Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwendung identitätsbasierter Richtlinien (IAMRichtlinien) für Amazon EventBridge

Identitätsbasierte Richtlinien sind Berechtigungsrichtlinien, die Sie Identitäten zuordnen IAM können.

AWS verwaltete Richtlinien für EventBridge

AWS adressiert viele gängige Anwendungsfälle durch die Bereitstellung eigenständiger IAM Richtlinien, die von erstellt und verwaltet werden AWS. Verwaltete oder vordefinierte Richtlinien erteilen die erforderlichen Berechtigungen für viele häufige Anwendungsfälle, sodass Sie nicht mühsam ermitteln müssen, welche Berechtigungen erforderlich sind. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter AWS Verwaltete Richtlinien.

Die folgenden AWS verwalteten Richtlinien, die Sie Benutzern in Ihrem Konto zuordnen können, sind spezifisch für EventBridge:

AmazonEventBridgeFullAccess Richtlinie

Die AmazonEventBridgeFullAccess Richtlinie gewährt Berechtigungen zur Verwendung aller EventBridge Aktionen sowie die folgenden Berechtigungen:

Im Folgenden wird die AmazonEventBridgeFullAccess Richtlinie JSON dargestellt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EventBridgeActions",        
            "Effect": "Allow",
            "Action": [
                "events:*",
                "schemas:*",
                "scheduler:*",
                "pipes:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateServiceLinkedRoleForApiDestinations",        
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/AmazonEventBridgeApiDestinationsServiceRolePolicy",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "apidestinations.events.amazonaws.com"
                }
            }
        },
        
        {
            "Sid": "SecretsManagerAccessForApiDestinations",        
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret",
                "secretsmanager:UpdateSecret",
                "secretsmanager:DeleteSecret",
                "secretsmanager:GetSecretValue",
                "secretsmanager:PutSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:events!*"
        },
        {
            "Sid": "IAMPassRoleAccessForEventBridge",                
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "events.amazonaws.com"
                }
            }
        },
        {
            "Sid": "IAMPassRoleAccessForScheduler",        
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        },
        {
            "Sid": "IAMPassRoleAccessForPipes",        
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "pipes.amazonaws.com"
                }
            }
        }
    ]
}

AmazonEventBridgeReadOnlyAccess Richtlinie

Die AmazonEventBridgeReadOnlyAccess Richtlinie gewährt Berechtigungen zur Verwendung aller EventBridge Leseaktionen.

Im Folgenden JSON wird die AmazonEventBridgeReadOnlyAccess Richtlinie dargestellt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:DescribeEventBus",
                "events:DescribeEventSource",
                "events:ListEventBuses",
                "events:ListEventSources",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule",
                "events:TestEventPattern",
                "events:DescribeArchive",
                "events:ListArchives",
                "events:DescribeReplay",
                "events:ListReplays",
                "events:DescribeConnection",
                "events:ListConnections",
                "events:DescribeApiDestination",
                "events:ListApiDestinations",
                "events:DescribeEndpoint",
                "events:ListEndpoints",
                "schemas:DescribeCodeBinding",
                "schemas:DescribeDiscoverer",
                "schemas:DescribeRegistry",
                "schemas:DescribeSchema",
                "schemas:ExportSchema",
                "schemas:GetCodeBindingSource",
                "schemas:GetDiscoveredSchema",
                "schemas:GetResourcePolicy",
                "schemas:ListDiscoverers",
                "schemas:ListRegistries",                
                "schemas:ListSchemas",                                
                "schemas:ListSchemaVersions",                                                
                "schemas:ListTagsForResource",
                "schemas:SearchSchemas",
                "scheduler:GetSchedule",
                "scheduler:GetScheduleGroup",                
                "scheduler:ListSchedules",
                "scheduler:ListScheduleGroups",                
                "scheduler:ListTagsForResource",
                "pipes:DescribePipe",
                "pipes:ListPipes",
                "pipes:ListTagsForResource"                
            ],
            "Resource": "*"
        }
    ]
}

EventBridge Schemaspezifische verwaltete Richtlinien

Ein Schema definiert die Struktur der Ereignisse, an die gesendet werden. EventBridge EventBridge stellt Schemas für alle Ereignisse bereit, die von AWS Diensten generiert werden. Die folgenden AWS verwalteten Richtlinien sind speziell für EventBridge Schemas verfügbar:

EventBridge Scheduler-spezifische verwaltete Richtlinien

Amazon EventBridge Scheduler ist ein serverloser Scheduler, mit dem Sie Aufgaben von einem zentralen, verwalteten Service aus erstellen, ausführen und verwalten können. Informationen zu AWS verwalteten Richtlinien, die speziell für EventBridge Scheduler gelten, finden Sie unter AWS Verwaltete Richtlinien für EventBridge Scheduler im Scheduler-Benutzerhandbuch. EventBridge

EventBridge Rohrspezifische verwaltete Richtlinien

Amazon EventBridge Pipes verbindet Ereignisquellen mit Zielen. Pipes reduzieren den Bedarf an Fachwissen und Integrationscode bei der Entwicklung ereignisgesteuerter Architekturen. Dies trägt dazu bei, die Konsistenz der Anwendungen Ihres Unternehmens sicherzustellen. Die folgenden AWS verwalteten Richtlinien, die speziell für EventBridge Pipes gelten, sind verfügbar:

IAMRollen für das Senden von Ereignissen

Um Ereignisse an Ziele weiterzuleiten, EventBridge ist eine IAM Rolle erforderlich.

Sie können auch Ihre eigenen benutzerdefinierten IAM Richtlinien erstellen, um Berechtigungen für EventBridge Aktionen und Ressourcen zu gewähren. Sie können diese benutzerdefinierten Richtlinien an die IAM Benutzer oder Gruppen anhängen, für die diese Berechtigungen erforderlich sind. Weitere Informationen zu IAM Richtlinien finden Sie im IAMBenutzerhandbuch unter Überblick über IAM Richtlinien. Weitere Informationen zur Verwaltung und Erstellung benutzerdefinierter IAM Richtlinien finden Sie im IAMBenutzerhandbuch unter IAMRichtlinien verwalten.

Für den Zugriff EventBridge auf Ziele mithilfe von IAM Rollen sind Berechtigungen erforderlich

EventBridge Ziele benötigen in der Regel IAM Rollen, die die Berechtigung EventBridge zum Aufrufen des Ziels gewähren. Im Folgenden finden Sie einige Beispiele für verschiedene AWS Dienste und Ziele. Andere Benutzer können die EventBridge Konsole verwenden, um eine Regel und eine neue Rolle zu erstellen, die dann mit einer Richtlinie mit vorkonfigurierten Berechtigungen für einen bestimmten Gültigkeitsbereich erstellt wird.

Amazon-SQS, Amazon-SNS, Lambda-, CloudWatch Logs- und EventBridge Busziele verwenden keine Rollen, und Berechtigungen dafür EventBridge müssen über eine Ressourcenrichtlinie erteilt werden. APIGateway-Ziele können entweder Ressourcenrichtlinien oder IAM Rollen verwenden.

Wenn es sich bei dem API Ziel um ein Ziel handelt, muss die von Ihnen angegebene Rolle die folgende Richtlinie enthalten.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
             "Action": [ "events:InvokeApiDestination" ],
            "Resource": [ "arn:aws:events:::api-destination/*" ]
        }
     ]
}

Wenn das Ziel ein Kinesis-Stream ist, muss die Rolle, die zum Senden von Ereignisdaten an das Ziel verwendet wird, folgende Richtlinie enthalten.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesis:PutRecord"
            ],
            "Resource": "*"
        }
    ]
}

Wenn das Ziel Systems Manager Run Command ist und Sie einen oder mehrere InstanceIds-Werte für den Befehl angeben, muss die Rolle, die Sie angeben, die folgende Richtlinie enthalten.

{
     "Version": "2012-10-17",
     "Statement": [
           {
                "Action": "ssm:SendCommand",
                "Effect": "Allow",
                "Resource": [
                     "arn:aws:ec2:region:accountId:instance/instanceIds",
                     "arn:aws:ssm:region:*:document/documentName"
                ]
           }
     ]
}

Wenn das Ziel Systems Manager Run Command ist und Sie einen oder mehrere Tags für den Befehl angeben, muss die Rolle, die Sie angeben, die folgende Richtlinie enthalten.

{
     "Version": "2012-10-17",
     "Statement": [
           {
                "Action": "ssm:SendCommand",
                "Effect": "Allow",
                "Resource": [
                     "arn:aws:ec2:region:accountId:instance/*"
                ],
                "Condition": {
                    "StringEquals": {
                        "ec2:ResourceTag/*": [
                            "[[tagValues]]"
                        ]
                    }
                }
           },
           {
                "Action": "ssm:SendCommand",
                "Effect": "Allow",
                "Resource": [
                     "arn:aws:ssm:region:*:document/documentName"
                ]
           }
     ]
}

Wenn es sich bei dem Ziel um eine AWS Step Functions Zustandsmaschine handelt, muss die von Ihnen angegebene Rolle die folgende Richtlinie enthalten.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
             "Action": [ "states:StartExecution" ],
            "Resource": [ "arn:aws:states:*:*:stateMachine:*" ]
        }
     ]
}

Wenn es sich bei dem Ziel um eine ECS Amazon-Aufgabe handelt, muss die von Ihnen angegebene Rolle die folgende Richtlinie enthalten.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "ecs:RunTask"
        ],
        "Resource": [
            "arn:aws:ecs:*:account-id:task-definition/task-definition-name"
        ],
        "Condition": {
            "ArnLike": {
                "ecs:cluster": "arn:aws:ecs:*:account-id:cluster/cluster-name"
            }
        }
    },
    {
        "Effect": "Allow",
        "Action":"iam:PassRole",
        "Resource": [
            "*"
        ],
        "Condition": {
            "StringLike": {
                "iam:PassedToService": "ecs-tasks.amazonaws.com"
            }
        }
    }]
}

Die folgende Richtlinie ermöglicht es integrierten Zielen EventBridge , EC2 Amazon-Aktionen in Ihrem Namen durchzuführen. Sie müssen den verwenden AWS Management Console , um Regeln mit integrierten Zielen zu erstellen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "TargetInvocationAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:Describe*",
                "ec2:RebootInstances",
                "ec2:StopInstances",
                "ec2:TerminateInstances",
                "ec2:CreateSnapshot"
            ],
            "Resource": "*"
        }
    ]
}

Die folgende Richtlinie ermöglicht EventBridge die Weiterleitung von Ereignissen an die Kinesis-Streams in Ihrem Konto.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "KinesisAccess",
            "Effect": "Allow",
            "Action": [
                "kinesis:PutRecord"
            ],
            "Resource": "*"
        }
    ]
}

Beispiel für eine vom Kunden verwaltete Richtlinie: Verwenden der Markierung mit Tags zum Steuern des Zugriffs auf Regeln

Das folgende Beispiel zeigt eine Benutzerrichtlinie, die Berechtigungen für EventBridge Aktionen gewährt. Diese Richtlinie funktioniert, wenn Sie die EventBridge API AWS SDKs, oder die verwenden AWS CLI.

Sie können Benutzern Zugriff auf bestimmte EventBridge Regeln gewähren und sie gleichzeitig daran hindern, auf andere Regeln zuzugreifen. Dazu kennzeichnen Sie beide Regelgruppen und verwenden dann IAM Richtlinien, die sich auf diese Tags beziehen. Weitere Informationen zum Markieren von EventBridge Ressourcen finden Sie unterRessourcen in Amazon taggen EventBridge.

Sie können einem Benutzer eine IAM Richtlinie gewähren, um nur den Zugriff auf die Regeln mit einem bestimmten Tag zu gewähren. Sie wählen aus, auf welche Regeln Sie Zugriff gewähren möchten, indem Sie sie mit diesem bestimmten Tag markieren. Beispielweise gewährt die folgende Richtlinie einem Benutzer nur den Zugriff auf Regeln mit dem Wert Prod für den Tag-Schlüssel Stack.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "events:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Stack": "Prod"
                }
            }
        }
    ]
}

Weitere Informationen zur Verwendung von IAM Richtlinienanweisungen finden Sie unter Steuern des Zugriffs mithilfe von Richtlinien im IAMBenutzerhandbuch.

EventBridge Aktualisierungen der AWS verwalteten Richtlinien durch Amazon

Hier finden Sie Informationen zu Aktualisierungen der AWS verwalteten Richtlinien, die EventBridge seit Beginn der Nachverfolgung dieser Änderungen durch diesen Service vorgenommen wurden. Abonnieren Sie den RSS Feed auf der Seite EventBridge Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.