Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Überblick über die Verwaltung von Zugriffsberechtigungen für Ihre AWS Directory Service Ressourcen

Jede AWS Ressource gehört einem AWS Konto. Daher werden die Berechtigungen zum Erstellen oder Zugreifen auf die Ressourcen durch Berechtigungsrichtlinien geregelt. Ein Kontoadministrator, bei dem es sich um einen Benutzer mit Administratorrechten handelt, kann Ressourcen jedoch Berechtigungen zuweisen. Sie haben auch die Möglichkeit, IAM-Identitäten wie Benutzern, Gruppen und Rollen Berechtigungsrichtlinien zuzuweisen, und einige Dienste unterstützen AWS Lambda auch das Anhängen von Berechtigungsrichtlinien an Ressourcen.

AWS Directory Service Ressourcen und Abläufe

AWS Directory Service In ist die primäre Ressource ein Verzeichnis. Da Verzeichnis-Snapshot-Ressourcen AWS Directory Service unterstützt werden, können Sie Snapshots nur im Kontext eines vorhandenen Verzeichnisses erstellen. Dieser Snapshot wird als Unterressource bezeichnet.

Diesen Ressourcen sind eindeutige Amazon-Ressourcennamen (ARNs) zugeordnet, wie in der folgenden Tabelle dargestellt.

AWS Directory Service umfasst zwei Service-Namespaces, die auf der Art der von Ihnen ausgeführten Operationen basieren.

Grundlegendes zum Eigentum an Ressourcen

Ein Ressourcenbesitzer ist das AWS Konto, das eine Ressource erstellt hat. Das heißt, der Ressourcenbesitzer ist das AWS Konto der Prinzipalentität (das Root-Konto, ein IAM-Benutzer oder eine IAM-Rolle), das die Anforderung authentifiziert, mit der die Ressource erstellt wird. Die Funktionsweise wird anhand der folgenden Beispiele deutlich:

Verwaltung des Zugriffs auf -Ressourcen

Eine Berechtigungsrichtlinie beschreibt, wer Zugriff auf welche Objekte hat. Im folgenden Abschnitt werden die verfügbaren Optionen zum Erstellen von Berechtigungsrichtlinien erläutert.

Richtlinien, die mit einer IAM-Identität verknüpft sind, werden als identitätsbasierte Richtlinien (IAM-Richtlinien) bezeichnet, und Richtlinien, die einer Ressource zugeordnet sind, werden als ressourcenbasierte Richtlinien bezeichnet. AWS Directory Service unterstützt nur identitätsbasierte Richtlinien (IAM-Richtlinien).

Identitätsbasierte Richtlinien (IAM-Richtlinien)

Richtlinien können IAM-Identitäten angefügt werden. Sie können z. B. Folgendes tun:

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen für einen Benutzer, alle Aktionen auszuführen, die mit beginne Describe. Diese Aktionen zeigen Informationen über eine AWS Directory Service Ressource an, z. B. ein Verzeichnis oder einen Snapshot. Beachten Sie, dass das Platzhalterzeichen (*) im Resource Element angibt, dass die Aktionen für alle AWS Directory Service Ressourcen zulässig sind, die dem Konto gehören.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ds:Describe*",
         "Resource":"*"
      }
   ]
}

Weitere Informationen zur Verwendung identitätsbasierter Richtlinien mit AWS Directory Service finden Sie unter. Verwendung identitätsbasierter Richtlinien (IAM-Richtlinien) für AWS Directory Service Weitere Informationen zu Benutzern, Gruppen, Rollen und Berechtigungen finden Sie unter Identitäten (Benutzer, Gruppen und Rollen) im IAM-Benutzerhandbuch.

Ressourcenbasierte Richtlinien

Andere Services, z. B. Amazon-S3, unterstützen auch ressourcenbasierte Berechtigungsrichtlinien. Sie können beispielsweise eine Richtlinie an einen S3-Bucket anhängen, um die Zugriffsberechtigungen für diesen Bucket zu verwalten. AWS Directory Service unterstützt keine ressourcenbasierten Richtlinien.

Angeben der Richtlinienelemente: Aktionen, Effekte, Ressourcen und Prinzipale

Für jede AWS Directory Service Ressource definiert der Dienst eine Reihe von API-Vorgängen. Weitere Informationen finden Sie unter AWS Directory Service Ressourcen und Abläufe. Eine Liste der verfügbaren API-Operationen finden Sie unter Verzeichnisservice-Aktionen.

AWS Directory Service Definiert eine Reihe von Aktionen, die Sie in einer Richtlinie angeben können, um Berechtigungen für diese API-Operationen zu gewähren. Zur Durchführung einer API-Operation können Berechtigungen für mehrere Aktionen erforderlich sein.

Grundlegende Richtlinienelemente:

Weitere Informationen zur Syntax sowie Beschreibungen von IAM-Richtlinien finden Sie in der IAM-JSON-Richtlinienreferenz im IAM-Benutzerhandbuch.

Eine Tabelle mit allen AWS Directory Service API-Aktionen und den Ressourcen, für die sie gelten, finden Sie unter. AWS Directory Service API-Berechtigungen: Referenz zu Aktionen, Ressourcen und Bedingungen

Angeben von Bedingungen in einer Richtlinie

Beim Erteilen von Berechtigungen können Sie mithilfe der Sprache der Zugriffsrichtlinie die Bedingungen angeben, wann die Richtlinie wirksam werden soll. Beispielsweise kann festgelegt werden, dass eine Richtlinie erst ab einem bestimmten Datum gilt. Weitere Informationen zum Angeben von Bedingungen in einer Richtliniensyntax finden Sie im Thema Bedingung im IAM Benutzerhandbuch.

Bedingungen werden mithilfe vordefinierter Bedingungsschlüssel formuliert. Für AWS Directory Service gibt es keine speziellen Bedingungsschlüssel. Es gibt jedoch AWS Bedingungsschlüssel, die Sie je nach Bedarf verwenden können. Eine vollständige Liste der AWS Schlüssel finden Sie unter Verfügbare globale Bedingungsschlüssel im IAM-Benutzerhandbuch.