Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS IoT SiteWise Beispiele für identitätsbasierte Richtlinien

Standardmäßig sind Entitäten (Benutzer und Rollen) nicht berechtigt, AWS IoT SiteWise Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe der AWS-Managementkonsole, AWS Command Line Interface (AWS CLI) oder AWS API ausführen. Um die Berechtigungen anzupassen, muss ein AWS Identity and Access Management (IAM-) Administrator Folgendes tun:

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von Richtlinien auf der JSON-Registerkarte im IAM-Benutzerhandbuch.

Best Practices für Richtlinien

Identity-based Richtlinien bestimmen, ob jemand AWS IoT SiteWise Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn du identitätsbasierte Richtlinien erstellst oder bearbeitest, befolge diese Richtlinien und Empfehlungen:

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Best Practices für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Verwenden Sie das AWS IoT SiteWise Konsole

Für den Zugriff auf die AWS IoT SiteWise Konsole benötigen Sie grundlegende Berechtigungen. Mit diesen Berechtigungen können Sie Details zu den AWS IoT SiteWise Ressourcen in Ihrem AWS Konto einsehen und verwalten.

Wenn Sie eine zu restriktive Richtlinie festlegen, funktioniert die Konsole für Benutzer oder Rollen (Entitäten) mit dieser Richtlinie möglicherweise nicht wie erwartet. Um sicherzustellen, dass diese Entitäten die AWS IoT SiteWise Konsole weiterhin verwenden können, fügen Sie ihnen die AWSIoTSiteWiseConsoleFullAccess verwaltete Richtlinie hinzu oder definieren Sie entsprechende Berechtigungen für diese Entitäten. Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen zu einem Benutzer im IAM-Benutzerhandbuch.

Wenn Entitäten nur die AWS Command Line Interface (CLI) oder die AWS IoT SiteWise API und nicht die Konsole verwenden, benötigen sie diese Mindestberechtigungen nicht. In diesem Fall geben Sie ihnen einfach Zugriff auf die spezifischen Aktionen, die sie für ihre API-Aufgaben benötigen.

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie beinhaltet Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI AWS OR-API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Erlauben Sie Benutzern, Daten in Assets in einer Hierarchie aufzunehmen

In diesem Beispiel möchten Sie einem Benutzer in Ihrem AWS Konto Zugriff gewähren, um Daten in alle Asset-Eigenschaften in einer bestimmten Hierarchie von Assets zu schreiben, angefangen beim Stamm-Asseta1b2c3d4-5678-90ab-cdef-22222EXAMPLE. Die Richtlinie erteilt dem Benutzer die iotsitewise:BatchPutAssetPropertyValue-Berechtigung. Diese Richtlinie verwendet den iotsitewise:assetHierarchyPath-Bedingungsschlüssel, um den Zugriff auf Komponenten einzuschränken, deren Hierarchiepfad mit der Komponenten oder ihren abhängigen Elementen übereinstimmt.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "PutAssetPropertyValuesForHierarchy",
      "Effect": "Allow",
      "Action": "iotsitewise:BatchPutAssetPropertyValue",
      "Resource": "arn:aws:iotsitewise:*:*:asset/*",
      "Condition": {
        "StringLike": {
          "iotsitewise:assetHierarchyPath": [
            "/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE",
            "/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE/*"
          ]
        }
      }
    }
  ]
}

Anzeigen AWS IoT SiteWise Ressourcen, die auf Stichwörtern basieren

Verwenden Sie Bedingungen in Ihrer identitätsbasierten Richtlinie, um den Zugriff auf AWS IoT SiteWise Ressourcen anhand von Stichwörtern zu kontrollieren. Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen, die das Anzeigen von Assets ermöglicht. Die Berechtigung wird jedoch nur erteilt, wenn das Tag der Komponente Owner den Wert des Benutzernamens dieses Benutzers hat. Diese Richtlinie gewährt auch die Erlaubnis, diese Aktion auf der Konsole abzuschließen.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "ListAllAssets",
      "Effect": "Allow",
      "Action": [
        "iotsitewise:ListAssets",
        "iotsitewise:ListAssociatedAssets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "DescribeAssetIfOwner",
      "Effect": "Allow",
      "Action": "iotsitewise:DescribeAsset",
      "Resource": "arn:aws:iotsitewise:*:*:asset/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Owner": "${aws:username}"
        }
      }
    }
  ]
}

Hängen Sie diese Richtlinie an die Benutzer in Ihrem Konto an. Wenn ein benannter Benutzer richard-roe versucht, ein AWS IoT SiteWise Asset anzusehen, muss das Asset mit dem Schlagwort Owner=richard-roe oder gekennzeichnet werdenowner=richard-roe. Andernfalls wird Richard der Zugriff verweigert. Bei den Schlüsselnamen der Bedingungs-Tags wird nicht zwischen Groß- und Kleinschreibung unterschieden. OwnerEntspricht also sowohl als Owner auchowner. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.