Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Sicherheit bei Amazon FSx
Cloud-Sicherheit AWS hat höchste Priorität. Als AWS Kunde profitieren Sie von einer Rechenzentrums- und Netzwerkarchitektur, die darauf ausgelegt sind, die Anforderungen der sicherheitssensibelsten Unternehmen zu erfüllen.
Sicherheit ist eine gemeinsame Verantwortung von Ihnen AWS und Ihnen. Das [Modell der geteilten Verantwortung](https://aws.amazon.com/compliance/shared-responsibility-model/) beschreibt dies als Sicherheit *der* Cloud und Sicherheit *in* der Cloud:
+ **Sicherheit der Cloud** — AWS ist verantwortlich für den Schutz der Infrastruktur, die AWS Dienste in der Amazon Web Services Cloud ausführt. AWS bietet Ihnen auch Dienste, die Sie sicher nutzen können. Auditoren von Drittanbietern testen und überprüfen die Effektivität unserer Sicherheitsmaßnahmen im Rahmen der [AWS -Compliance-Programme](https://aws.amazon.com/compliance/programs/) regelmäßig. Weitere Informationen zu den Compliance-Programmen, die FSx für Amazon for Windows File Server gelten, finden Sie unter [AWS Services in Scope by Compliance Program](https://aws.amazon.com/compliance/services-in-scope/).
+ **Sicherheit in der Cloud** — Ihre Verantwortung richtet sich nach dem AWS Service, den Sie nutzen. Sie sind auch für andere Faktoren verantwortlich, etwa für die Vertraulichkeit Ihrer Daten, für die Anforderungen Ihres Unternehmens und für die geltenden Gesetze und Vorschriften.
Diese Dokumentation hilft Ihnen zu verstehen, wie Sie das Modell der gemeinsamen Verantwortung bei der Verwendung von Amazon FSx for Windows File Server anwenden können. In den folgenden Themen erfahren Sie, wie Sie Amazon FSx for Windows File Server konfigurieren, um Ihre Sicherheits- und Compliance-Ziele zu erreichen. Sie erfahren auch, wie Sie andere AWS Services nutzen können, die Ihnen helfen, Ihre Amazon FSx for Windows File Server-Ressourcen zu überwachen und zu sichern.
**Topics**
+ [Datenschutz in Amazon FSx für Windows File Server](data-protection-encryption.md)
+ [Zugriffskontrolle auf Datei- und Ordnerebene mithilfe von Windows ACLs](limit-access-file-folder.md)
+ [Zugriffskontrolle für Dateisysteme mit Amazon VPC](limit-access-security-groups.md)
+ [Protokollierung des Endbenutzerzugriffs mit Dateizugriffsüberwachung](file-access-auditing.md)
+ [Identitäts- und Zugriffsmanagement für Amazon FSx für Windows File Server](security-iam.md)
+ [Konformitätsprüfung für Amazon FSx for Windows File Server](fsx-compliance.md)
+ [Amazon FSx für Windows Dateiserver- und Schnittstellen-VPC-Endpunkte](fsx-vpc-endpoints.md)
# Datenschutz in Amazon FSx für Windows File Server
Das AWS [Modell](https://aws.amazon.com/compliance/shared-responsibility-model/) der mit gilt für den Datenschutz in Amazon FSx for Windows File Server. Wie in diesem Modell beschrieben, AWS ist verantwortlich für den Schutz der globalen Infrastruktur, auf der alle Systeme laufen AWS Cloud. Sie sind dafür verantwortlich, die Kontrolle über Ihre in dieser Infrastruktur gehosteten Inhalte zu behalten. Sie sind auch für die Sicherheitskonfiguration und die Verwaltungsaufgaben für die von Ihnen verwendeten AWS-Services verantwortlich. Weitere Informationen zum Datenschutz finden Sie unter [Häufig gestellte Fragen zum Datenschutz](https://aws.amazon.com/compliance/data-privacy-faq/). Informationen zum Datenschutz in Europa finden Sie im Blog-Beitrag [AWS -Modell der geteilten Verantwortung und in der DSGVO](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) im *AWS -Sicherheitsblog*.
Aus Datenschutzgründen empfehlen wir, dass Sie AWS-Konto Anmeldeinformationen schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einrichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:
+ Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).
+ Verwenden Sie SSL/TLS, um mit Ressourcen zu kommunizieren. AWS Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
+ Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein. AWS CloudTrail Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten finden Sie unter [Arbeiten mit CloudTrail Pfaden](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) im *AWS CloudTrail Benutzerhandbuch*.
+ Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.
+ Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.
+ Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter [Federal Information Processing Standard (FIPS) 140-3](https://aws.amazon.com/compliance/fips/).
Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld **Name**, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie mit FSx für Windows File Server oder anderen Geräten arbeiten, indem Sie die Konsole, die API oder AWS-Services verwenden. AWS CLI AWS SDKs Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.
## Datenverschlüsselung FSx für Windows File Server
Amazon FSx für Windows File Server unterstützt die Verschlüsselung von Daten im Ruhezustand und die Verschlüsselung von Daten während der Übertragung. Die Verschlüsselung von Daten im Ruhezustand wird automatisch aktiviert, wenn ein FSx Amazon-Dateisystem erstellt wird. Die Verschlüsselung von Daten während der Übertragung wird auf Dateifreigaben unterstützt, die einer Compute-Instance zugeordnet sind, die das SMB-Protokoll 3.0 oder neuer unterstützt. Amazon verschlüsselt Daten während der Übertragung FSx automatisch mithilfe der SMB-Verschlüsselung, wenn Sie auf Ihr Dateisystem zugreifen, ohne dass Sie Ihre Anwendungen ändern müssen.
### Verwendung von Verschlüsselung
Wenn in Ihrem Unternehmen Unternehmens- oder Behördenrichtlinien für die Verschlüsselung von gespeicherten Daten und Metadaten gelten, sollten Sie ein verschlüsseltes Dateisystem erstellen, bei dem Daten während der Übertragung verschlüsselt werden.
Wenn Ihr Unternehmen Unternehmens- oder behördlichen Richtlinien unterliegt, die die Verschlüsselung von Daten und Metadaten im Ruhezustand vorschreiben, werden Ihre Daten im Ruhezustand automatisch verschlüsselt. Wir empfehlen Ihnen außerdem, die Verschlüsselung von Daten bei der Übertragung zu aktivieren, indem Sie Ihr Dateisystem mithilfe der Verschlüsselung von Daten während der Übertragung einbinden.
# Verschlüsselung gespeicherter Daten
Alle FSx Amazon-Dateisysteme sind im Ruhezustand mit Schlüsseln verschlüsselt, die mit AWS Key Management Service (AWS KMS) verwaltet werden. Daten werden automatisch verschlüsselt, bevor sie in das Dateisystem geschrieben werden, und beim Lesen automatisch entschlüsselt. Diese Prozesse werden von Amazon transparent abgewickelt FSx, sodass Sie Ihre Anwendungen nicht ändern müssen.
Amazon FSx verwendet einen branchenüblichen AES-256-Verschlüsselungsalgorithmus, um FSx Daten und Metadaten von Amazon im Ruhezustand zu verschlüsseln. Weitere Informationen finden Sie unter [Grundlagen der Kryptographie](https://docs.aws.amazon.com/kms/latest/developerguide/crypto-intro.html) im *AWS Key Management Service -Entwicklerhandbuch*.
**Anmerkung**
Die Infrastruktur AWS für die Schlüsselverwaltung verwendet von den Federal Information Processing Standards (FIPS) 140-2 zugelassene kryptografische Algorithmen. Die Infrastruktur entspricht den Empfehlungen der National Institute of Standards and Technology (NIST) 800-57.
## So FSx nutzt Amazon AWS KMS
Amazon FSx integriert sich in AWS KMS unsere Schlüsselverwaltung. Amazon FSx verwendet ein AWS KMS key , um Ihr Dateisystem zu verschlüsseln. Sie wählen den KMS-Schlüssel, der zum Verschlüsseln und Entschlüsseln von Dateisystemen (sowohl Daten als auch Metadaten) verwendet wird. Sie können Zuweisungen für diesen KMS-Schlüssel aktivieren, deaktivieren oder widerrufen. Dieser KMS-Schlüssel kann einer der beiden folgenden Typen sein:
+ **Von AWS verwalteter Schlüssel**— Dies ist der Standard-KMS-Schlüssel, der kostenlos verwendet werden kann.
+ **Kundenverwalteter Schlüssel** – Dies ist der flexibelste KMS-Schlüssel, da Sie seine Schlüsselrichtlinien und Berechtigungen für mehrere Benutzer oder Dienste konfigurieren können. Weitere Informationen zum Erstellen von kundenverwalteten Schlüsseln finden Sie unter [Creating Keys](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html) im * AWS Key Management Service Developer Guide*.
Wenn Sie einen vom Kunden verwalteten Schlüssel als KMS-Schlüssel für die Verschlüsselung und Entschlüsselung von Dateidaten verwenden, können Sie die Schlüsselrotation aktivieren. In diesem Fall rotiert AWS KMS Ihren Schlüssel einmal jährlich automatisch. Darüber hinaus können Sie mit einem vom Kunden verwalteten Schlüssel jederzeit wählen, wann Sie den Zugriff auf Ihren KMS-Schlüssel deaktivieren, erneut aktivieren, löschen oder widerrufen möchten. Weitere Informationen finden Sie unter [Rotating AWS KMS keys](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html) im * AWS Key Management Service Entwicklerhandbuch*.
## FSx Wichtige Richtlinien von Amazon für AWS KMS
Schlüsselrichtlinien sind die primäre Methode zur Zugriffssteuerung für KMS-Schlüssel. Weitere Informationen zu wichtigen Richtlinien finden Sie unter [Verwenden wichtiger Richtlinien AWS KMS im AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html) *Entwicklerhandbuch.*In der folgenden Liste werden alle zugehörigen Berechtigungen AWS KMS beschrieben, die von Amazon FSx für Dateisysteme mit Verschlüsselung im Ruhezustand unterstützt werden:
+ **kms:Encrypt** – (Optional) Verschlüsselt Klartext in Geheimtext. Diese Berechtigung ist in der Standard-Schlüsselrichtlinie enthalten.
+ **kms:Decrypt** – (Erforderlich) Entschlüsselt Geheimtext. Geheimtext ist Klartext, der zuvor verschlüsselt wurde. Diese Berechtigung ist in der Standard-Schlüsselrichtlinie enthalten.
+ **kms: ReEncrypt** — (Optional) Verschlüsselt Daten auf der Serverseite mit einem neuen KMS-Schlüssel, ohne den Klartext der Daten auf der Clientseite offenzulegen. Die Daten werden zuerst entschlüsselt und dann neu verschlüsselt. Diese Berechtigung ist in der Standard-Schlüsselrichtlinie enthalten.
+ **kms: GenerateDataKeyWithoutPlaintext** — (Erforderlich) Gibt einen mit einem KMS-Schlüssel verschlüsselten Datenverschlüsselungsschlüssel zurück. Diese Berechtigung ist in der Standardschlüsselrichtlinie unter **kms: GenerateDataKey \$1** enthalten.
+ **kms: CreateGrant** — (Erforderlich) Fügt einem Schlüssel einen Zuschuss hinzu, um anzugeben, wer den Schlüssel verwenden kann und unter welchen Bedingungen. Erteilungen sind eine alternative Berechtigungsmethode zu Schlüsselrichtlinien. Weitere Informationen zu Zuschüssen finden Sie unter [Verwendung von Zuschüssen](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html) im AWS Key Management Service Entwicklerhandbuch. Diese Berechtigung ist in der Standard-Schlüsselrichtlinie enthalten.
+ **kms: DescribeKey** — (Erforderlich) Stellt detaillierte Informationen zum angegebenen KMS-Schlüssel bereit. Diese Berechtigung ist in der Standard-Schlüsselrichtlinie enthalten.
+ **kms: ListAliases** — (Optional) Listet alle Schlüsselaliase im Konto auf. Wenn Sie die Konsole verwenden, um ein verschlüsseltes Dateisystem zu erstellen, füllt diese Berechtigung die Liste der KMS-Schlüssel auf. Wir empfehlen für eine optimale Benutzererfahrung diese Berechtigung. Diese Berechtigung ist in der Standard-Schlüsselrichtlinie enthalten.
# Verschlüsseln von Daten während der Übertragung.
Die Verschlüsselung von Daten während der Übertragung wird für Dateifreigaben unterstützt, die einer Recheninstanz zugeordnet sind, die das SMB-Protokoll 3.0 oder neuer unterstützt. Dies umfasst alle Windows-Versionen ab Windows Server 2012 und Windows 8 sowie alle Linux-Clients mit Samba-Client-Version 4.2 oder neuer. Amazon FSx für Windows File Server verschlüsselt Daten während der Übertragung automatisch mithilfe der SMB-Verschlüsselung, wenn Sie auf Ihr Dateisystem zugreifen, ohne dass Sie Ihre Anwendungen ändern müssen.
Die SMB-Verschlüsselung verwendet AES-128-GCM oder AES-128-CCM (wobei die GCM-Variante ausgewählt wird, wenn der Client SMB 3.1.1 unterstützt) als Verschlüsselungsalgorithmus und bietet außerdem Datenintegrität durch Signierung mit SMB-Kerberos-Sitzungsschlüsseln. Die Verwendung von AES-128-GCM führt zu einer besseren Leistung, beispielsweise bis zu einer zweifachen Leistungssteigerung beim Kopieren großer Dateien über verschlüsselte SMB-Verbindungen.
Um die Compliance-Anforderungen für eine durchgehende Verschlüsselung zu erfüllen data-in-transit, können Sie den Dateisystemzugriff so einschränken, dass nur Clients Zugriff haben, die SMB-Verschlüsselung unterstützen. Sie können auch die Verschlüsselung während der Übertragung pro Dateifreigabe oder für das gesamte Dateisystem aktivieren oder deaktivieren. Auf diese Weise können Sie eine Mischung aus verschlüsselten und unverschlüsselten Dateifreigaben auf demselben Dateisystem verwenden.
## Verwaltung der Verschlüsselung bei der Übertragung
Sie können eine Reihe von benutzerdefinierten PowerShell Befehlen verwenden, um die Verschlüsselung Ihrer Daten bei der Übertragung zwischen Ihrem Dateisystem FSx für Windows File Server und Clients zu steuern. Sie können den Dateisystemzugriff auf Clients beschränken, die SMB-Verschlüsselung unterstützen, sodass diese immer verschlüsselt data-in-transit ist. Wenn die Erzwingung für die Verschlüsselung von aktiviert ist data-in-transit, können Benutzer, die von Clients aus auf das Dateisystem zugreifen, die die SMB 3.0-Verschlüsselung nicht unterstützen, nicht auf Dateifreigaben zugreifen, für die die Verschlüsselung aktiviert ist.
Sie können die Verschlüsselung auch auf Dateifreigabeebene statt data-in-transit auf Dateiserverebene steuern. Sie können Verschlüsselungskontrollen auf Dateifreigabeebene verwenden, um eine Mischung aus verschlüsselten und unverschlüsselten Dateifreigaben auf demselben Dateisystem einzurichten, wenn Sie für einige Dateifreigaben mit vertraulichen Daten die Verschlüsselung während der Übertragung erzwingen und allen Benutzern den Zugriff auf andere Dateifreigaben ermöglichen möchten. Die serverweite Verschlüsselung hat Vorrang vor der Verschlüsselung auf Freigabeebene. Wenn die globale Verschlüsselung aktiviert ist, können Sie die Verschlüsselung für bestimmte Shares nicht selektiv deaktivieren.
Sie können die Verschlüsselung während der Übertragung in Ihrem Dateisystem verwalten, indem Sie die Amazon FSx CLI für die Fernverwaltung verwenden. PowerShell Informationen zur Verwendung dieser CLI finden Sie unter[Verwenden der Amazon FSx CLI für PowerShell](administering-file-systems.md#remote-pwrshell).
Im Folgenden finden Sie Befehle, mit denen Sie die Verschlüsselung von Benutzern während der Übertragung in Ihrem Dateisystem verwalten können.
| Verschlüsselung im Transit Command | Beschreibung |
| --- | --- |
| **Get-FSxSmbServerConfiguration** | Ruft die Server Message Block (SMB) -Serverkonfiguration ab. In der Systemantwort können Sie die Einstellungen für die Verschlüsselung bei der Übertragung für Ihr Dateisystem anhand der Werte für die `EncryptData` Eigenschaften und festlegen. `RejectUnencryptedAccess` |
| **Set-FSxSmbServerConfiguration** | Dieser Befehl bietet zwei Optionen für die globale Konfiguration der Verschlüsselung während der Übertragung im Dateisystem: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/encryption-in-transit.html) |
| **Set-FSxSmbShare -name *name* -EncryptData \$1True** | Legen Sie diesen Parameter auf fest, `True` um die Verschlüsselung von Daten während der Übertragung für die gemeinsame Nutzung zu aktivieren. Legen Sie diesen Parameter auf fest, `False` um die Verschlüsselung von Daten bei der Übertragung für die gemeinsame Nutzung zu deaktivieren. |
Die Online-Hilfe für jeden Befehl enthält eine Referenz zu allen Befehlsoptionen. Um auf diese Hilfe zuzugreifen, führen Sie den Befehl **-?** beispielsweise mit aus**Get-FSxSmbServerConfiguration -?**.
# Zugriffskontrolle auf Datei- und Ordnerebene mithilfe von Windows ACLs
Amazon FSx für Windows File Server unterstützt identitätsbasierte Authentifizierung über das Server Message Block (SMB) -Protokoll über Microsoft Active Directory. Active Directory ist der Verzeichnisdienst von Microsoft, der Informationen über Objekte im Netzwerk speichert und Administratoren und Benutzern das Auffinden und Verwenden dieser Informationen erleichtert. Zu diesen Objekten gehören in der Regel gemeinsam genutzte Ressourcen wie Dateiserver und Netzwerkbenutzer- und Computerkonten. Weitere Informationen zur Active Directory-Unterstützung in Amazon FSx finden Sie unter[Arbeiten mit Microsoft Active Directory](aws-ad-integration-fsxW.md).
Ihre domänengebundenen Compute-Instances können mithilfe von Active Directory-Anmeldeinformationen auf FSx Amazon-Fileshares zugreifen. Sie verwenden standardmäßige Windows-Zugriffskontrolllisten (ACLs) für eine detaillierte Zugriffskontrolle auf Datei- und Ordnerebene. FSx Amazon-Dateisysteme überprüfen automatisch die Anmeldeinformationen von Benutzern, die auf Dateisystemdaten zugreifen, um diese Windows durchzusetzen ACLs.
Jedes FSx Amazon-Dateisystem verfügt über eine Standard-Windows-Dateifreigabe namens`share`. Die Windows ACLs für diesen gemeinsamen Ordner sind so konfiguriert, dass **authentifizierte Benutzer read/write Zugriff haben**, einschließlich Benutzern in der Domäne, der das Dateisystem angehört, und Benutzern in Domänen mit einer Vertrauensbeziehung. Sie gewähren auch der Gruppe der delegierten Administratoren in Ihrem Active Directory, die mit der Durchführung von Verwaltungsaktionen auf Ihren Dateisystemen beauftragt ist, die volle Kontrolle. Wenn Sie Ihr Dateisystem in AWS Managed Microsoft AD integrieren, ist diese Gruppe AWS Delegierte FSx Administratoren. Wenn Sie Ihr Dateisystem in Ihr selbstverwaltetes Microsoft AD-Setup integrieren, kann es sich bei dieser Gruppe um Domain-Admins handeln. Oder es kann sich um eine benutzerdefinierte Gruppe delegierter Administratoren handeln, die Sie bei der Erstellung des Dateisystems angegeben haben. Um das zu ändern ACLs, können Sie die Freigabe einem Benutzer zuordnen, der Mitglied der Gruppe der delegierten Administratoren ist.
| |
| --- |
| Amazon FSx verlangt, dass der SYSTEM-Benutzer über die NTFS-ACL-Berechtigungen „**Vollständige Kontrolle**“ für alle Ordner in Ihrem Dateisystem verfügt. Ändern Sie nicht die NTFS-ACL-Berechtigungen für diesen Benutzer in Ihren Ordnern. Dadurch kann auf Ihre Dateifreigabe nicht mehr zugegriffen werden und Dateisystem-Backups können nicht verwendet werden. |
## Weiterführende Links
+ [Was ist ein AWS Directory Service?](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/what_is.html) im AWS Directory Service Administrationshandbuch.
+ [Erstellen Sie Ihr AWS verwaltetes Microsoft AD-Verzeichnis](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_getting_started_create_directory.html) im *AWS Directory Service Administrationshandbuch*.
+ [Wann sollten Sie im *AWS Directory Service Administratorhandbuch* eine Vertrauensbeziehung](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_setup_trust.html) einrichten?
+ [Schritt 1. Ein Active Directory einrichten](getting-started.md#prereq-step1).
# Zugriffskontrolle für Dateisysteme mit Amazon VPC
Sie greifen über eine elastic network interface auf Ihr FSx Amazon-Dateisystem zu. Diese Netzwerkschnittstelle befindet sich in der Virtual Private Cloud (VPC), die auf dem Amazon Virtual Private Cloud (Amazon VPC) -Service basiert, den Sie mit Ihrem Dateisystem verknüpfen. Sie stellen über seinen Domain Name Service (DNS) -Namen eine Verbindung zu Ihrem FSx Amazon-Dateisystem her. Der DNS-Name ist der privaten IP-Adresse der elastic network interface des Dateisystems in Ihrer VPC zugeordnet. Nur Ressourcen innerhalb der zugehörigen VPC, Ressourcen, die über Direct Connect oder VPN mit der zugehörigen VPC verbunden sind, oder Ressourcen innerhalb eines Peering-Netzwerks VPCs können auf die Netzwerkschnittstelle Ihres Dateisystems zugreifen. Weitere Informationen finden Sie unter [Was ist Amazon VPC?](https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html) im *Amazon VPC-Benutzerhandbuch*.
**Warnung**
Sie dürfen die elastic network interface (n), die mit Ihrem Dateisystem verknüpft sind, nicht ändern oder löschen. Das Ändern oder Löschen der Netzwerkschnittstelle kann zu einem dauerhaften Verbindungsverlust zwischen Ihrer VPC und Ihrem Dateisystem führen.
FSx für Windows File Server unterstützt VPC Sharing, sodass Sie Ressourcen in einem gemeinsam genutzten Subnetz in einer VPC, die einem anderen Konto gehört, anzeigen, erstellen, ändern und löschen können. AWS Weitere Informationen finden Sie unter [Arbeiten mit Shared VPCs](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-sharing.html) im *Amazon VPC-Benutzerhandbuch*.
## Amazon VPC-Sicherheitsgruppen
Um den Netzwerkverkehr, der über die elastic network interface Netzwerkschnittstellen Ihres Dateisystems innerhalb Ihrer VPC fließt, weiter zu kontrollieren, verwenden Sie Sicherheitsgruppen, um den Zugriff auf Ihre Dateisysteme einzuschränken. Eine *Sicherheitsgruppe* ist eine Stateful-Firewall, die den Datenverkehr zu und von den zugehörigen Netzwerkschnittstellen steuert. In diesem Fall handelt es sich bei der zugehörigen Ressource um die Netzwerkschnittstelle (n) Ihres Dateisystems.
Um eine Sicherheitsgruppe zur Steuerung des Zugriffs auf Ihr FSx Amazon-Dateisystem zu verwenden, fügen Sie Regeln für eingehenden und ausgehenden Datenverkehr hinzu. Eingehende Regeln kontrollieren den eingehenden Verkehr, und ausgehende Regeln kontrollieren den ausgehenden Verkehr aus Ihrem Dateisystem. Stellen Sie sicher, dass Sie in Ihrer Sicherheitsgruppe über die richtigen Regeln für den Netzwerkverkehr verfügen, um die FSx Dateifreigabe Ihres Amazon-Dateisystems einem Ordner auf Ihrer unterstützten Compute-Instance zuzuordnen.
Weitere Informationen zu Sicherheitsgruppenregeln finden Sie unter [Sicherheitsgruppenregeln](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-network-security.html#security-group-rules) im *Amazon EC2 EC2-Benutzerhandbuch*.
**Um eine Sicherheitsgruppe für Amazon zu erstellen FSx**
1. Öffnen Sie die Amazon EC2 EC2-Konsole unter [https://console.aws.amazon.com/ec2](https://console.aws.amazon.com/ec2).
1. Wählen Sie im Navigationsbereich **Sicherheitsgruppen** aus.
1. Wählen Sie **Create Security Group** aus.
1. Geben Sie einen Namen und eine Beschreibung für die Sicherheitsgruppe an.
1. Wählen Sie für **VPC** die Amazon VPC aus, die Ihrem Dateisystem zugeordnet ist, um die Sicherheitsgruppe innerhalb dieser VPC zu erstellen.
1. Fügen Sie die folgenden Regeln hinzu, um ausgehenden Netzwerkverkehr an den folgenden Ports zuzulassen:
1. Für **VPC-Sicherheitsgruppen** ist die Standardsicherheitsgruppe für Ihre standardmäßige Amazon-VPC bereits zu Ihrem Dateisystem in der Konsole hinzugefügt. Bitte stellen Sie sicher, dass die Sicherheitsgruppe und das VPC-Netzwerk ACLs für die Subnetze, in denen Sie Ihr FSx Dateisystem erstellen, Datenverkehr auf den Ports und in den Anweisungen zulassen, die in der folgenden Abbildung dargestellt sind.
![\[FSx für die Portkonfigurationsanforderungen von Windows File Server für VPC-Sicherheitsgruppen und das Netzwerk ACLs für die Subnetze, in denen das Dateisystem erstellt wird.\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/images/Windows-port-requirements.png)
In der folgenden Tabelle ist die Rolle der einzelnen Ports aufgeführt.
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/limit-access-security-groups.html)
**Wichtig**
Für Single-AZ 2- und alle Multi-AZ-Dateisystembereitstellungen ist es erforderlich, ausgehenden Verkehr auf TCP-Port 9389 zuzulassen.
1. Stellen Sie sicher, dass diese Verkehrsregeln auch auf den Firewalls widergespiegelt werden, die für die einzelnen AD-Domänencontroller, DNS-Server, Clients und Administratoren gelten. FSx FSx
**Wichtig**
Während Amazon VPC-Sicherheitsgruppen verlangen, dass Ports nur in der Richtung geöffnet werden, in der der Netzwerkverkehr initiiert wird, ACLs erfordern die meisten Windows-Firewalls und VPC-Netzwerke, dass Ports in beide Richtungen geöffnet sind.
**Anmerkung**
Wenn Sie Active Directory-Standorte definiert haben, müssen Sie sicherstellen, dass die Subnetze in der VPC, die Ihrem FSx Amazon-Dateisystem zugeordnet sind, an einem Active Directory-Standort definiert sind und dass keine Konflikte zwischen den Subnetzen in Ihrer VPC und den Subnetzen an Ihren anderen Standorten bestehen. Sie können diese Einstellungen mithilfe des MMC-Snap-Ins Active Directory-Standorte und -Dienste anzeigen und ändern.
**Anmerkung**
In einigen Fällen haben Sie möglicherweise die Standardeinstellungen für die Regeln Ihrer AWS Managed Microsoft AD Sicherheitsgruppe geändert. Falls ja, stellen Sie sicher, dass diese Sicherheitsgruppe über die erforderlichen Regeln für eingehenden Datenverkehr aus Ihrem FSx Amazon-Dateisystem verfügt. Weitere Informationen zu den erforderlichen Regeln für eingehenden Datenverkehr finden Sie unter [AWS Managed Microsoft AD Voraussetzungen](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_getting_started_prereqs.html) im *AWS Directory Service Administratorhandbuch*.
Nachdem Sie Ihre Sicherheitsgruppe erstellt haben, können Sie sie den elastic network interface Netzwerkschnittstellen Ihres FSx Amazon-Dateisystems zuordnen.
**So verknüpfen Sie eine Sicherheitsgruppe mit Ihrem FSx Amazon-Dateisystem**
1. Öffnen Sie die FSx Amazon-Konsole unter [https://console.aws.amazon.com/fsx/](https://console.aws.amazon.com/fsx/).
1. Wählen Sie im Dashboard Ihr Dateisystem aus, um dessen Details anzuzeigen.
1. Wählen Sie die Registerkarte **Netzwerk und Sicherheit** und wählen Sie die Netzwerkschnittstelle (n) Ihres Dateisystems aus, z. B. **ENI-01234567890123456**. Bei Single-AZ-Dateisystemen sehen Sie eine einzige Netzwerkschnittstelle. Bei Multi-AZ-Dateisystemen sehen Sie eine Netzwerkschnittstelle im bevorzugten Subnetz und eine im Standby-Subnetz.
1. Wählen Sie für jede Netzwerkschnittstelle die Netzwerkschnittstelle und dann unter **Aktionen** die Option Sicherheitsgruppen **ändern** aus.
1. Wählen Sie im Dialogfeld „**Sicherheitsgruppen ändern**“ die zu verwendenden Sicherheitsgruppen aus und klicken Sie auf **Speichern**.
### Zugriff auf ein Dateisystem verbieten
Um vorübergehend allen Clients den Netzwerkzugriff auf Ihr Dateisystem zu verbieten, können Sie alle Sicherheitsgruppen entfernen, die mit den elastic network interface Netzwerkschnittstellen Ihres Dateisystems verknüpft sind, und sie durch eine Gruppe ohne inbound/outbound Regeln ersetzen.
## Amazon VPC-Netzwerk ACLs
Eine weitere Möglichkeit, den Zugriff auf das Dateisystem in Ihrer VPC zu sichern, besteht darin, Netzwerkzugriffskontrolllisten (Netzwerk ACLs) einzurichten. Netzwerke ACLs sind von Sicherheitsgruppen getrennt, verfügen jedoch über ähnliche Funktionen, um den Ressourcen in Ihrer VPC eine zusätzliche Sicherheitsebene hinzuzufügen. Weitere Informationen zum Netzwerk ACLs finden Sie unter [Netzwerk ACLs](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_ACLs.html) im *Amazon VPC-Benutzerhandbuch*.
# Protokollierung des Endbenutzerzugriffs mit Dateizugriffsüberwachung
Amazon FSx für Windows File Server unterstützt die Überwachung des Endbenutzerzugriffs auf Dateien, Ordner und Dateifreigaben. Sie können sich dafür entscheiden, die Audit-Ereignisprotokolle eines Dateisystems an andere AWS Dienste zu senden, die eine Vielzahl von Funktionen bieten. Dazu gehören die Aktivierung der Abfrage, Verarbeitung, Speicherung und Archivierung von Protokollen, die Ausgabe von Benachrichtigungen und das Auslösen von Aktionen, um Ihre Sicherheits- und Compliance-Ziele weiter voranzutreiben.
Weitere Informationen zur Verwendung von Dateizugriffsprüfungen, um Einblicke in Zugriffsmuster zu erhalten und Sicherheitsbenachrichtigungen für Endbenutzeraktivitäten zu implementieren, finden Sie unter [Einblicke in Zugriffsmuster für Dateispeicher](https://aws.amazon.com/blogs/storage/file-storage-access-patterns-insights-using-amazon-fsx-for-windows-file-server/) und [Implementieren von Sicherheitsbenachrichtigungen für Endbenutzeraktivitäten](https://aws.amazon.com/blogs/modernizing-with-aws/implementing-security-notifications-for-end-user-activity-on-amazon-fsx-for-windows-file-server/).
**Anmerkung**
Die Dateizugriffsüberwachung wird nur FSx für Windows-Dateisysteme mit einer Durchsatzkapazität von 32 MBps oder mehr unterstützt. Sie können die Durchsatzkapazität vorhandener Dateisysteme ändern. Weitere Informationen finden Sie unter [Verwaltung der Durchsatzkapazität](managing-throughput-capacity.md).
Mit der Dateizugriffsüberwachung können Sie die Zugriffe von Endbenutzern auf einzelne Dateien, Ordner und Dateifreigaben auf der Grundlage Ihrer definierten Überwachungskontrollen aufzeichnen. Überwachungskontrollen werden auch als NTFS-Systemzugriffskontrolllisten () bezeichnet. SACLs Wenn Sie bereits Auditkontrollen für Ihre vorhandenen Dateidaten eingerichtet haben, können Sie die Vorteile der Dateizugriffsprüfung nutzen, indem Sie ein neues Amazon FSx for Windows File Server-Dateisystem erstellen und Ihre Daten migrieren.
Amazon FSx unterstützt die folgenden Windows-Auditereignisse für Datei-, Ordner- und Dateifreigabezugriffe:
+ Für Dateizugriffe werden unterstützt: Alle, Ordner durchqueren/Datei ausführen, Ordner auflisten/Daten lesen, Attribute lesen, Dateien erstellen/Daten schreiben, Ordner erstellen/Daten erstellen/Daten anhängen, Attribute schreiben, Unterordner und Dateien löschen, Leseberechtigungen erstellen, Berechtigungen ändern und Besitz übernehmen.
+ Für Dateifreigabezugriffe unterstützt es: Connect zu einer Dateifreigabe herstellen.
Bei Zugriffen auf Dateien, Ordner und Dateifreigaben FSx unterstützt Amazon die Protokollierung erfolgreicher Versuche (z. B. wenn ein Benutzer mit ausreichenden Berechtigungen erfolgreich auf eine Datei oder Dateifreigabe zugreift), fehlgeschlagener Versuche oder beides.
Sie können konfigurieren, ob Sie die Zugriffsprüfung nur für Dateien und Ordner, nur für Dateifreigaben oder beides durchführen möchten. Sie können auch konfigurieren, welche Zugriffstypen protokolliert werden sollen (nur erfolgreiche Versuche, nur fehlgeschlagene Versuche oder beides). Sie können die Dateizugriffsüberwachung auch jederzeit deaktivieren.
**Anmerkung**
Bei der Dateizugriffsüberwachung werden die Zugriffsdaten von Endbenutzern nur ab dem Zeitpunkt aufgezeichnet, zu dem sie aktiviert sind. Das heißt, bei der Dateizugriffsüberwachung werden keine Audit-Ereignisprotokolle über die Datei-, Ordner- und Dateifreigabezugriffsaktivitäten von Endbenutzern generiert, die vor der Aktivierung der Dateizugriffsüberwachung stattgefunden haben.
Die maximale Anzahl unterstützter Zugriffsprüfungsereignisse liegt bei 5.000 Ereignissen pro Sekunde. Zugriffsprüfungsereignisse werden nicht für jeden Lese- und Schreibvorgang einer Datei generiert, sondern nur einmal pro Dateimetadaten-Vorgang generiert, z. B. wenn ein Benutzer eine Datei erstellt, öffnet oder löscht.
**Topics**
+ [Überprüfen Sie die Ziele des Ereignisprotokolls](#faa-log-destinations)
+ [Migrieren Sie Ihre Auditkontrollen](#migrate-faa)
+ [Ereignisprotokolle anzeigen](#view-faa-logs)
+ [Einstellungen für die Überwachung von Dateien und Ordnern einrichten](faa-audit-controls.md)
+ [Verwaltung der Dateizugriffsüberwachung](manage-faa.md)
## Überprüfen Sie die Ziele des Ereignisprotokolls
Wenn Sie die Dateizugriffsprüfung aktivieren, müssen Sie einen AWS Service konfigurieren, an den Amazon die Audit-Ereignisprotokolle FSx sendet. Sie können Audit-Ereignisprotokolle entweder an einen Amazon CloudWatch Logs-Protokollstream in einer CloudWatch Logs-Protokollgruppe oder an einen Amazon Data Firehose-Lieferstream senden. Sie wählen das Ziel der Audit-Ereignisprotokolle entweder bei der Erstellung Ihres Dateisystems FSx für Amazon für Windows File Server oder jederzeit danach, indem Sie ein vorhandenes Dateisystem aktualisieren. Weitere Informationen finden Sie unter [Verwaltung der Dateizugriffsüberwachung](manage-faa.md).
Im Folgenden finden Sie einige Empfehlungen, die Ihnen bei der Entscheidung helfen können, welches Ziel für Audit-Ereignisprotokolle Sie wählen sollten:
+ Wählen Sie CloudWatch Logs, wenn Sie Audit-Ereignisprotokolle in der CloudWatch Amazon-Konsole speichern, anzeigen und durchsuchen, mithilfe von Logs Insights Abfragen zu den CloudWatch Protokollen ausführen und CloudWatch Alarme oder Lambda-Funktionen auslösen möchten.
+ Wählen Sie Amazon Data Firehose, wenn Sie Ereignisse kontinuierlich in den Speicher in Amazon S3, in eine Datenbank in Amazon Redshift, an Amazon OpenSearch Service oder an AWS Partnerlösungen wie Splunk oder Datadog zur weiteren Analyse streamen möchten.
Standardmäßig erstellt und verwendet Amazon FSx eine CloudWatch Standard-Logs-Protokollgruppe in Ihrem Konto als Ziel für Audit-Ereignisprotokolle. Wenn Sie eine benutzerdefinierte CloudWatch Protokollgruppe verwenden oder Firehose als Ziel für das Audit-Ereignisprotokoll verwenden möchten, gelten die folgenden Anforderungen für die Namen und Speicherorte des Audit-Ereignisprotokollziels:
+ Der Name der CloudWatch Logs-Protokollgruppe muss mit dem `/aws/fsx/` Präfix beginnen. Wenn Sie beim Erstellen oder Aktualisieren eines Dateisystems auf der Konsole keine bestehende CloudWatch Logs-Protokollgruppe haben, FSx kann Amazon einen Standard-Log-Stream in der CloudWatch `/aws/fsx/windows` Logs-Protokollgruppe erstellen und verwenden. Wenn Sie die Standard-Protokollgruppe nicht verwenden möchten, können Sie über die Konfigurationsoberfläche eine CloudWatch Logs-Protokollgruppe erstellen, wenn Sie Ihr Dateisystem auf der Konsole erstellen oder aktualisieren.
+ Der Name des Firehose-Lieferstreams muss mit dem `aws-fsx-` Präfix beginnen. Wenn Sie noch keinen Firehose-Lieferstream haben, können Sie einen erstellen, wenn Sie Ihr Dateisystem an der Konsole erstellen oder aktualisieren.
+ Der Firehose-Lieferstream muss so konfiguriert sein, dass er `Direct PUT` als Quelle verwendet wird. Sie können einen vorhandenen Kinesis-Datenstream nicht als Datenquelle für Ihren Lieferstream verwenden.
+ Das Ziel (entweder CloudWatch Logs-Protokollgruppe oder Firehose-Lieferstream) muss sich in derselben AWS Partition und AWS-Konto wie Ihr FSx Amazon-Dateisystem befinden. AWS-Region
Sie können das Ziel des Audit-Ereignisprotokolls jederzeit ändern (z. B. von CloudWatch Logs zu Firehose). Wenn Sie dies tun, werden neue Audit-Ereignisprotokolle nur an das neue Ziel gesendet.
### Bereitstellung des Audit-Ereignisprotokolls nach bestem Wissen
In der Regel werden die Aufzeichnungen des Audit-Ereignisprotokolls innerhalb von Minuten an das Ziel übermittelt, manchmal kann dies jedoch länger dauern. In sehr seltenen Fällen können Aufzeichnungen aus den Protokollen von Prüfungsereignissen übersehen werden. Wenn Ihr Anwendungsfall eine bestimmte Semantik erfordert (z. B. um sicherzustellen, dass keine Prüfereignisse übersehen werden), empfehlen wir Ihnen, bei der Gestaltung Ihrer Workflows verpasste Ereignisse zu berücksichtigen. Sie können nach verpassten Ereignissen suchen, indem Sie die Datei- und Ordnerstruktur in Ihrem Dateisystem scannen.
## Migrieren Sie Ihre Auditkontrollen
Wenn Sie bereits Auditkontrollen (SACLs) für Ihre vorhandenen Dateidaten eingerichtet haben, können Sie ein FSx Amazon-Dateisystem erstellen und Ihre Daten in Ihr neues Dateisystem migrieren. Wir empfehlen AWS DataSync die Verwendung zur Übertragung von Daten und das zugehörige Dateisystem SACLs zu Ihrem FSx Amazon-Dateisystem. Als alternative Lösung können Sie Robocopy (Robust File Copy) verwenden. Weitere Informationen finden Sie unter [Migration von vorhandenem Dateispeicher zu Amazon FSx](migrate-to-fsx.md).
## Ereignisprotokolle anzeigen
Sie können die Audit-Ereignisprotokolle einsehen, nachdem Amazon mit der Ausgabe begonnen FSx hat. Wo und wie Sie die Protokolle einsehen, hängt vom Ziel des Audit-Ereignisprotokolls ab:
+ Sie können die CloudWatch Protokollprotokolle anzeigen, indem Sie zur CloudWatch Konsole gehen und die Protokollgruppe und den Protokollstream auswählen, an die Ihre Audit-Ereignisprotokolle gesendet werden sollen. Weitere Informationen finden Sie unter [An CloudWatch Logs gesendete Protokolldaten anzeigen](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/Working-with-log-groups-and-streams.html) im *Amazon CloudWatch Logs-Benutzerhandbuch*.
Sie können CloudWatch Logs Insights verwenden, um Ihre Protokolldaten interaktiv zu suchen und zu analysieren. Weitere Informationen finden Sie unter [Analysieren von Protokolldaten mit CloudWatch Logs Insights](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AnalyzingLogData.html) im *Amazon CloudWatch Logs-Benutzerhandbuch*.
Sie können die Audit-Ereignisprotokolle auch nach Amazon S3 exportieren. Weitere Informationen finden Sie unter [Exportieren von Protokolldaten nach Amazon S3](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/S3Export.html), ebenfalls im *Amazon CloudWatch Logs-Benutzerhandbuch*.
+ Sie können die Audit-Ereignisprotokolle auf Firehose nicht anzeigen. Sie können Firehose jedoch so konfigurieren, dass die Protokolle an ein Ziel weitergeleitet werden, von dem aus Sie lesen können. Zu den Zielen gehören Amazon S3, Amazon Redshift, Amazon OpenSearch Service und Partnerlösungen wie Splunk und Datadog. Weitere Informationen finden [Sie unter Ziel auswählen](https://docs.aws.amazon.com/firehose/latest/dev/create-destination.html) im *Amazon* Data Firehose Developer Guide.
### Ereignisfelder prüfen
Dieser Abschnitt enthält Beschreibungen der Informationen in den Protokollen von Prüfungsereignissen und Beispiele für Prüfereignisse.
Im Folgenden werden die wichtigsten Felder eines Windows-Überwachungsereignisses beschrieben.
+ **EventID bezieht** sich auf die von Microsoft definierte Windows-Ereignisprotokoll-Event-ID. Informationen zu [Dateisystemereignissen und Dateifreigabeereignissen finden](https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-file-system) [Sie in der Microsoft-Dokumentation](https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-file-share).
+ **SubjectUserName**bezieht sich auf den Benutzer, der den Zugriff durchführt.
+ **ObjectName**bezieht sich auf die Zieldatei, den Ordner oder die Dateifreigabe, auf die zugegriffen wurde.
+ **ShareName**ist für Ereignisse verfügbar, die für den Dateifreigabezugriff generiert werden. `EventID 5140`Wird beispielsweise generiert, wenn auf ein Netzwerk-Share-Objekt zugegriffen wurde.
+ **IpAddress**bezieht sich auf den Client, der das Ereignis für Dateifreigabeereignisse ausgelöst hat.
+ **Schlüsselwörter**, sofern verfügbar, geben an, ob der Dateizugriff erfolgreich war oder fehlgeschlagen ist. Für erfolgreiche Zugriffe ist `0x8020000000000000` der Wert. Für fehlgeschlagene Zugriffe ist der Wert. `0x8010000000000000`
+ **TimeCreated SystemTime**bezieht sich auf die Zeit, zu der das Ereignis im System generiert und im Format Z angezeigt wurde. DDThh
+ **Computer** bezieht sich auf den DNS-Namen des Dateisystems Windows Remote Endpoint und kann zur Identifizierung des Dateisystems verwendet werden. PowerShell
+ **AccessMask**bezieht sich, sofern verfügbar, auf die Art des ausgeführten Dateizugriffs (z. B. ReadData, WriteData).
+ **AccessList**bezieht sich auf den angeforderten oder gewährten Zugriff auf ein Objekt. Einzelheiten finden Sie in der Tabelle unten und in der Microsoft-Dokumentation (z. B. in [Ereignis 4556](https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/event-4656)).
| Art des Zugriffs | Zugriffsmaske | Wert |
| --- | --- | --- |
| Daten lesen oder Verzeichnis auflisten | 0x1 | %4416 |
| Daten schreiben oder Datei hinzufügen | 0x2 | %4417 |
| Daten anhängen oder Unterverzeichnis hinzufügen | 0x4 | %4418 |
| Erweiterte Attribute lesen | 0x8 | %4419 |
| Erweiterte Attribute schreiben | 0x10 | %4420 |
| Ausführen/Durchqueren | 0x20 | %4421 |
| Kind löschen | 0x40 | %4422 |
| Attribute lesen | 0x80 | %%4423 |
| Schreibattribute | 0 x 100 | %%4424 |
| Delete | 0x10000 | %%1537 |
| ACL lesen | 0x20000 | %%1538 |
| ACL schreiben | 0x40000 | %%1539 |
| Besitzer schreiben | 0x80000 | %%1540 |
| Synchronisieren | 0x100000 | %%1541 |
| Zugriffssicherheit (ACL) | 0x1000000 | %%1542 |
Im Folgenden finden Sie einige wichtige Ereignisse mit Beispielen. Beachten Sie, dass das XML aus Gründen der Lesbarkeit formatiert ist.
Die **Ereignis-ID 4660** wird protokolliert, wenn ein Objekt gelöscht wird.
```
466000
128000
0x8020000000000000
315452
Security
amznfsxgyzohmw8.example.com
S-1-5-21-658495921-4185342820-3824891517-1113
Adminexample
0x50932f71Security
0x12e00x4
{00000000-0000-0000-0000-000000000000}
```
Die **Ereignis-ID 4659** wird bei einer Anforderung zum Löschen einer Datei protokolliert.
```
465900128000
0x8020000000000000
308888
Securityamznfsxgyzohmw8.example.com
S-1-5-21-658495921-4185342820-3824891517-1113
Adminexample
0x2a9a603fSecurity
File\Device\HarddiskVolume8\shar\event.txt
0x0{00000000-0000-0000-0000-000000000000}
%%1537
%%4423
0x10080-
0x4
```
Die **Ereignis-ID 4663** wird protokolliert, wenn ein bestimmter Vorgang an dem Objekt ausgeführt wurde. Das folgende Beispiel zeigt das Lesen von Daten aus einer Datei, anhand derer interpretiert werden kann. `AccessList %%4416`
```
4663< /EventID>10128000
0x8020000000000000
308831
Securityamznfsxgyzohmw8.example.com
< Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113< /Data>
Adminexample
0x2a9a603fSecurity
File\Device\HarddiskVolume8\share\event.txt
0x101c%%4416
0x10x4
S:AI
```
Das folgende Beispiel zeigt write/append Daten aus einer Datei, anhand derer interpretiert werden kann`AccessList %%4417`.
```
466310128000
0x8020000000000000
308838
Securityamznfsxgyzohmw8.example.com
S-1-5-21-658495921-4185342820-3824891517-1113
Adminexample
0x2a9a603fSecurity
File\Device\HarddiskVolume8\share\event.txt
0xa38%%4417
0x20x4
S:AI
```
Die **Ereignis-ID 4656** gibt an, dass ein bestimmter Zugriff für ein Objekt angefordert wurde. Im folgenden Beispiel wurde die Leseanforderung für ObjectName „permtest“ initiiert und war ein fehlgeschlagener Versuch, wie der Wert Keywords von zeigt. `0x8010000000000000`
```
465610128000
0x8010000000000000
308919
Securityamznfsxgyzohmw8.example.com
S-1-5-21-658495921-4185342820-3824891517-1113
Adminexample
0x2a9a603fSecurity
File\Device\HarddiskVolume8\share\permtest
0x0{00000000-0000-0000-0000-000000000000}
%%1541
%%4416
%%4423
%%1541: %%1805
%%4416: %%1805
%%4423: %%1811 D:(A;OICI;0x1301bf;;;AU)
0x100081-
00x4
-
```
Die **Ereignis-ID 4670** wird protokolliert, wenn die Berechtigungen für ein Objekt geändert werden. Das folgende Beispiel zeigt, dass der Benutzer „admin“ die Berechtigung für „permtest“ geändert hat, um der SID ObjectName „S-1-5-21-658495921-4185342820-3824891517-1113" Berechtigungen hinzuzufügen. Weitere Informationen zur Interpretation der Berechtigungen finden Sie in der Microsoft-Dokumentation.
```
467000
1357000x8020000000000000
308992
Security
amznfsxgyzohmw8.example.com
S-1-5-21-658495921-4185342820-3824891517-1113
Adminexample
0x2a9a603fSecurity
File\Device\HarddiskVolume8\share\permtest
0xcc8
D:PAI(A;OICI;FA;;;SY)(A;OICI;FA;;;S-1-5-21-658495921-4185342820-3824891517-2622)
D:PARAI(A;OICI;FA;;;S-1-5-21-658495921-4185342820-3824891517-1113)(A;OICI;FA;;;SY)(A;OICI;FA;;;
S-1-5-21-658495921-4185342820-3824891517-2622)0x4
```
Die **Ereignis-ID 5140** wird bei jedem Zugriff auf eine Dateifreigabe protokolliert.
```
514010128080
0x8020000000000000
308947
Securityamznfsxgyzohmw8.example.com
S-1-5-21-658495921-4185342820-3824891517-2620
EC2AMAZ-1GP4HMN$example
0x2d4ca529File172.45.6.789
49730\\AMZNFSXCYDKLDZZ\share
\??\D:\share0x1%%4416
```
Die **Ereignis-ID 5145** wird protokolliert, wenn der Zugriff auf Dateifreigabeebene verweigert wird. Das folgende Beispiel zeigt, dass der Zugriff auf ShareName „demoshare01" verweigert wurde.
```
514500
1281100x8010000000000000
282939
Security
amznfsxtmn9autz.example.com
S-1-5-21-658495921-4185342820-3824891517-
1113Adminexample
0x95b3fb7File
172.31.7.11259979
\\AMZNFSXDPNTE0DC\demoshare01\??\D:\demoshare01
Desktop.ini0x120089
%%1538 %%1541 %%4416 %%4419 %%4423 %%1538:
%%1804 %%1541: %%1805 %%4416: %%1805 %%4419: %%1805 %%4423: %%1805
```
Wenn Sie CloudWatch Logs Insights verwenden, um Ihre Protokolldaten zu durchsuchen, können Sie Abfragen in den Ereignisfeldern ausführen, wie die folgenden Beispiele zeigen:
+ So fragen Sie nach einer bestimmten Ereignis-ID ab:
```
fields @message
| filter @message like /4660/
```
+ Um alle Ereignisse abzufragen, die einem bestimmten Dateinamen entsprechen:
```
fields @message
| filter @message like /event.txt/
```
Weitere Informationen zur CloudWatch Logs Insights-Abfragesprache finden Sie unter [Analysieren von Protokolldaten mit CloudWatch Logs Insights](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AnalyzingLogData.html) im *Amazon CloudWatch Logs-Benutzerhandbuch*.
# Einstellungen für die Überwachung von Dateien und Ordnern einrichten
Sie müssen Überwachungskontrollen für die Dateien und Ordner einrichten, die auf Benutzerzugriffsversuche überprüft werden sollen. Überwachungskontrollen werden auch als NTFS-Systemzugriffskontrolllisten () SACLs bezeichnet.
Sie konfigurieren Überwachungskontrollen mithilfe der systemeigenen GUI-Oberfläche von Windows oder programmgesteuert mithilfe von Windows-Befehlen. PowerShell Wenn die Vererbung aktiviert ist, müssen Sie die Überwachungskontrollen in der Regel nur für die Ordner der obersten Ebene einrichten, für die Sie Zugriffe protokollieren möchten.
## Verwenden Sie die Windows-GUI, um den Überwachungszugriff festzulegen
Verwenden Sie den Windows-Datei-Explorer, um eine grafische Benutzeroberfläche zum Einrichten von Überwachungskontrollen für Ihre Dateien und Ordner zu verwenden. Öffnen Sie für eine bestimmte Datei oder einen Ordner den Windows-Datei-Explorer und wählen Sie die Registerkarte **Eigenschaften > Sicherheit > Erweitert > Überwachung** aus.
Im folgenden Beispiel für eine Überwachungssteuerung werden erfolgreiche Ereignisse für einen Ordner geprüft. Ein Eintrag im Windows-Ereignisprotokoll wird immer dann ausgegeben, wenn dieses Handle vom Admin-Benutzer erfolgreich zum Lesen geöffnet wird.
![\[\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/images/faa-audit-control-gui.png)
Das Feld **Typ** gibt an, welche Aktionen Sie überwachen möchten. Setzen Sie dieses Feld auf **Erfolgreich**, um erfolgreiche Versuche zu prüfen, auf Fehler bei der Prüfung **fehlgeschlagener** Versuche oder **Alle**, um sowohl erfolgreiche als auch fehlgeschlagene Versuche zu überwachen.
Weitere Informationen zu den Eingabefeldern für die Überwachung finden Sie in der Microsoft-Dokumentation unter [Anwenden einer grundlegenden Überwachungsrichtlinie auf eine Datei oder einen Ordner](https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/apply-a-basic-audit-policy-on-a-file-or-folder).
## Verwenden von PowerShell Befehlen zum Einrichten des Überwachungszugriffs
Sie können den Microsoft `Set-Acl` Windows-Befehl verwenden, um die Auditing-SCL für jede Datei oder jeden Ordner festzulegen. Informationen zu diesem Befehl finden Sie in der Microsoft [Set-Acl-Dokumentation.](https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.security/set-acl?view=powershell-7.1)
Im Folgenden finden Sie ein Beispiel für die Verwendung einer Reihe von PowerShell Befehlen und Variablen, um den Überwachungszugriff für erfolgreiche Versuche festzulegen. Sie können diese Beispielbefehle an die Anforderungen Ihres Dateisystems anpassen.
```
$path = "C:\Users\TestUser\Desktop\DemoTest\"
$ACL = Get-Acl $path
$ACL | Format-List
$AuditUser = "TESTDOMAIN\TestUser"
$AuditRules = "FullControl"
$InheritType = "ContainerInherit,ObjectInherit"
$AuditType = "Success"
$AccessRule = New-Object System.Security.AccessControl.FileSystemAuditRule($AuditUser,$AuditRules,$InheritType,"None",$AuditType)
$ACL.SetAuditRule($AccessRule)
$ACL | Set-Acl $path
Get-Acl $path -Audit | Format-List
```
# Verwaltung der Dateizugriffsüberwachung
Sie können die Dateizugriffsprüfung aktivieren, wenn Sie ein neues Amazon FSx for Windows File Server-Dateisystem erstellen. Die Dateizugriffsprüfung ist standardmäßig deaktiviert, wenn Sie ein Dateisystem von der FSx Amazon-Konsole aus erstellen.
Auf vorhandenen Dateisystemen, für die die Dateizugriffsüberwachung aktiviert ist, können Sie die Einstellungen für die Dateizugriffsüberwachung ändern, einschließlich der Zugriffsversuchstypen für Datei- und Dateifreigabezugriffe sowie des Ziels des Audit-Ereignisprotokolls. Sie können diese Aufgaben mit der FSx Amazon-Konsole oder API ausführen. AWS CLI
**Anmerkung**
Die Dateizugriffsprüfung wird nur auf Dateisystemen von Amazon FSx für Windows File Server mit einer Durchsatzkapazität von 32 MBps oder mehr unterstützt. Sie können kein Dateisystem mit einer Durchsatzkapazität von weniger als 32 erstellen oder aktualisieren, MBps wenn die Dateizugriffsüberwachung aktiviert ist. Sie können die Durchsatzkapazität jederzeit ändern, nachdem Sie das Dateisystem erstellt haben. Weitere Informationen finden Sie unter [Verwaltung der Durchsatzkapazität](managing-throughput-capacity.md).
## Um die Dateizugriffsüberwachung beim Erstellen eines Dateisystems (Konsole) zu aktivieren
1. Öffnen Sie die FSx Amazon-Konsole unter [https://console.aws.amazon.com/fsx/](https://console.aws.amazon.com/fsx/).
1. Folgen Sie dem Verfahren zum Erstellen eines neuen Dateisystems, das [Schritt 5. Erstellen Sie Ihr Dateisystem](getting-started.md#getting-started-step1) im Abschnitt Erste Schritte beschrieben ist.
1. Öffnen Sie den Abschnitt **Auditing — optional**. Die Dateizugriffsüberwachung ist standardmäßig deaktiviert.
![\[\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/images/faa-create-wizard.png)
1. Gehen Sie wie folgt vor, um die Dateizugriffsüberwachung zu aktivieren und zu konfigurieren.
+ Wählen **Sie unter Zugriff auf Dateien und Ordner** protokollieren die Option Protokollierung erfolgreicher and/or fehlgeschlagener Versuche aus. Die Protokollierung ist für Dateien und Ordner deaktiviert, wenn Sie keine Auswahl treffen.
+ Wählen **Sie unter Zugriff auf Dateifreigaben** protokollieren die Option Protokollierung erfolgreicher and/or fehlgeschlagener Versuche aus. Die Protokollierung ist für Dateifreigaben deaktiviert, wenn Sie keine Auswahl treffen.
+ **Wählen Sie für Wählen Sie ein Ziel für das Audit-Ereignisprotokoll** die Option **CloudWatch Logs** oder **Firehose** aus. Wählen Sie dann ein vorhandenes Protokoll oder einen Zustellungsstream aus oder erstellen Sie einen neuen. Für CloudWatch Logs FSx kann Amazon einen Standard-Log-Stream in der CloudWatch `/aws/fsx/windows` Logs-Protokollgruppe erstellen und verwenden.
Im Folgenden finden Sie ein Beispiel für eine Konfiguration zur Prüfung von Dateizugriffen, mit der erfolgreiche und fehlgeschlagene Zugriffsversuche von Endbenutzern auf Dateien, Ordner und Dateifreigaben geprüft werden. Die Audit-Ereignisprotokolle werden an das Standardziel für die `/aws/fsx/windows` Protokollgruppe CloudWatch Logs gesendet.
![\[\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/images/faa-create-advanced.png)
1. Fahren Sie mit dem nächsten Abschnitt des Assistenten zum Erstellen von Dateisystemen fort.
Wenn das Dateisystem **verfügbar** ist, ist die Funktion zur Dateizugriffsüberwachung aktiviert.
## So aktivieren Sie die Dateizugriffsüberwachung beim Erstellen eines Dateisystems (CLI)
1. Verwenden Sie beim Erstellen eines neuen Dateisystems die `AuditLogConfiguration` Eigenschaft zusammen mit der [CreateFileSystem](https://docs.aws.amazon.com/fsx/latest/APIReference/API_CreateFileSystem.html)API-Operation, um die Dateizugriffsüberwachung für das neue Dateisystem zu aktivieren.
```
aws fsx create-file-system \
--file-system-type WINDOWS \
--storage-capacity 300 \
--subnet-ids subnet-123456 \
--windows-configuration AuditLogConfiguration='{FileAccessAuditLogLevel="SUCCESS_AND_FAILURE", \
FileShareAccessAuditLogLevel="SUCCESS_AND_FAILURE", \
AuditLogDestination="arn:aws:logs:us-east-1:123456789012:log-group:/aws/fsx/my-customer-log-group"}'
```
1. Wenn das Dateisystem **verfügbar** ist, ist die Funktion zur Dateizugriffsüberwachung aktiviert.
## Um die Konfiguration der Dateizugriffsüberwachung zu ändern (Konsole)
1. Öffnen Sie die FSx Amazon-Konsole unter [https://console.aws.amazon.com/fsx/](https://console.aws.amazon.com/fsx/).
1. Navigieren Sie zu **Dateisysteme** und wählen Sie das Windows-Dateisystem aus, für das Sie die Dateizugriffsprüfung verwalten möchten.
1. Wählen Sie die Registerkarte **Administration**.
1. Wählen Sie im Bereich **Dateizugriffsüberwachung** die Option **Verwalten** aus.
![\[FSx Bedienfeld für die Dateizugriffsüberwachung in der Konsole, in dem die Konfiguration der Dateizugriffsprüfung angezeigt wird.\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/images/faa-admin-panel.png)
1. Ändern **Sie im Dialogfeld „Einstellungen für die Dateizugriffsprüfung verwalten**“ die gewünschten Einstellungen.
![\[FSx Bedienfeld „Dateizugriffsüberwachung“ in der Konsole. Verwenden Sie dieses Fenster, um die Konfigurationen für die Dateizugriffsüberwachung zu ändern.\]](http://docs.aws.amazon.com/de_de/fsx/latest/WindowsGuide/images/faa-update-config.png)
+ Wählen **Sie unter Zugriff auf Dateien und Ordner** protokollieren die Option Protokollierung erfolgreicher and/or fehlgeschlagener Versuche aus. Die Protokollierung ist für Dateien und Ordner deaktiviert, wenn Sie keine Auswahl treffen.
+ Wählen **Sie unter Zugriff auf Dateifreigaben** protokollieren die Option Protokollierung erfolgreicher and/or fehlgeschlagener Versuche aus. Die Protokollierung ist für Dateifreigaben deaktiviert, wenn Sie keine Auswahl treffen.
+ **Wählen Sie für Wählen Sie ein Ziel für das Audit-Ereignisprotokoll** die Option **CloudWatch Logs** oder **Firehose** aus. Wählen Sie dann ein vorhandenes Protokoll oder einen Zustellungsstream aus oder erstellen Sie einen neuen.
1. Wählen Sie **Speichern**.
## So ändern Sie die Konfiguration für die Dateizugriffsprüfung (CLI)
+ Verwenden Sie den [https://docs.aws.amazon.com/cli/latest/reference/fsx/update-file-system.html](https://docs.aws.amazon.com/cli/latest/reference/fsx/update-file-system.html)CLI-Befehl oder die entsprechende [https://docs.aws.amazon.com/fsx/latest/APIReference/API_UpdateFileSystem.html](https://docs.aws.amazon.com/fsx/latest/APIReference/API_UpdateFileSystem.html)API-Operation.
```
aws fsx update-file-system \
--file-system-id fs-0123456789abcdef0 \
--windows-configuration AuditLogConfiguration='{FileAccessAuditLogLevel="SUCCESS_ONLY", \
FileShareAccessAuditLogLevel="FAILURE_ONLY", \
AuditLogDestination="arn:aws:logs:us-east-1:123456789012:log-group:/aws/fsx/my-customer-log-group"}'
```
# Identitäts- und Zugriffsmanagement für Amazon FSx für Windows File Server
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu kontrollieren. AWS IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um FSx Windows-Dateiserver-Ressourcen zu verwenden. IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten verwenden können.
**Topics**
+ [Zielgruppe](#security_iam_audience)
+ [Authentifizierung mit Identitäten](#security_iam_authentication)
+ [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage)
+ [So funktioniert Amazon FSx for Windows File Server mit IAM](security_iam_service-with-iam.md)
+ [Beispiele für identitätsbasierte Richtlinien für Amazon FSx for Windows File Server](security_iam_id-based-policy-examples.md)
+ [AWS verwaltete Richtlinien für Amazon FSx for Windows File Server](security-iam-awsmanpol.md)
+ [Problembehandlung bei Identität und Zugriff auf Amazon FSx for Windows File Server](security_iam_troubleshoot.md)
+ [Verwenden von Tags mit Amazon FSx](using-tags-fsx.md)
+ [Verwenden von dienstbezogenen Rollen FSx für den Windows-Dateiserver](using-service-linked-roles.md)
## Zielgruppe
Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab:
+ **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Problembehandlung bei Identität und Zugriff auf Amazon FSx for Windows File Server](security_iam_troubleshoot.md)).
+ **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [So funktioniert Amazon FSx for Windows File Server mit IAM](security_iam_service-with-iam.md)).
+ **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Beispiele für identitätsbasierte Richtlinien für Amazon FSx for Windows File Server](security_iam_id-based-policy-examples.md)).
## Authentifizierung mit Identitäten
Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos
Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *.
AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*.
### AWS-Konto Root-Benutzer
Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*.
### Verbundidentität
Es hat sich bewährt, dass menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden müssen.
Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen.
Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*.
### IAM-Benutzer und -Gruppen
Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können.
Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*.
### IAM-Rollen
Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*.
IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Verwalten des Zugriffs mit Richtlinien
Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*.
Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf.
Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird.
### Identitätsbasierte Richtlinien
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*.
### Ressourcenbasierte Richtlinien
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html).
Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.
### Weitere Richtlinientypen
AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:
+ **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*.
+ **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*.
+ **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html).
+ **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*.
### Mehrere Richtlinientypen
Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die daraus resultierenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*.
# So funktioniert Amazon FSx for Windows File Server mit IAM
Bevor Sie IAM zur Verwaltung des Zugriffs auf FSx den Windows-Dateiserver verwenden, sollten Sie sich darüber informieren, welche IAM-Funktionen FSx für den Windows-Dateiserver verfügbar sind.
**IAM-Funktionen, die Sie mit Amazon FSx for Windows File Server verwenden können**
| IAM-Feature | FSx Unterstützung |
| --- | --- |
| [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja |
| [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Nein |
| [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja |
| [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja |
| [Richtlinienbedingungsschlüssel (servicespezifisch)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja |
| [ACLs](#security_iam_service-with-iam-acls) | Nein |
| [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Ja |
| [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Ja |
| [Forward Access Sessions](#security_iam_service-with-iam-principal-permissions) | Ja |
| [Servicerollen](#security_iam_service-with-iam-roles-service) | Nein |
| [Serviceverknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Ja |
Einen allgemeinen Überblick darüber, wie FSx und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [IAM-Benutzerhandbuch unter AWS Dienste, die mit *IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
## Identitätsbasierte Richtlinien für FSx
**Unterstützt Richtlinien auf Identitätsbasis:** Ja
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
### Beispiele für identitätsbasierte Richtlinien für FSx
Beispiele für identitätsbasierte FSx Richtlinien für Windows-Dateiserver finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon FSx for Windows File Server](security_iam_id-based-policy-examples.md)
## Ressourcenbasierte Richtlinien innerhalb FSx
**Unterstützt ressourcenbasierte Richtlinien:** Nein
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services
Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Richtlinienaktionen für FSx
**Unterstützt Richtlinienaktionen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Eine Liste der FSx Aktionen finden Sie unter [Von Amazon FSx für Windows File Server definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions) in der *Service Authorization Reference*.
Bei Richtlinienaktionen wird vor der Aktion das folgende Präfix FSx verwendet:
```
fsx
```
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata:
```
"Action": [
"fsx:action1",
"fsx:action2"
]
```
Beispiele für identitätsbasierte Richtlinien FSx für Windows-Dateiserver finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon FSx for Windows File Server](security_iam_id-based-policy-examples.md)
## Richtlinienressourcen für FSx
**Unterstützt Richtlinienressourcen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Eine Liste der FSx Ressourcentypen und ihrer ARNs Eigenschaften finden Sie unter [Von Amazon FSx für Windows File Server definierte Ressourcen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-resources-for-iam-policies) in der *Service Authorization Reference*. Informationen darüber, mit welchen Aktionen Sie den ARN jeder Ressource angeben können, finden Sie unter [Von Amazon FSx für Windows File Server definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions).
Beispiele für identitätsbasierte Richtlinien FSx für Windows-Dateiserver finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon FSx for Windows File Server](security_iam_id-based-policy-examples.md)
## Bedingungsschlüssel für Richtlinien für FSx
**Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der FSx Bedingungsschlüssel finden Sie unter [Bedingungsschlüssel für Amazon FSx for Windows File Server](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-policy-keys) in der *Service Authorization Reference*. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Von Amazon definierte Aktionen FSx für Windows-Dateiserver](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions).
Beispiele für identitätsbasierte Richtlinien FSx für Windows-Dateiserver finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für Amazon FSx for Windows File Server](security_iam_id-based-policy-examples.md)
## ACLs in FSx
**Unterstützt ACLs:** Nein
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
## ABAC mit FSx
**Unterstützt ABAC (Tags in Richtlinien):** Ja
Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, die Operationen zulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt.
Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden.
Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**.
*Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*.
## Verwenden temporärer Anmeldeinformationen mit FSx
**Unterstützt temporäre Anmeldeinformationen:** Ja
Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*.
## Zugriffssitzungen weiterleiten für FSx
**Unterstützt Forward Access Sessions (FAS):** Ja
Forward-Access-Sitzungen (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen AWS-Service an nachgelagerte Dienste zu stellen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
## Servicerollen für FSx
**Unterstützt Servicerollen:** Nein
Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*.
**Warnung**
Durch das Ändern der Berechtigungen für eine Servicerolle kann die FSx Funktionalität beeinträchtigt werden. Bearbeiten Sie Servicerollen nur, FSx wenn Sie dazu eine Anleitung erhalten.
## Dienstbezogene Rollen für FSx
**Unterstützt serviceverknüpfte Rollen:** Ja
Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.
Einzelheiten zum Erstellen oder Verwalten von dienstbezogenen Rollen FSx für Windows File Server finden Sie unter. [Verwenden von dienstbezogenen Rollen FSx für den Windows-Dateiserver](using-service-linked-roles.md)
# Beispiele für identitätsbasierte Richtlinien für Amazon FSx for Windows File Server
Standardmäßig sind Benutzer und Rollen nicht berechtigt, Ressourcen FSx für Windows-Dateiserver zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*.
Einzelheiten zu Aktionen und Ressourcentypen, die von definiert wurden FSx, einschließlich des Formats von ARNs für jeden der Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für Amazon FSx for Windows File Server](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html) in der *Service Authorization Reference*.
**Topics**
+ [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices)
+ [Verwenden der Konsole FSx](#security_iam_id-based-policy-examples-console)
+ [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand Ressourcen FSx für Windows File Server in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Verwenden der Konsole FSx
Um auf die Amazon FSx for Windows File Server-Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, die Ressourcen FSx für Windows File Server in Ihrem aufzulisten und Details zu diesen anzuzeigen AWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.
Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten.
Um sicherzustellen, dass Benutzer und Rollen die FSx Konsole weiterhin verwenden können, fügen Sie den Entitäten auch die FSx `AmazonFSxConsoleReadOnlyAccess` AWS verwaltete Richtlinie hinzu. Weitere Informationen finden Sie unter [Hinzufügen von Berechtigungen zu einem Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) im *IAM-Benutzerhandbuch*.
## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI AWS OR-API.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
# AWS verwaltete Richtlinien für Amazon FSx for Windows File Server
Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet AWS wird. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.
Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie für alle AWS Kunden verfügbar sind. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie [vom Kunden verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.
Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.
Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) im *IAM-Benutzerhandbuch*.
## Amazon FSx ServiceRolePolicy
Ermöglicht Amazon FSx , AWS Ressourcen in Ihrem Namen zu verwalten. Weitere Informationen hierzu finden Sie unter [Verwenden von dienstbezogenen Rollen FSx für den Windows-Dateiserver](using-service-linked-roles.md).
## AWS verwaltete Richtlinie: Amazon FSx DeleteServiceLinkedRoleAccess
Sie können `AmazonFSxDeleteServiceLinkedRoleAccess` nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist mit einem Service verknüpft und wird nur mit der serviceverknüpften Rolle für diesen Service verwendet. Sie können diese Richtlinie nicht anhängen, trennen, ändern oder löschen. Weitere Informationen finden Sie unter [Verwenden von dienstbezogenen Rollen FSx für den Windows-Dateiserver](using-service-linked-roles.md).
Diese Richtlinie gewährt Administratorberechtigungen, die es Amazon FSx ermöglichen, seine Service Linked Role für den Zugriff auf Amazon S3 zu löschen, die nur von Amazon FSx for Lustre verwendet wird.
**Details zu Berechtigungen**
Diese Richtlinie beinhaltet Berechtigungen, `iam` die es Amazon ermöglichen, FSx den Löschstatus für den Zugriff auf FSx Service Linked Roles for Amazon S3 einzusehen, zu löschen und einzusehen.
Die Berechtigungen für diese Richtlinie finden Sie unter [Amazon FSx DeleteServiceLinkedRoleAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/FSxDeleteServiceLinkedRoleAccess.html) im Referenzhandbuch für AWS verwaltete Richtlinien.
## AWS verwaltete Richtlinie: Amazon FSx FullAccess
Sie können Amazon FSx FullAccess an Ihre IAM-Entitäten anhängen. Amazon FSx verknüpft diese Richtlinie auch mit einer Servicerolle, die es Amazon FSx ermöglicht, Aktionen in Ihrem Namen durchzuführen.
Bietet vollen Zugriff auf Amazon FSx und Zugriff auf verwandte AWS Services.
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen.
+ `fsx`— Ermöglicht Prinzipalen vollen Zugriff auf die Ausführung aller FSx Amazon-Aktionen, mit Ausnahme `BypassSnaplockEnterpriseRetention` von.
+ `ds`— Ermöglicht Prinzipalen, Informationen über die Verzeichnisse einzusehen. Directory Service
+ `ec2`
+ Ermöglicht Prinzipalen das Erstellen von Tags unter den angegebenen Bedingungen.
+ Um eine erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen bereitzustellen, die mit einer VPC verwendet werden können.
+ `iam`— Ermöglicht Principles, im Namen des Benutzers eine mit Amazon FSx Service verknüpfte Rolle zu erstellen. Dies ist erforderlich, damit Amazon AWS Ressourcen im Namen des Benutzers verwalten FSx kann.
+ `firehose`— Ermöglicht Prinzipalen das Schreiben von Datensätzen in eine Amazon Data Firehose. Dies ist erforderlich, damit Benutzer den Zugriff auf das Windows-Dateiserver-Dateisystem überwachen FSx können, indem sie Audit-Zugriffsprotokolle an Firehose senden.
+ `logs`— Ermöglicht Prinzipalen, Protokollgruppen zu erstellen, Streams zu protokollieren und Ereignisse in Protokolldatenströme zu schreiben. Dies ist erforderlich, damit Benutzer den Zugriff auf das Dateisystem auf dem Windows-Dateiserver überwachen FSx können, indem sie CloudWatch Audit-Zugriffsprotokolle an Logs senden.
Die Berechtigungen für diese Richtlinie finden Sie unter [Amazon FSx FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxFullAccess.html) im Referenzhandbuch für AWS verwaltete Richtlinien.
## AWS verwaltete Richtlinie: Amazon FSx ConsoleFullAccess
Sie können die `AmazonFSxConsoleFullAccess`-Richtlinie an Ihre IAM-Identitäten anfügen.
Diese Richtlinie gewährt Administratorberechtigungen, die den vollen Zugriff auf Amazon FSx und den Zugriff auf verwandte AWS Dienste über die ermöglichen AWS-Managementkonsole.
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen.
+ `fsx`— Ermöglicht Prinzipalen, alle Aktionen in der FSx Amazon-Managementkonsole auszuführen, mit Ausnahme `BypassSnaplockEnterpriseRetention` von.
+ `cloudwatch`— Ermöglicht Principals, CloudWatch Alarme und Messwerte in der Amazon FSx Management Console einzusehen.
+ `ds`— Ermöglicht Prinzipalen, Informationen über ein Directory Service Verzeichnis aufzulisten.
+ `ec2`
+ Ermöglicht Principals, Tags für Routing-Tabellen zu erstellen, Netzwerkschnittstellen, Routing-Tabellen, Sicherheitsgruppen, Subnetze und die einem FSx Amazon-Dateisystem zugeordnete VPC aufzulisten.
+ Ermöglicht Prinzipalen die erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen, die mit einer VPC verwendet werden können.
+ Ermöglicht Prinzipalen die Anzeige der Elastic Network-Schnittstellen, die mit einem FSx Amazon-Dateisystem verknüpft sind.
+ `kms`— Ermöglicht Prinzipalen, Aliase für Schlüssel aufzulisten. AWS Key Management Service
+ `s3`— Ermöglicht Prinzipalen, einige oder alle Objekte in einem Amazon S3 S3-Bucket aufzulisten (bis zu 1000).
+ `secretsmanager`— Ermöglicht es Prinzipalen, Geheimnisse für die Auswahl der Anmeldeinformationen AWS Secrets Manager für das Konto des Domainbeitrittsdienstes aufzulisten.
+ `iam`— Erteilt die Erlaubnis, eine serviceverknüpfte Rolle FSx zu erstellen, die es Amazon ermöglicht, Aktionen im Namen des Benutzers durchzuführen.
Die Berechtigungen für diese Richtlinie finden Sie unter [Amazon FSx ConsoleFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxConsoleFullAccess.html) im Referenzhandbuch für AWS verwaltete Richtlinien.
## AWS verwaltete Richtlinie: Amazon FSx ConsoleReadOnlyAccess
Sie können die `AmazonFSxConsoleReadOnlyAccess`-Richtlinie an Ihre IAM-Identitäten anfügen.
Diese Richtlinie gewährt Amazon FSx und verwandten AWS Diensten nur Leseberechtigungen, sodass Benutzer Informationen zu diesen Diensten in der einsehen können. AWS-Managementkonsole
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen.
+ `fsx`— Ermöglicht Prinzipalen, Informationen über FSx Amazon-Dateisysteme, einschließlich aller Tags, in der Amazon FSx Management Console einzusehen.
+ `cloudwatch`— Ermöglicht Prinzipalen, CloudWatch Alarme und Messwerte in der Amazon FSx Management Console einzusehen.
+ `ds`— Ermöglicht Principals, Informationen zu einem Directory Service Verzeichnis in der Amazon FSx Management Console einzusehen.
+ `ec2`
+ Ermöglicht Principals, Netzwerkschnittstellen, Sicherheitsgruppen, Subnetze und die einem FSx Amazon-Dateisystem zugeordnete VPC in der Amazon FSx Management Console einzusehen.
+ Ermöglicht Prinzipalen die erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen, die mit einer VPC verwendet werden können.
+ Ermöglicht Prinzipalen die Anzeige der Elastic Network-Schnittstellen, die mit einem FSx Amazon-Dateisystem verknüpft sind.
+ `kms`— Ermöglicht Prinzipalen, Aliase für AWS Key Management Service Schlüssel in der Amazon FSx Management Console einzusehen.
+ `log`— Ermöglicht Principals, die Amazon CloudWatch Logs-Protokollgruppen zu beschreiben, die dem Konto zugeordnet sind, das die Anfrage gestellt hat. Dies ist erforderlich, damit die Hauptbenutzer die bestehende Konfiguration für die Überwachung des Dateizugriffs für ein Dateisystem FSx für Windows-Dateiserver einsehen können.
+ `secretsmanager`— Ermöglicht es den Prinzipalen, Geheimnisse für die Auswahl der Anmeldeinformationen AWS Secrets Manager für das Konto des Domänenbeitrittsdienstes aufzulisten.
+ `firehose`— Ermöglicht Principals, die Amazon Data Firehose-Lieferdatenströme zu beschreiben, die dem Konto zugeordnet sind, das die Anfrage gestellt hat. Dies ist erforderlich, damit die Principals die bestehende Konfiguration für die Dateizugriffsprüfung für ein Dateisystem FSx für Windows-Dateiserver einsehen können.
Die Berechtigungen für diese Richtlinie finden Sie unter [Amazon FSx ConsoleReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxConsoleReadOnlyAccess.html) im Referenzhandbuch für AWS verwaltete Richtlinien.
## AWS verwaltete Richtlinie: Amazon FSx ReadOnlyAccess
Sie können die `AmazonFSxReadOnlyAccess`-Richtlinie an Ihre IAM-Identitäten anfügen.
+ `fsx`— Ermöglicht Prinzipalen, Informationen über FSx Amazon-Dateisysteme, einschließlich aller Tags, in der Amazon FSx Management Console einzusehen.
+ `ec2`— Bereitstellung einer erweiterten Sicherheitsgruppenvalidierung aller Sicherheitsgruppen, die mit einer VPC verwendet werden können.
Die Berechtigungen für diese Richtlinie finden Sie unter [Amazon FSx ReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxReadOnlyAccess.html) im Referenzhandbuch für AWS verwaltete Richtlinien.
## FSx Aktualisierungen der AWS verwalteten Richtlinien durch Amazon
Sehen Sie sich Details zu Aktualisierungen der AWS verwalteten Richtlinien für Amazon an, FSx seit dieser Service begonnen hat, diese Änderungen zu verfolgen. Abonnieren Sie den RSS-Feed auf der Amazon-Seite, um automatische Benachrichtigungen über Änderungen an dieser FSx [Dokumentverlauf](doc-history.md) Seite zu erhalten.
| Änderungen | Beschreibung | Date |
| --- | --- | --- |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `secretsmanager:ListSecrets` die es Principals ermöglicht, Geheimnisse für die Auswahl von Kontoanmeldedaten AWS Secrets Manager für den Domain-Join-Service aufzulisten. | 5. November 2025 |
| [Amazon FSx ConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `secretsmanager:ListSecrets` die es Principals ermöglicht, Geheimnisse für die Auswahl von Kontoanmeldedaten AWS Secrets Manager für den Domain-Join-Service aufzulisten. | 3. November 2025 |
| [Amazon FSx ServiceRolePolicy](using-service-linked-roles.md#slr-permissions) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:AssignIpv6Addresses` die es Principals ermöglicht, Kundennetzwerkschnittstellen, die über ein `AmazonFSx.FileSystemId` Tag verfügen, IPv6 Adressen zuzuweisen. | 22. Juli 2025 |
| [Amazon FSx ServiceRolePolicy](using-service-linked-roles.md#slr-permissions) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:UnassignIpv6Addresses` die es Principals ermöglicht, IPv6 Adressen von Kundennetzwerkschnittstellen, die über ein `AmazonFSx.FileSystemId` Tag verfügen, zuzuweisen. | 22. Juli 2025 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `fsx:CreateAndAttachS3AccessPoint` die es Principals ermöglicht, einen S3-Zugangspunkt zu erstellen und ihn an ein FSx Volume anzuhängen. | 25. Juni 2025 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `fsx:DescribeS3AccessPointAttachments` die es Principals ermöglicht, alle S3-Zugangspunkte AWS-Konto in einem AWS-Region aufzulisten. | 25. Juni 2025 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `fsx:DetachAndDeleteS3AccessPoint` die es Principals ermöglicht, einen S3-Zugangspunkt zu löschen. | 25. Juni 2025 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `fsx:CreateAndAttachS3AccessPoint` die es Principals ermöglicht, einen S3-Zugangspunkt zu erstellen und ihn an ein FSx Volume anzuhängen. | 25. Juni 2025 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `fsx:DescribeS3AccessPointAttachments` die es Principals ermöglicht, alle S3-Zugangspunkte AWS-Konto in einem AWS-Region aufzulisten. | 25. Juni 2025 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `fsx:DetachAndDeleteS3AccessPoint` die es Principals ermöglicht, einen S3-Zugangspunkt zu löschen. | 25. Juni 2025 |
| [Amazon FSx ConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:DescribeNetworkInterfaces` die es Principals ermöglicht, die mit ihrem Dateisystem verknüpften Elastic Network-Schnittstellen einzusehen. | 25. Februar 2025 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:DescribeNetworkInterfaces` die es Principals ermöglicht, die mit ihrem Dateisystem verknüpften Elastic Network-Schnittstellen einzusehen. | 07. Februar 2025 |
| [Amazon FSx ServiceRolePolicy](using-service-linked-roles.md#slr-permissions) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:GetSecurityGroupsForVpc` die es Principals ermöglicht, eine erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen vorzunehmen, die mit einer VPC verwendet werden können. | 9. Januar 2024 |
| [Amazon FSx ReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxReadOnlyAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:GetSecurityGroupsForVpc` die es Principals ermöglicht, eine erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen vorzunehmen, die mit einer VPC verwendet werden können. | 9. Januar 2024 |
| [Amazon FSx ConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:GetSecurityGroupsForVpc` die es Principals ermöglicht, eine erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen vorzunehmen, die mit einer VPC verwendet werden können. | 9. Januar 2024 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:GetSecurityGroupsForVpc` die es Principals ermöglicht, eine erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen vorzunehmen, die mit einer VPC verwendet werden können. | 9. Januar 2024 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, `ec2:GetSecurityGroupsForVpc` die es Principals ermöglicht, eine erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen vorzunehmen, die mit einer VPC verwendet werden können. | 9. Januar 2024 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, die es Benutzern ermöglicht, regionsübergreifende und kontoübergreifende Datenreplikation FSx für OpenZFS-Dateisysteme durchzuführen. | 20. Dezember 2023 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, die es Benutzern ermöglicht, regionsübergreifende und kontoübergreifende Datenreplikation FSx für OpenZFS-Dateisysteme durchzuführen. | 20. Dezember 2023 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, um Benutzern die On-Demand-Replikation von Volumes FSx für OpenZFS-Dateisysteme zu ermöglichen. | 26. November 2023 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat eine neue Berechtigung hinzugefügt, um Benutzern die On-Demand-Replikation von Volumes FSx für OpenZFS-Dateisysteme zu ermöglichen. | 26. November 2023 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, mit denen Benutzer die gemeinsame VPC-Unterstützung FSx für ONTAP Multi-AZ-Dateisysteme anzeigen, aktivieren und deaktivieren können. | 14. November 2023 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, mit denen Benutzer die gemeinsame VPC-Unterstützung FSx für ONTAP Multi-AZ-Dateisysteme anzeigen, aktivieren und deaktivieren können. | 14. November 2023 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, die es Amazon FSx ermöglichen, Netzwerkkonfigurationen FSx für OpenZFS Multi-AZ-Dateisysteme zu verwalten. | 9. August 2023 |
| [AWS verwaltete Richtlinie: Amazon FSx ServiceRolePolicy](using-service-linked-roles.md#slr-permissions) — Aktualisierung einer bestehenden Richtlinie | Amazon hat die bestehende `cloudwatch:PutMetricData` Berechtigung FSx geändert, sodass Amazon CloudWatch Metriken im `AWS/FSx` Namespace FSx veröffentlicht. | 24. Juli 2023 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon hat die Richtlinie FSx aktualisiert, um die `fsx:*` Genehmigung zu entfernen und bestimmte `fsx` Aktionen hinzuzufügen. | 13. Juli 2023 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon hat die Richtlinie FSx aktualisiert, um die `fsx:*` Genehmigung zu entfernen und bestimmte `fsx` Aktionen hinzuzufügen. | 13. Juli 2023 |
| [Amazon FSx ConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, damit Benutzer erweiterte Leistungskennzahlen und Handlungsempfehlungen FSx für Windows File Server-Dateisysteme in der FSx Amazon-Konsole einsehen können. | 21. September 2022 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, damit Benutzer erweiterte Leistungskennzahlen und Handlungsempfehlungen FSx für Windows File Server-Dateisysteme in der FSx Amazon-Konsole einsehen können. | 21. September 2022 |
| [Amazon FSx ReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxReadOnlyAccess) — Tracking-Richtlinie gestartet | Diese Richtlinie gewährt Lesezugriff auf alle FSx Amazon-Ressourcen und alle damit verbundenen Tags. | 4. Februar 2022 |
| [Amazon FSx DeleteServiceLinkedRoleAccess](#security-iam-awsmanpol-AmazonFSxDeleteServiceLinkedRoleAccess) — Tracking-Richtlinie gestartet | Diese Richtlinie gewährt Administratorberechtigungen, die es Amazon FSx ermöglichen, seine Service Linked Role für den Zugriff auf Amazon S3 zu löschen. | 7. Januar 2022 |
| [Amazon FSx ServiceRolePolicy](using-service-linked-roles.md#slr-permissions) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, die es Amazon FSx ermöglichen, Netzwerkkonfigurationen für Amazon FSx für NetApp ONTAP-Dateisysteme zu verwalten. | 2. September 2021 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, die es Amazon FSx ermöglichen, Tags in EC2-Routing-Tabellen für Scoped-Down-Aufrufe zu erstellen. | 2. September 2021 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, damit Amazon FSx Multi-AZ-Dateisysteme von Amazon FSx for NetApp ONTAP erstellen kann. | 2. September 2021 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, die es Amazon FSx ermöglichen, Tags in EC2-Routing-Tabellen für Scoped-Down-Aufrufe zu erstellen. | 2. September 2021 |
| [Amazon FSx ServiceRolePolicy](using-service-linked-roles.md#slr-permissions) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, die es Amazon ermöglichen, CloudWatch Log-Streams FSx zu beschreiben und in sie zu schreiben. Dies ist erforderlich, damit Benutzer mithilfe CloudWatch von Logs Audit-Logs Dateizugriffs-Audit-Logs FSx für Windows-Dateiserver-Dateisysteme einsehen können. | 8. Juni 2021 |
| [Amazon FSx ServiceRolePolicy](using-service-linked-roles.md#slr-permissions) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, FSx damit Amazon Data Firehose-Lieferstreams beschreiben und in sie schreiben kann. Dies ist erforderlich, damit Benutzer die Dateizugriffs-Audit-Logs für ein Dateisystem FSx für Windows File Server mithilfe von Amazon Data Firehose einsehen können. | 8. Juni 2021 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, die es Prinzipalen ermöglichen, CloudWatch Log-Log-Gruppen und Log-Streams zu beschreiben und zu erstellen und Ereignisse in Log-Streams zu schreiben. Dies ist erforderlich, damit Prinzipale mithilfe CloudWatch von Protokollen die Auditprotokolle für Dateizugriffe FSx für Windows-Dateiserver-Dateisysteme einsehen können. | 8. Juni 2021 |
| [Amazon FSx FullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, die es Prinzipalen ermöglichen, Datensätze zu beschreiben und in eine Amazon Data Firehose zu schreiben. Dies ist erforderlich, damit Benutzer die Dateizugriffs-Audit-Logs für ein Dateisystem FSx für Windows File Server mithilfe von Amazon Data Firehose einsehen können. | 8. Juni 2021 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, damit Principals die Amazon CloudWatch Logs-Protokollgruppen beschreiben können, die dem Konto zugeordnet sind, das die Anfrage gestellt hat. Dies ist erforderlich, damit die Principals bei der Konfiguration der Dateizugriffsüberwachung für ein Dateisystem FSx für Windows-Dateiserver eine bestehende CloudWatch Logs-Protokollgruppe auswählen können. | 8. Juni 2021 |
| [Amazon FSx ConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, damit Principals die Amazon Data Firehose-Lieferströme beschreiben können, die mit dem Konto verknüpft sind, das die Anfrage gestellt hat. Dies ist erforderlich, damit Principals bei der Konfiguration der Dateizugriffsüberwachung für ein Dateisystem FSx für Windows File Server einen vorhandenen Firehose-Lieferstream auswählen können. | 8. Juni 2021 |
| [Amazon FSx ConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, damit Principals die Amazon CloudWatch Logs-Protokollgruppen beschreiben können, die dem Konto zugeordnet sind, das die Anfrage gestellt hat. Dies ist erforderlich, damit die Hauptbenutzer die bestehende Konfiguration für die Dateizugriffsprüfung für ein Dateisystem FSx für Windows-Dateiserver einsehen können. | 8. Juni 2021 |
| [Amazon FSx ConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) — Aktualisierung einer bestehenden Richtlinie | Amazon FSx hat neue Berechtigungen hinzugefügt, damit Principals die Amazon Data Firehose-Lieferströme beschreiben können, die mit dem Konto verknüpft sind, das die Anfrage gestellt hat. Dies ist erforderlich, damit die Hauptbenutzer die bestehende Konfiguration für die Dateizugriffsprüfung für ein Dateisystem FSx für Windows-Dateiserver einsehen können. | 8. Juni 2021 |
| Amazon FSx hat begonnen, Änderungen zu verfolgen | Amazon FSx hat damit begonnen, Änderungen an seinen AWS verwalteten Richtlinien nachzuverfolgen. | 8. Juni 2021 |
# Problembehandlung bei Identität und Zugriff auf Amazon FSx for Windows File Server
Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit FSx Windows File Server und IAM auftreten können.
**Topics**
+ [Ich bin nicht berechtigt, eine Aktion durchzuführen in FSx](#security_iam_troubleshoot-no-permissions)
+ [Ich bin nicht berechtigt, iam auszuführen: PassRole](#security_iam_troubleshoot-passrole)
+ [Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine FSx Ressourcen ermöglichen](#security_iam_troubleshoot-cross-account-access)
## Ich bin nicht berechtigt, eine Aktion durchzuführen in FSx
Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können.
Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer `mateojackson` versucht, über die Konsole Details zu einer fiktiven `my-example-widget`-Ressource anzuzeigen, jedoch nicht über `fsx:GetWidget`-Berechtigungen verfügt.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: fsx:GetWidget on resource: my-example-widget
```
In diesem Fall muss die Richtlinie für den Benutzer `mateojackson` aktualisiert werden, damit er mit der `fsx:GetWidget`-Aktion auf die `my-example-widget`-Ressource zugreifen kann.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
## Ich bin nicht berechtigt, iam auszuführen: PassRole
Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht autorisiert sind, die `iam:PassRole` Aktion auszuführen, müssen Ihre Richtlinien aktualisiert werden, damit Sie eine Rolle FSx für den Windows-Dateiserver übergeben können.
Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Dienstrolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.
Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in FSx Windows File Server auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
## Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine FSx Ressourcen ermöglichen
Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.
Weitere Informationen dazu finden Sie hier:
+ Informationen darüber, ob FSx Windows File Server diese Funktionen unterstützt, finden Sie unter. [So funktioniert Amazon FSx for Windows File Server mit IAM](security_iam_service-with-iam.md)
+ *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen gewähren können, AWS-Konten die Ihnen gehören, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs für einen IAM-Benutzer in einem anderen AWS-Konto , den Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).*
+ Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html).
+ Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*.
+ Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
# Verwenden von Tags mit Amazon FSx
Sie können Tags verwenden, um den Zugriff auf FSx Amazon-Ressourcen zu kontrollieren und die attributebasierte Zugriffskontrolle (ABAC) zu implementieren. Benutzer benötigen die Erlaubnis, während der Erstellung Tags auf FSx Amazon-Ressourcen anzuwenden.
## Erteilen der Berechtigung zum Markieren von Ressourcen während der Erstellung
Bei einigen API-Aktionen zur FSx Ressourcenerstellung für Windows File Server können Sie Tags angeben, wenn Sie die Ressource erstellen. Sie können Ressourcentags verwenden, um die attributebasierte Zugriffskontrolle (ABAC) zu implementieren. *Weitere Informationen finden Sie unter [Wofür ist ABAC AWS im IAM-Benutzerhandbuch](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html).*
Damit Benutzer diese Möglichkeit erhalten, benötigen sie die Berechtigungen zum Verwenden der Aktion, die die Ressource wie `fsx:CreateFileSystem` oder `fsx:CreateBackup` erstellt. Wenn Tags in der Aktion angegeben werden, mit der die Ressource erstellt wird, führt Amazon eine zusätzliche Autorisierung für die `fsx:TagResource`-Aktion aus, um die Berechtigungen der Benutzer zum Erstellen von Tags zu überprüfen. Daher benötigen die Benutzer außerdem die expliziten Berechtigungen zum Verwenden der `fsx:TagResource`-Aktion.
Das folgende Beispiel zeigt eine Richtlinie, die es Benutzern ermöglicht, Dateisysteme zu erstellen und während der Erstellung Tags auf Dateisysteme in einem bestimmten Bereich anzuwenden. AWS-Konto
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateFileSystem",
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:region:account-id:file-system/*"
}
]
}
```
In ähnlicher Weise ermöglicht die folgende Richtlinie Benutzern, Backups auf einem bestimmten Dateisystem zu erstellen und während der Backup-Erstellung beliebige Tags auf die Sicherung anzuwenden.
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateBackup"
],
"Resource": "arn:aws:fsx:region:account-id:file-system/file-system-id*"
},
{
"Effect": "Allow",
"Action": [
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:region:account-id:backup/*"
}
]
}
```
Die `fsx:TagResource`-Aktion wird nur ausgewertet, wenn die Tags während der Aktion zur Ressourcenerstellung angewendet werden. Folglich benötigt ein Benutzer, der über die Berechtigungen zum Erstellen einer Ressource verfügt (vorausgesetzt, es bestehen keine Markierungsbedingungen), keine Berechtigungen zur Verwendung der `fsx:TagResource`-Aktion, wenn keine Tags in der Anforderung angegeben werden. Wenn der Benutzer allerdings versucht, eine Ressource mit Tags zu erstellen, schlägt die Anforderung fehl, wenn der Benutzer nicht über die Berechtigungen für die `fsx:TagResource`-Aktion verfügt.
Weitere Informationen zum Taggen von FSx Amazon-Ressourcen finden Sie unter[Verschlagworten Sie Ihre Amazon-Ressourcen FSx](tag-resources.md). Weitere Informationen zur Verwendung von Tags zur Steuerung des Zugriffs auf FSx Ressourcen finden Sie unter[Verwenden von Tags zur Steuerung des Zugriffs auf Ihre FSx Amazon-Ressourcen](#restrict-fsx-access-tags).
## Verwenden von Tags zur Steuerung des Zugriffs auf Ihre FSx Amazon-Ressourcen
Um den Zugriff auf FSx Amazon-Ressourcen und -Aktionen zu kontrollieren, können Sie AWS Identity and Access Management (IAM-) Richtlinien verwenden, die auf Tags basieren. Sie können die Steuerung auf zwei Arten bereitstellen:
1. Steuern Sie den Zugriff auf FSx Amazon-Ressourcen anhand der Tags auf diesen Ressourcen.
1. Bestimmen, welche Tags in einer IAM-Anfragebedingung weitergeleitet werden können
Informationen zur Verwendung von Tags zur Steuerung des Zugriffs auf AWS Ressourcen finden Sie unter [Steuern des Zugriffs mithilfe von Tags](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html) im *IAM-Benutzerhandbuch*. Weitere Informationen zum Taggen von FSx Amazon-Ressourcen bei der Erstellung finden Sie unter[Erteilen der Berechtigung zum Markieren von Ressourcen während der Erstellung](#supported-iam-actions-tagging). Weitere Informationen über das Markieren von -Ressourcen mit Tags finden Sie unter [Verschlagworten Sie Ihre Amazon-Ressourcen FSx](tag-resources.md).
### Bestimmung des Zugriffs auf Ressourcen basierend auf Tags
Um zu kontrollieren, welche Aktionen ein Benutzer oder eine Rolle auf einer FSx Amazon-Ressource ausführen kann, können Sie Tags für die Ressource verwenden. So können Sie beispielsweise bestimmte API-Vorgänge für eine Dateisystemressource auf der Grundlage des Schlüssel-Wert-Paares des Tags der Ressource zulassen oder verbieten.
**Example Richtlinie — Erstellen Sie ein Dateisystem, auf dem Sie ein bestimmtes Tag angeben**
Diese Richtlinie ermöglicht es dem Benutzer, ein Dateisystem nur dann zu erstellen, wenn er es mit einem bestimmten Tag-Schlüssel-Wert-Paar kennzeichnet, in diesem Beispiel`key=Department, value=Finance`.
```
{
"Effect": "Allow",
"Action": [
"fsx:CreateFileSystem",
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:region:account-id:file-system/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
}
```
**Example Richtlinie — Erstellen Sie nur Backups von FSx Amazon-Dateisystemen mit einem bestimmten Tag**
Diese Richtlinie ermöglicht es Benutzern, nur Backups von Dateisystemen zu erstellen, die mit dem Schlüssel-Wert-Paar gekennzeichnet sind`key=Department, value=Finance`, und das Backup wird mit dem Tag erstellt`Deparment=Finance`.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateBackup"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:file-system/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
},
{
"Effect": "Allow",
"Action": [
"fsx:TagResource",
"fsx:CreateBackup"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:backup/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
}
]
}
```
**Example Richtlinie — Erstellen Sie aus Backups mit einem bestimmten Tag ein Dateisystem mit einem bestimmten Tag**
Diese Richtlinie ermöglicht es Benutzern, Dateisysteme, die mit gekennzeichnet sind, `Department=Finance` nur aus Backups zu erstellen, die mit gekennzeichnet sind`Department=Finance`.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateFileSystemFromBackup",
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:backup/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
},
{
"Effect": "Allow",
"Action": [
"fsx:CreateFileSystemFromBackup",
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:file-system/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
}
]
}
```
**Example Richtlinie — Dateisysteme mit bestimmten Tags löschen**
Diese Richtlinie ermöglicht es einem Benutzer, nur Dateisysteme zu löschen, die mit gekennzeichnet sind`Department=Finance`. Wenn sie ein letztes Backup erstellen, muss es mit gekennzeichnet werden`Department=Finance`.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:DeleteFileSystem"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:file-system/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
},
{
"Effect": "Allow",
"Action": [
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:backup/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
}
]
}
```
# Verwenden von dienstbezogenen Rollen FSx für den Windows-Dateiserver
Amazon FSx für Windows File Server verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte Rollen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role). Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, mit der FSx für Windows File Server direkt verknüpft ist. Dienstbezogene Rollen sind von FSx for Windows File Server vordefiniert und beinhalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.
Eine dienstverknüpfte Rolle erleichtert die Einrichtung FSx für den Windows-Dateiserver, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. FSx für Windows File Server definiert die Berechtigungen seiner dienstbezogenen Rollen, und sofern nicht anders definiert, kann nur FSx für Windows File Server seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.
Sie können eine serviceverknüpfte Rolle erst löschen, nachdem ihre verwandten Ressourcen gelöscht wurden. Dadurch werden Ihre Ressourcen FSx für Windows File Server geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können.
Informationen zu anderen Services, die serviceverknüpften Rollen unterstützen, finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie nach den Services, für die **Ja** in der Spalte **Serviceverknüpfte Rolle** angegeben ist. Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.
## Dienstbezogene Rollenberechtigungen für Windows File Server FSx
FSx für Windows File Server verwendet die dienstverknüpfte Rolle mit dem Namen `AWSServiceRoleForAmazonFSx` —, die bestimmte Aktionen in Ihrem Konto ausführt, z. B. das Erstellen von Elastic Network Interfaces für Ihre Dateisysteme in Ihrer VPC.
Die Richtlinie FSx für Rollenberechtigungen ermöglicht es dem Windows-Dateiserver, die folgenden Aktionen für alle AWS zutreffenden Ressourcen durchzuführen:
Sie können Amazon nicht FSx ServiceRolePolicy an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist mit einer dienstbezogenen Rolle verknüpft, die es ermöglicht, AWS Ressourcen in Ihrem Namen FSx zu verwalten. Weitere Informationen finden Sie unter [Verwenden von dienstbezogenen Rollen FSx für den Windows-Dateiserver](#using-service-linked-roles).
Aktualisierungen dieser Richtlinie finden Sie unter [Amazon FSx ServiceRolePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-AmazonFSxServiceRolePolicy).
Diese Richtlinie gewährt Administratorberechtigungen, die es FSx ermöglichen, AWS Ressourcen im Namen des Benutzers zu verwalten.
**Details zu Berechtigungen**
Die FSx ServiceRolePolicy Amazon-Rollenberechtigungen werden durch die von Amazon FSx ServiceRolePolicy AWS verwaltete Richtlinie definiert. Amazon FSx ServiceRolePolicy hat die folgenden Berechtigungen:
**Anmerkung**
Amazon FSx ServiceRolePolicy wird von allen FSx Amazon-Dateisystemtypen verwendet; einige der aufgeführten Berechtigungen gelten möglicherweise nicht FSx für Windows.
+ `ds`— Ermöglicht FSx das Anzeigen, Autorisieren und Aufheben der Autorisierung von Anwendungen in Ihrem Verzeichnis. Directory Service
+ `ec2`— Ermöglicht FSx Folgendes:
+ Netzwerkschnittstellen, die mit einem FSx Amazon-Dateisystem verknüpft sind, anzeigen, erstellen und trennen.
+ Zeigen Sie eine oder mehrere Elastic IP-Adressen an, die mit einem FSx Amazon-Dateisystem verknüpft sind.
+ Sehen Sie sich Amazon VPCs, Sicherheitsgruppen und Subnetze an, die mit einem FSx Amazon-Dateisystem verknüpft sind.
+ Weisen Sie den Netzwerkschnittstellen von Kunden, die über ein `AmazonFSx.FileSystemId` Tag verfügen, IPv6 Adressen zu.
+ Hebt die Zuweisung von IPv6 Adressen zu Netzwerkschnittstellen von Kunden auf, die über ein `AmazonFSx.FileSystemId` Tag verfügen.
+ Um eine erweiterte Sicherheitsgruppenvalidierung aller Sicherheitsgruppen bereitzustellen, die mit einer VPC verwendet werden können.
+ Erstellen Sie eine Berechtigung für einen AWS-autorisierten Benutzer, bestimmte Operationen an einer Netzwerkschnittstelle auszuführen.
+ `cloudwatch`— Ermöglicht FSx das Veröffentlichen von metrischen Datenpunkten CloudWatch unter dem FSx Namespace AWS/.
+ `route53`— Ermöglicht FSx die Verknüpfung einer Amazon VPC mit einer privaten gehosteten Zone.
+ `logs`— Ermöglicht das FSx Beschreiben und Schreiben von Log-Streams in CloudWatch Logs. Auf diese Weise können Benutzer Auditprotokolle für den Dateizugriff auf ein Dateisystem FSx für Windows-Dateiserver an einen CloudWatch Logs-Stream senden.
+ `firehose`— Ermöglicht FSx das Beschreiben und Schreiben in Amazon Data Firehose-Lieferdatenströme. Auf diese Weise können Benutzer die Dateizugriffs-Audit-Logs für ein Dateisystem FSx für Windows File Server in einem Amazon Data Firehose-Lieferstream veröffentlichen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CreateFileSystem",
"Effect": "Allow",
"Action": [
"ds:AuthorizeApplication",
"ds:GetAuthorizedApplicationDetails",
"ds:UnauthorizeApplication",
"ec2:CreateNetworkInterface",
"ec2:CreateNetworkInterfacePermission",
"ec2:DeleteNetworkInterface",
"ec2:DescribeAddresses",
"ec2:DescribeDhcpOptions",
"ec2:DescribeNetworkInterfaces",
"ec2:DescribeRouteTables",
"ec2:DescribeSecurityGroups",
"ec2:DescribeSubnets",
"ec2:DescribeVPCs",
"ec2:DisassociateAddress",
"ec2:GetSecurityGroupsForVpc",
"route53:AssociateVPCWithHostedZone"
],
"Resource": "*"
},
{
"Sid": "PutMetrics",
"Effect": "Allow",
"Action": [
"cloudwatch:PutMetricData"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"cloudwatch:namespace": "AWS/FSx"
}
}
},
{
"Sid": "TagResourceNetworkInterface",
"Effect": "Allow",
"Action": [
"ec2:CreateTags"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateNetworkInterface"
},
"ForAllValues:StringEquals": {
"aws:TagKeys": "AmazonFSx.FileSystemId"
}
}
},
{
"Sid": "ManageNetworkInterface",
"Effect": "Allow",
"Action": [
"ec2:AssignPrivateIpAddresses",
"ec2:ModifyNetworkInterfaceAttribute",
"ec2:UnassignPrivateIpAddresses"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"Null": {
"aws:ResourceTag/AmazonFSx.FileSystemId": "false"
}
}
},
{
"Sid": "ManageRouteTable",
"Effect": "Allow",
"Action": [
"ec2:CreateRoute",
"ec2:ReplaceRoute",
"ec2:DeleteRoute"
],
"Resource": [
"arn:aws:ec2:*:*:route-table/*"
],
"Condition": {
"StringEquals": {
"aws:ResourceTag/AmazonFSx": "ManagedByAmazonFSx"
}
}
},
{
"Sid": "PutCloudWatchLogs",
"Effect": "Allow",
"Action": [
"logs:DescribeLogGroups",
"logs:DescribeLogStreams",
"logs:PutLogEvents"
],
"Resource": "arn:aws:logs:*:*:log-group:/aws/fsx/*"
},
{
"Sid": "ManageAuditLogs",
"Effect": "Allow",
"Action": [
"firehose:DescribeDeliveryStream",
"firehose:PutRecord",
"firehose:PutRecordBatch"
],
"Resource": "arn:aws:firehose:*:*:deliverystream/aws-fsx-*"
}
]
}
```
------
Alle Aktualisierungen dieser Richtlinie werden unter beschrieben[FSx Aktualisierungen der AWS verwalteten Richtlinien durch Amazon](security-iam-awsmanpol.md#security-iam-awsmanpol-updates).
Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter [serviceverknüpfte Rollenberechtigungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*.
## Eine dienstverknüpfte Rolle FSx für den Windows-Dateiserver erstellen
Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie ein Dateisystem in der erstellen AWS-Managementkonsole, erstellt die IAM-CLI oder die IAM-API FSx für Windows File Server die dienstverknüpfte Rolle für Sie.
**Wichtig**
Diese serviceverknüpfte Rolle kann in Ihrem Konto erscheinen, wenn Sie eine Aktion in einem anderen Service abgeschlossen haben, der die von dieser Rolle unterstützten Features verwendet. Weitere Informationen finden Sie unter [Eine neue Rolle ist in meinem IAM-Konto erschienen](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared).
Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie ein Dateisystem erstellen, erstellt der Windows-Dateiserver die dienstbezogene Rolle erneut FSx für Sie.
## Bearbeiten einer dienstverknüpften Rolle FSx für Windows File Server
FSx für Windows-Dateiserver können Sie die dienstbezogene Rolle nicht bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
## Löschen einer dienstverknüpften Rolle FSx für Windows File Server
Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch alle Dateisysteme und Backups löschen, bevor Sie die dienstverknüpfte Rolle manuell löschen können.
**Anmerkung**
Wenn der Dienst FSx für Windows-Dateiserver die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.
**So löschen Sie die serviceverknüpfte Rolle mit IAM**
Sie können die IAM-Konsole, die IAM-CLI oder die IAM-API verwenden, um die -serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Leitfaden*.
## Unterstützte Regionen FSx für Rollen, die mit dem Windows-Dateiserver verknüpft sind
FSx für Windows File Server unterstützt die Verwendung von dienstbezogenen Rollen in allen Regionen, in denen der Dienst verfügbar ist. Weitere Informationen finden Sie unter [AWS Regionen und Endpunkte](https://docs.aws.amazon.com/general/latest/gr/rande.html).
# Konformitätsprüfung für Amazon FSx for Windows File Server
Informationen darüber, ob AWS-Service ein [AWS-Services in den Geltungsbereich bestimmter Compliance-Programme fällt, finden Sie unter Umfang nach Compliance-Programm AWS-Services unter](https://aws.amazon.com/compliance/services-in-scope/) . Wählen Sie dort das Compliance-Programm aus, an dem Sie interessiert sind. Allgemeine Informationen finden Sie unter [AWS Compliance-Programme AWS](https://aws.amazon.com/compliance/programs/) .
Sie können Prüfberichte von Drittanbietern unter herunterladen AWS Artifact. Weitere Informationen finden Sie unter [Berichte herunterladen unter ](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html).
Ihre Verantwortung für die Einhaltung der Vorschriften bei der Nutzung AWS-Services hängt von der Vertraulichkeit Ihrer Daten, den Compliance-Zielen Ihres Unternehmens und den geltenden Gesetzen und Vorschriften ab. Weitere Informationen zu Ihrer Verantwortung für die Einhaltung der Vorschriften bei der Nutzung AWS-Services finden Sie in der [AWS Sicherheitsdokumentation](https://docs.aws.amazon.com/security/).
# Amazon FSx für Windows Dateiserver- und Schnittstellen-VPC-Endpunkte
Sie können die Sicherheitslage Ihrer VPC verbessern, indem Sie Amazon so konfigurieren, FSx dass es einen VPC-Endpunkt mit Schnittstelle verwendet. Interface-VPC-Endpunkte basieren auf einer Technologie [AWS PrivateLink](https://aws.amazon.com/privatelink), die es Ihnen ermöglicht, privat auf Amazon zuzugreifen, FSx APIs ohne ein Internet-Gateway, ein NAT-Gerät, eine VPN-Verbindung oder Direct Connect eine Verbindung zu benötigen. Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um mit Amazon FSx APIs zu kommunizieren. Der Verkehr zwischen Ihrer VPC und Amazon FSx verlässt das AWS Netzwerk nicht.
Jeder Schnittstellen-VPC-Endpunkt wird durch eine oder mehrere elastische Netzwerkschnittstellen in Ihren Subnetzen repräsentiert. Eine Netzwerkschnittstelle stellt eine private IP-Adresse bereit, die als Einstiegspunkt für den Datenverkehr zur FSx Amazon-API dient. Amazon FSx unterstützt VPC-Endpunkte, die mit den IPv4 IP-Adresstypen -only und Dual-Stack (IPv4 und IPv6) konfiguriert sind. Weitere Informationen finden Sie unter [Erstellen eines Schnittstellen-VPC-Endpunkts](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint) im *Amazon VPC-Benutzerhandbuch*.
## Überlegungen zu VPC-Endpunkten mit FSx Amazon-Schnittstelle
Bevor Sie einen Schnittstellen-VPC-Endpunkt für Amazon einrichten FSx, sollten Sie die [Eigenschaften und Einschränkungen von Interface VPC-Endpunkten](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#vpce-interface-limitations) im *Amazon VPC-Benutzerhandbuch* lesen.
Sie können alle FSx Amazon-API-Operationen von Ihrer VPC aus aufrufen. Sie können beispielsweise ein Dateisystem FSx für Windows File Server erstellen, indem Sie die CreateFileSystem API von Ihrer VPC aus aufrufen. Die vollständige Liste von Amazon FSx APIs finden Sie unter [Aktionen](https://docs.aws.amazon.com/fsx/latest/APIReference/API_Operations.html) in der Amazon FSx API-Referenz.
### Überlegungen zum VPC-Peering
Sie können mithilfe von VPCs VPC-Peering andere VPC-Endpunkte mit der VPC über die Schnittstelle verbinden. VPC-Peering ist eine Netzwerkverbindung zwischen zwei. VPCs Sie können eine VPC-Peering-Verbindung zwischen Ihren eigenen beiden VPCs oder mit einer VPC in einer anderen herstellen. AWS-Konto VPCs Sie können auch zwei verschiedene sein. AWS-Regionen
Der Verkehr zwischen Peers VPCs verbleibt im AWS Netzwerk und durchquert nicht das öffentliche Internet. Sobald VPCs das Peering abgeschlossen ist, VPCs können Ressourcen wie Amazon Elastic Compute Cloud (Amazon EC2) -Instances in beiden über VPC-Schnittstellen-Endpunkte, die in einem der beiden erstellt wurden, auf die FSx Amazon-API zugreifen. VPCs
## Erstellen eines VPC-Schnittstellen-Endpunkts für Amazon API FSx
Sie können einen VPC-Endpunkt für die FSx Amazon-API entweder mit der Amazon VPC-Konsole oder mit AWS Command Line Interface ()AWS CLI erstellen. Weitere Informationen finden Sie unter [Erstellen eines Schnittstellen-VPC-Endpunkts](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint) im *Amazon VPC-Benutzerhandbuch*.
Verwenden Sie eine der folgenden Methoden FSx, um einen VPC-Schnittstellen-Endpunkt für Amazon zu erstellen:
+ `com.amazonaws.region.fsx`— Erzeugt einen Endpunkt für FSx Amazon-API-Operationen.
+ **`com.amazonaws.region.fsx-fips`**— Erstellt einen Endpunkt für die FSx Amazon-API, der dem [Federal Information Processing Standard (FIPS) 140-2](https://aws.amazon.com/compliance/fips/) entspricht.
Um die private DNS-Option zu verwenden, müssen Sie die `enableDnsSupport` Attribute `enableDnsHostnames` und für Ihre VPC festlegen. Weitere Informationen finden Sie unter [DNS-Unterstützung für Ihre VPC anzeigen und aktualisieren](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-dns.html#vpc-dns-updating) im *Amazon VPC-Benutzerhandbuch*.
Mit Ausnahme AWS-Regionen von China können Sie, wenn Sie privates DNS für den Endpunkt aktivieren, API-Anfragen an Amazon FSx mit dem VPC-Endpunkt stellen AWS-Region, indem Sie beispielsweise `fsx.us-east-1.amazonaws.com` seinen Standard-DNS-Namen für verwenden. Für China (Peking) und China (Ningxia) AWS-Regionen können Sie API-Anfragen mit dem VPC-Endpunkt jeweils mit `fsx-api---cn-north-1.amazonaws.com.rproxy.goskope.com.cn` und `fsx-api---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn` stellen.
Weitere Informationen finden Sie unter [Zugreifen auf einen Service über einen Schnittstellen-VPC-Endpunkt](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#access-service-though-endpoint) im *Amazon VPC-Benutzerhandbuch*.
## Erstellen einer VPC-Endpunktrichtlinie für Amazon FSx
Um den Zugriff auf die FSx Amazon-API weiter zu kontrollieren, können Sie optional eine AWS Identity and Access Management (IAM-) Richtlinie an Ihren VPC-Endpunkt anhängen. Die Richtlinie legt Folgendes fest:
+ Prinzipal, der die Aktionen ausführen kann.
+ Aktionen, die ausgeführt werden können
+ Die Ressourcen, mit denen Aktionen ausgeführt werden können.
Weitere Informationen finden Sie unter [Steuerung des Zugriffs auf Services mit VPC-Endpunkten](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html) im *Amazon-VPC-Benutzerhandbuch*.