AWS Von verwaltete Richtlinien für AWS DataSync

Um Benutzern, Gruppen und Rollen Berechtigungen hinzuzufügen, ist es einfacher, von AWS verwaltete Richtlinien zu verwenden, als selbst Richtlinien zu schreiben. Es erfordert Zeit und Fachwissen, um von Kunden verwaltete IAM-Richtlinien zu erstellen, die Ihrem Team nur die benötigten Berechtigungen bieten. Um schnell loszulegen, können Sie unsere von AWS verwalteten Richtlinien verwenden. Diese Richtlinien decken allgemeine Anwendungsfälle ab und sind in Ihrem AWS-Konto verfügbar. Weitere Informationen zu verwalteten AWS-Richtlinien finden Sie unter Verwaltete AWS-Richtlinien im IAM-Leitfaden.

AWS-Services pflegen und aktualisieren AWS-verwaltete Richtlinien. Die Berechtigungen in von AWS verwalteten Richtlinien können nicht geändert werden. Services fügen einer von AWS verwalteten Richtlinien gelegentlich zusätzliche Berechtigungen hinzu, um neue Funktionen zu unterstützen. Diese Art von Update betrifft alle Identitäten (Benutzer, Gruppen und Rollen), an welche die Richtlinie angehängt ist. Services aktualisieren eine von AWS verwaltete Richtlinie am ehesten, wenn eine neue Funktion gestartet wird oder neue Vorgänge verfügbar werden. Services entfernen keine Berechtigungen aus einer von AWS verwalteten Richtlinie, so dass Richtlinien-Aktualisierungen Ihre vorhandenen Berechtigungen nicht beeinträchtigen.

Darüber hinaus unterstützt AWS verwaltete Richtlinien für Auftragsfunktionen, die mehrere Services umfassen. So bietet die AWS-verwaltete Richtlinie ReadOnlyAccess beispielsweise einen schreibgeschützten Zugriff auf alle AWS-Services und Ressourcen. Wenn ein Service eine neue Funktion startet, fügt AWS schreibgeschützte Berechtigungen für neue Vorgänge und Ressourcen hinzu. Eine Liste und Beschreibungen der Richtlinien für Auftragsfunktionen finden Sie in Verwaltete AWS-Richtlinien für Auftragsfunktionen im IAM-Leitfaden.

AWS verwaltete Richtlinie: AWSDataSyncReadOnlyAccess

Sie können die AWSDataSyncReadOnlyAccess-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt Nur-Lesen-Zugriff aufDataSync.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "datasync:Describe*",
                "datasync:List*",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:DescribeMountTargets",
                "fsx:DescribeFileSystems",
                "iam:GetRole",
                "iam:ListRoles",
                "logs:DescribeLogGroups",
                "logs:DescribeResourcePolicies",
                "s3:ListAllMyBuckets",
                "s3:ListBucket"
            ],
            "Resource": "*"
        }
    ]
}

AWS verwaltete Richtlinie: AWSDataSyncFullAccess

Sie können die AWSDataSyncFullAccess-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt Administratorberechtigungen für denAWS Management Console Zugriff auf den DienstDataSync und ist für diesen erforderlich. AWSDataSyncFullAccessbietet vollen Zugriff aufDataSync API-Operationen und die Operationen, die zugehörige Ressourcen beschreiben (wie Amazon S3 S3-Buckets und Amazon EFS-Dateisysteme). Die Richtlinie gewährt Amazon auch BerechtigungenCloudWatch, einschließlich der Erstellung von Protokollgruppen und der Erstellung oder Aktualisierung einer Ressourcenrichtlinie.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"datasync:*",
				"ec2:CreateNetworkInterface",
				"ec2:CreateNetworkInterfacePermission",
				"ec2:DeleteNetworkInterface",
				"ec2:DescribeNetworkInterfaces",
				"ec2:DescribeSecurityGroups",
				"ec2:DescribeSubnets",
				"ec2:DescribeVpcEndpoints",
				"ec2:ModifyNetworkInterfaceAttribute",
				"fsx:DescribeFileSystems",
				"fsx:DescribeStorageVirtualMachines",
				"elasticfilesystem:DescribeAccessPoints",
				"elasticfilesystem:DescribeFileSystems",
				"elasticfilesystem:DescribeMountTargets",
				"iam:GetRole",
				"iam:ListRoles",
				"logs:CreateLogGroup",
				"logs:DescribeLogGroups",
				"logs:DescribeResourcePolicies",
				"outposts:ListOutposts",
				"s3:GetBucketLocation",
				"s3:ListAllMyBuckets",
				"s3:ListBucket",
				"s3-outposts:ListAccessPoints",
				"s3-outposts:ListRegionalBuckets"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"datasync.amazonaws.com"
					]
				}
			}
		}
	]
}