeinstellungen, aber vollständigen Zugriff auf alle anderen Fakturierungs- und Nutzungsdaten gewähren

Um Ihr Kontopasswort, Ihre Kontaktinformationen und Sicherheitsfragen zu schützen, können Sie Benutzern den Zugriff auf die Kontoeinstellungen verweigern und gleichzeitig den vollen Zugriff auf die übrigen Funktionen in der Billing and Cost Management-Konsole aktivieren, wie im folgenden Beispiel gezeigt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "aws-portal:*Billing",
                "aws-portal:*Usage",
                "aws-portal:*PaymentMethods"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "aws-portal:*Account",
            "Resource": "*"
        }
    ]
}

Ablegen von Berichten in einem Amazon-S3-Bucket

Die folgende Richtlinie ermöglicht es Billing and Cost Management, Ihre detaillierten AWS Rechnungen in einem Amazon S3 S3-Bucket zu speichern, sofern Sie sowohl das AWS Konto als auch den Amazon S3 S3-Bucket besitzen. Beachten Sie, dass diese Richtlinie auf den Amazon S3 S3-Bucket und nicht auf einen Benutzer angewendet werden muss. Das bedeutet, es ist eine ressourcenbasierte Richtlinie, keine benutzerbasierte Richtlinie. Sie sollten -Benutzerzugriff auf den Bucket für -Benutzer verweigern, die keinen Zugriff auf Ihre Rechnungen benötigen.

Ersetzen Sie bucketname (Bucket-Name) durch den Namen Ihres Buckets.

Weitere Informationen finden Sie unter Verwenden von Bucket-Richtlinien und Benutzerrichtlinien im Benutzerhandbuch für Amazon Simple Storage.

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Principal": {
      "Service": "billingreports.amazonaws.com"
    },
    "Action": [
      "s3:GetBucketAcl",
      "s3:GetBucketPolicy"
    ],
    "Resource": "arn:aws:s3:::bucketname"
  },
  {
    "Effect": "Allow",
    "Principal": {
      "Service": "billingreports.amazonaws.com"
    },
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::bucketname/*"
  }
  ]
}

Anzeigen der Kosten und Nutzung

Um Benutzern die Verwendung der AWS Cost Explorer Explorer-API zu ermöglichen, verwenden Sie die folgende Richtlinie, um ihnen Zugriff zu gewähren.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ce:*"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

AWS Regionen aktivieren und deaktivieren

Ein Beispiel für eine IAM-Richtlinie, die es Benutzern ermöglicht, Regionen zu aktivieren und zu deaktivieren, finden Sie unter AWS: Ermöglicht das Aktivieren und Deaktivieren von AWS Regionen im IAM-Benutzerhandbuch.

Anzeigen und Aktualisieren der Cost-Explorer-Einstellungen-Seite

Diese Richtlinie ermöglicht es einem Benutzer, die Einstellungen auf der Cost Explorer Explorer-Einstellungsseite anzuzeigen und zu aktualisieren.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "aws-portal:ViewBilling",
        "ce:UpdatePreferences"
       ],
      "Resource": "*"
    }
  ]
}

Mit der folgenden Richtlinie können Benutzer den Cost Explorer aufrufen, ihnen wird jedoch die Berechtigung zum Anzeigen oder Bearbeiten der Einstellungsseite verweigert.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:GetPreferences",
                "ce:UpdatePreferences"
            ],
            "Resource": "*"
        }
    ]
} 

Mit der folgenden Richtlinie können Benutzer den Cost Explorer aufrufen, ihnen wird jedoch die Bearbeitung der Seite „Einstellungen“ verweigert.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:UpdatePreferences"
            ],
            "Resource": "*"
        }
    ]
}

Anzeigen, Erstellen, Aktualisieren und Löschen über die Berichte-Seite von Cost Explorer

Diese Richtlinie ermöglicht es einem Benutzer, die Berichtsseite von Cost Explorer anzuzeigen, zu erstellen, zu aktualisieren und zu löschen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "aws-portal:ViewBilling",
        "ce:CreateReport",
        "ce:UpdateReport",
        "ce:DeleteReport"
       ],
      "Resource": "*"
    }
  ]
}

Mit der folgenden Richtlinie können Benutzer den Cost Explorer aufrufen, ihnen wird jedoch die Berechtigung zum Anzeigen oder Bearbeiten der Berichtsseite verweigert.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:DescribeReport",
                "ce:CreateReport",
                "ce:UpdateReport",
                "ce:DeleteReport"
            ],
            "Resource": "*"
        }
    ]
}

Die folgende Richtlinie ermöglicht es Benutzern, den Cost Explorer aufzurufen, ihnen jedoch die Berechtigung zum Bearbeiten der Berichtsseite zu verweigern.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action":  
                "ce:CreateReport",
                "ce:UpdateReport",
                "ce:DeleteReport"
            ],
            "Resource": "*"
        }
    ]
}

Anzeigen, Erstellen, Aktualisieren und Löschen von Reservierungs- und Savings-Plans-Warnungen

Diese Richtlinie ermöglicht es Benutzern, Benachrichtigungen über den Ablauf von Reservierungen und Benachrichtigungen über Savings Plans einzusehen, zu erstellen, zu aktualisieren und zu löschen. Um Warnungen zum Ablauf von Reservierungen oder Savings-Plans-Warnungen zu bearbeiten, benötigt ein Benutzer alle drei detaillierten Aktionen: ce:CreateNotificationSubscription, ce:UpdateNotificationSubscription und ce:DeleteNotificationSubscription.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "aws-portal:ViewBilling",
        "ce:CreateNotificationSubscription",
        "ce:UpdateNotificationSubscription",
        "ce:DeleteNotificationSubscription"
       ],
      "Resource": "*"
    }
  ]
}

Die folgende Richtlinie ermöglicht es Benutzern, den Cost Explorer aufzurufen, verweigert jedoch die Erlaubnis, die Warnseiten mit Benachrichtigungen zum Ablauf von Reservierungen und Savings Plans anzuzeigen oder zu bearbeiten.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:DescribeNotificationSubscription",
                "ce:CreateNotificationSubscription",
                "ce:UpdateNotificationSubscription",
                "ce:DeleteNotificationSubscription"
            ],
            "Resource": "*"
        }
    ]
}

Die folgende Richtlinie ermöglicht Benutzern das Aufrufen von Cost Explorer, verweigert jedoch die Bearbeitung der Warnseiten für Reservierungsablaufwarnungen und Savings Plans.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:CreateNotificationSubscription",
                "ce:UpdateNotificationSubscription",
                "ce:DeleteNotificationSubscription"
            ],
            "Resource": "*"
        }
    ]
}

Erlauben Sie den schreibgeschützten Zugriff auf die Erkennung von AWS Kostenanomalien

Um Benutzern nur Lesezugriff auf AWS Cost Anomaly Detection zu gewähren, verwenden Sie die folgende Richtlinie, um ihnen Zugriff zu gewähren. ce:ProvideAnomalyFeedbackist im Rahmen des schreibgeschützten Zugriffs optional.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ce:Get*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Erlauben Sie AWS Budgets, IAM-Richtlinien und SCPs anzuwenden

Diese Richtlinie ermöglicht AWS Budgets, IAM-Richtlinien und Service Control Policies (SCPs) im Namen des Benutzers anzuwenden.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy",
        "iam:AttachUserPolicy",
        "iam:DetachGroupPolicy",
        "iam:DetachRolePolicy",
        "iam:DetachUserPolicy",
        "organizations:AttachPolicy",
        "organizations:DetachPolicy"
      ],
      "Resource": "*"
    }
  ]
}

Ermöglicht AWS Budgets, IAM-Richtlinien und SCPs anzuwenden und EC2- und RDS-Instances als Ziel zu verwenden

Diese Richtlinie ermöglicht es AWS Budgets, IAM-Richtlinien und Service Control Policies (SCPs) anzuwenden und Amazon EC2- und Amazon RDS-Instances im Namen des Benutzers ins Visier zu nehmen.

Vertrauensrichtlinie

{
"Version": "2012-10-17",
"Statement": [
  {
    "Effect": "Allow",
    "Principal": {
      "Service": "budgets.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "ArnLike": {
        "aws:SourceArn": "arn:aws:budgets::123456789012:budget/*"
      },
      "StringEquals": {
        "aws:SourceAccount": "123456789012"
      }
    }
  }
]
}

Berechtigungsrichtlinie

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstanceStatus",
        "ec2:StartInstances",
        "ec2:StopInstances",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy",
        "iam:AttachUserPolicy",
        "iam:DetachGroupPolicy",
        "iam:DetachRolePolicy",
        "iam:DetachUserPolicy",
        "organizations:AttachPolicy",
        "organizations:DetachPolicy",
        "rds:DescribeDBInstances",
        "rds:StartDBInstance",
        "rds:StopDBInstance",
        "ssm:StartAutomationExecution"
      ],
      "Resource": "*"
    }
  ]
}