View a markdown version of this page

Wie AWS IoT funktioniert mit IAM - AWS IoT Core
AWS IoT Identitätsbasierte RichtlinienAWS IoT Ressourcenbasierte RichtlinienDie Autorisierung basiert auf AWS IoT tagsAWS IoT IAM-Rollen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Wie AWS IoT funktioniert mit IAM

Bevor Sie IAM zur Verwaltung des Zugriffs auf verwenden AWS IoT, sollten Sie sich darüber im Klaren sein, mit welchen IAM-Funktionen Sie diese verwenden können. AWS IoT Einen allgemeinen Überblick darüber, wie AWS IoT und andere AWS Dienste mit IAM funktionieren, finden Sie im IAM-Benutzerhandbuch unter AWS Services That Work with IAM.

AWS IoT Identitätsbasierte Richtlinien

Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen erteilt oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. AWS IoT unterstützt bestimmte Aktionen, Ressourcen und Bedingungsschlüssel. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der IAM-Referenz für JSON-Richtlinienelemente im IAM-Benutzerhandbuch.

Aktionen

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Element Action einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu gewähren.

In der folgenden Tabelle sind die IAM-IoT-Aktionen, die zugehörige AWS IoT API und die Ressource aufgeführt, die durch die Aktion bearbeitet wird.

Richtlinienaktionen AWS IoT API Ressourcen
IoT: AcceptCertificateTransfer AcceptCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Anmerkung

Das im ARN AWS-Konto angegebene Konto muss das Konto sein, auf das das Zertifikat übertragen wird.
IoT: AddThingToThingGroup AddThingToThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: AssociateTargetsWithJob AssociateTargetsWithJob Keine
Internet der Dinge: AttachPolicy AttachPolicy

arn:aws:iot:region:account-id:thinggroup/thing-group-name

oder

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: AttachPrincipalPolicy AttachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: AttachSecurityProfile AttachSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: AttachThingPrincipal AttachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: CancelCertificateTransfer CancelCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Anmerkung

Das im ARN AWS-Konto angegebene Konto muss das Konto sein, auf das das Zertifikat übertragen wird.
IoT: CancelJob CancelJob

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: CancelJobExecution CancelJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ClearDefaultAuthorizer ClearDefaultAuthorizer Keine
Internet der Dinge: CreateAuthorizer CreateAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet der Dinge: CreateCertificateFromCsr CreateCertificateFromCsr *
Internet der Dinge: CreateDimension CreateDimension

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: CreateJob CreateJob

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet der Dinge: CreateJobTemplate CreateJobTemplate

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet der Dinge: CreateKeysAndCertificate CreateKeysAndCertificate *
Internet der Dinge: CreatePolicy CreatePolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: CreatePolicyVersion CreatePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name

Anmerkung

Dies muss eine AWS IoT Richtlinie sein, keine IAM-Richtlinie.
IoT: CreateRoleAlias CreateRoleAlias

(Parameter: roleAlias)

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: CreateSecurityProfile CreateSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: CreateThing CreateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: CreateThingGroup CreateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

für die Gruppe, die erstellt wird, und für die übergeordnete Gruppe, sofern verwendet
Internet der Dinge: CreateThingType CreateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: CreateTopicRule CreateTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: DeleteAuthorizer DeleteAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-name
iot:DeleteCACertificate DeleteCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet der Dinge: DeleteCertificate DeleteCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DeleteDimension DeleteDimension

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: DeleteJob DeleteJob

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: DeleteJobTemplate DeleteJobTemplate

arn:aws:iot:region:account-id:job/job-template-id
Internet der Dinge: DeleteJobExecution DeleteJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: DeletePolicy DeletePolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: DeletePolicyVersion DeletePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: DeleteRegistrationCode DeleteRegistrationCode *
Internet der Dinge: DeleteRoleAlias DeleteRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: DeleteSecurityProfile DeleteSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: DeleteThing DeleteThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: DeleteThingGroup DeleteThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DeleteThingType DeleteThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: DeleteTopicRule DeleteTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: DeleteV2LoggingLevel DeleteV2LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DeprecateThingType DeprecateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: DescribeAuthorizer DescribeAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name

(Parameter: authorizerName)

Keine
iot:DescribeCACertificate DescribeCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet der Dinge: DescribeCertificate DescribeCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DescribeDefaultAuthorizer DescribeDefaultAuthorizer Keine
Internet der Dinge: DescribeEndpoint DescribeEndpoint *
Internet der Dinge: DescribeEventConfigurations DescribeEventConfigurations Keine
Internet der Dinge: DescribeIndex DescribeIndex

arn:aws:iot:region:account-id:index/index-name
Internet der Dinge: DescribeJob DescribeJob

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: DescribeJobExecution DescribeJobExecution Keine
Internet der Dinge: DescribeJobTemplate DescribeJobTemplate

arn:aws:iot:region:account-id:job/job-template-id
Internet der Dinge: DescribeRoleAlias DescribeRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: DescribeThing DescribeThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: DescribeThingGroup DescribeThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DescribeThingRegistrationTask DescribeThingRegistrationTask Keine
Internet der Dinge: DescribeThingType DescribeThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: DetachPolicy DetachPolicy

arn:aws:iot:region:account-id:cert/cert-id

oder

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DetachPrincipalPolicy DetachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DetachSecurityProfile DetachSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: DetachThingPrincipal DetachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DisableTopicRule DisableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: EnableTopicRule EnableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: GetEffectivePolicies GetEffectivePolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: GetIndexingConfiguration GetIndexingConfiguration Keine
Internet der Dinge: GetJobDocument GetJobDocument

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: GetLoggingOptions GetLoggingOptions *
Internet der Dinge: GetPolicy GetPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: GetPolicyVersion GetPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: GetRegistrationCode GetRegistrationCode *
Internet der Dinge: GetTopicRule GetTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: ListAttachedPolicies ListAttachedPolicies

arn:aws:iot:region:account-id:thinggroup/thing-group-name

oder

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: ListAuthorizers ListAuthorizers Keine
iot:ListCACertificates ListCACertificates *
Internet der Dinge: ListCertificates ListCertificates *
Internet der Dinge: ListCertificatesByCA ListCertificatesByCA *
Internet der Dinge: ListIndices ListIndices Keine
Internet der Dinge: ListJobExecutionsForJob ListJobExecutionsForJob Keine
Internet der Dinge: ListJobExecutionsForThing ListJobExecutionsForThing Keine
Internet der Dinge: ListJobs ListJobs

arn:aws:iot:region:account-id:thinggroup/thing-group-name

wenn der GroupName Ding-Parameter verwendet wird
Iot: ListJobTemplates ListJobs Keine
Internet der Dinge: ListOutgoingCertificates ListOutgoingCertificates *
Internet der Dinge: ListPolicies ListPolicies *
Internet der Dinge: ListPolicyPrincipals ListPolicyPrincipals *
Internet der Dinge: ListPolicyVersions ListPolicyVersions

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: ListPrincipalPolicies ListPrincipalPolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: ListPrincipalThings ListPrincipalThings

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: ListRoleAliases ListRoleAliases Keine
Internet der Dinge: ListTargetsForPolicy ListTargetsForPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: ListThingGroups ListThingGroups Keine
Internet der Dinge: ListThingGroupsForThing ListThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ListThingPrincipals ListThingPrincipals

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ListThingRegistrationTaskReports ListThingRegistrationTaskReports Keine
Internet der Dinge: ListThingRegistrationTasks ListThingRegistrationTasks Keine
Internet der Dinge: ListThingTypes ListThingTypes *
Internet der Dinge: ListThings ListThings *
Internet der Dinge: ListThingsInThingGroup ListThingsInThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: ListTopicRules ListTopicRules *
Internet der Dinge: ListV2LoggingLevels ListV2LoggingLevels Keine
iot:RegisterCACertificate RegisterCACertificate *
Internet der Dinge: RegisterCertificate RegisterCertificate *
Internet der Dinge: RegisterThing RegisterThing Keine
Internet der Dinge: RejectCertificateTransfer RejectCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: RemoveThingFromThingGroup RemoveThingFromThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ReplaceTopicRule ReplaceTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: SearchIndex SearchIndex

arn:aws:iot:region:account-id:index/index-id
Internet der Dinge: SetDefaultAuthorizer SetDefaultAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet der Dinge: SetDefaultPolicyVersion SetDefaultPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: SetLoggingOptions SetLoggingOptions

arn:aws:iot:region:account-id:role/role-name
Internet der Dinge: SetV2LoggingLevel SetV2LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: SetV2LoggingOptions SetV2LoggingOptions

arn:aws:iot:region:account-id:role/role-name
Internet der Dinge: StartThingRegistrationTask StartThingRegistrationTask Keine
Internet der Dinge: StopThingRegistrationTask StopThingRegistrationTask Keine
Internet der Dinge: TestAuthorization TestAuthorization

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: TestInvokeAuthorizer TestInvokeAuthorizer Keine
Internet der Dinge: TransferCertificate TransferCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: UpdateAuthorizer UpdateAuthorizer

arn:aws:iot:region:account-id:authorizerfunction/authorizer-function-name
iot:UpdateCACertificate UpdateCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet der Dinge: UpdateCertificate UpdateCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: UpdateDimension UpdateDimension

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: UpdateEventConfigurations UpdateEventConfigurations Keine
Internet der Dinge: UpdateIndexingConfiguration UpdateIndexingConfiguration Keine
Internet der Dinge: UpdateRoleAlias UpdateRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: UpdateSecurityProfile UpdateSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
Internet der Dinge: UpdateThing UpdateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: UpdateThingGroup UpdateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: UpdateThingGroupsForThing UpdateThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:thinggroup/thing-group-name

Bei Richtlinienaktionen wird vor der Aktion das folgende Präfix AWS IoT verwendet:iot:. Um beispielsweise jemandem die Erlaubnis zu erteilen, alle IoT-Dinge aufzulisten, die in seiner AWS-Konto ListThings API registriert sind, nehmen Sie die iot:ListThings Aktion in seine Richtlinie auf. Richtlinienerklärungen müssen entweder ein Action NotAction OR-Element enthalten. AWS IoT definiert seinen eigenen Satz von Aktionen, die Aufgaben beschreiben, die Sie mit diesem Dienst ausführen können.

Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie wie folgt durch Kommata:

"Action": [
      "ec2:action1",
      "ec2:action2"

Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort Describe beginnen, einschließlich der folgenden Aktion:

"Action": "iot:Describe*"

Eine Liste der AWS IoT Aktionen finden Sie AWS IoT im IAM-Benutzerhandbuch unter Actions Defined by.

Device-Advisor-Aktionen

Die folgende Tabelle listet die Device-Advisor-Aktionen im IAM-IoT, die zugehörige AWS IoT -Device-Advisor-API und die Ressource auf, die die Aktion bearbeitet.

Richtlinienaktionen AWS IoT API Ressourcen
Berater für IoT-Geräte: CreateSuiteDefinition CreateSuiteDefinition

Keine
iotgeräteberater: DeleteSuiteDefinition DeleteSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
iotgeräteberater: GetSuiteDefinition GetSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
iotgeräteberater: GetSuiteRun GetSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-run-id
iotgeräteberater: GetSuiteRunReport GetSuiteRunReport

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
iotgeräteberater: ListSuiteDefinitions ListSuiteDefinitions Keine
iotgeräteberater: ListSuiteRuns ListSuiteRuns

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
iotgeräteberater: ListTagsForResource ListTagsForResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
iotgeräteberater: StartSuiteRun StartSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
iotgeräteberater: TagResource TagResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
iotgeräteberater: UntagResource UntagResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
iotgeräteberater: UpdateSuiteDefinition UpdateSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
iotgeräteberater: StopSuiteRun StopSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id

Richtlinienaktionen in AWS IoT Device Advisor verwenden das folgende Präfix vor der Aktion:. iotdeviceadvisor: Um beispielsweise jemandem die Erlaubnis zu erteilen, alle Suite-Definitionen aufzulisten, die in seiner AWS-Konto ListSuiteDefinitions API registriert sind, nehmen Sie die iotdeviceadvisor:ListSuiteDefinitions Aktion in seine Richtlinie auf.

Ressourcen

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das JSON-Richtlinienelement Resource gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen Amazon-Ressourcennamen (ARN) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (*), um anzugeben, dass die Anweisung für alle Ressourcen gilt.

"Resource": "*"
AWS IoT Ressourcen
Richtlinienaktionen AWS IoT API Ressourcen
IoT: AcceptCertificateTransfer AcceptCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Anmerkung

Das im ARN AWS-Konto angegebene Konto muss das Konto sein, auf das das Zertifikat übertragen wird.
IoT: AddThingToThingGroup AddThingToThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: AssociateTargetsWithJob AssociateTargetsWithJob Keine
Internet der Dinge: AttachPolicy AttachPolicy

arn:aws:iot:region:account-id:thinggroup/thing-group-name

oder

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: AttachPrincipalPolicy AttachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: AttachThingPrincipal AttachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: CancelCertificateTransfer CancelCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

Anmerkung

Das im ARN AWS-Konto angegebene Konto muss das Konto sein, auf das das Zertifikat übertragen wird.
IoT: CancelJob CancelJob

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: CancelJobExecution CancelJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ClearDefaultAuthorizer ClearDefaultAuthorizer Keine
Internet der Dinge: CreateAuthorizer CreateAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet der Dinge: CreateCertificateFromCsr CreateCertificateFromCsr *
Internet der Dinge: CreateJob CreateJob

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet der Dinge: CreateJobTemplate CreateJobTemplate

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet der Dinge: CreateKeysAndCertificate CreateKeysAndCertificate *
Internet der Dinge: CreatePolicy CreatePolicy

arn:aws:iot:region:account-id:policy/policy-name
CreatePolicyVersion Internet der Dinge: CreatePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name

Anmerkung

Dies muss eine AWS IoT Richtlinie sein, keine IAM-Richtlinie.
IoT: CreateRoleAlias CreateRoleAlias

(Parameter: roleAlias)

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: CreateThing CreateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: CreateThingGroup CreateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

für die Gruppe, die erstellt wird, und für die übergeordnete Gruppe, sofern verwendet
Internet der Dinge: CreateThingType CreateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: CreateTopicRule CreateTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: DeleteAuthorizer DeleteAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-name
iot:DeleteCACertificate DeleteCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet der Dinge: DeleteCertificate DeleteCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DeleteJob DeleteJob

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: DeleteJobExecution DeleteJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: DeleteJobTemplate DeleteJobTemplate

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet der Dinge: DeletePolicy DeletePolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: DeletePolicyVersion DeletePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: DeleteRegistrationCode DeleteRegistrationCode *
Internet der Dinge: DeleteRoleAlias DeleteRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: DeleteThing DeleteThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: DeleteThingGroup DeleteThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DeleteThingType DeleteThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: DeleteTopicRule DeleteTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: DeleteV2LoggingLevel DeleteV2LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DeprecateThingType DeprecateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: DescribeAuthorizer DescribeAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name

(Parameter: authorizerName)

Keine
iot:DescribeCACertificate DescribeCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet der Dinge: DescribeCertificate DescribeCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DescribeDefaultAuthorizer DescribeDefaultAuthorizer Keine
Internet der Dinge: DescribeEndpoint DescribeEndpoint *
Internet der Dinge: DescribeEventConfigurations DescribeEventConfigurations Keine
Internet der Dinge: DescribeIndex DescribeIndex

arn:aws:iot:region:account-id:index/index-name
Internet der Dinge: DescribeJob DescribeJob

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: DescribeJobExecution DescribeJobExecution Keine
Internet der Dinge: DescribeJobTemplate DescribeJobTemplate

arn:aws:iot:region:account-id:jobtemplate/job-template-id
Internet der Dinge: DescribeRoleAlias DescribeRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: DescribeThing DescribeThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: DescribeThingGroup DescribeThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DescribeThingRegistrationTask DescribeThingRegistrationTask Keine
Internet der Dinge: DescribeThingType DescribeThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
Internet der Dinge: DetachPolicy DetachPolicy

arn:aws:iot:region:account-id:cert/cert-id

oder

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: DetachPrincipalPolicy DetachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DetachThingPrincipal DetachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: DisableTopicRule DisableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: EnableTopicRule EnableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: GetEffectivePolicies GetEffectivePolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: GetIndexingConfiguration GetIndexingConfiguration Keine
Internet der Dinge: GetJobDocument GetJobDocument

arn:aws:iot:region:account-id:job/job-id
Internet der Dinge: GetLoggingOptions GetLoggingOptions *
Internet der Dinge: GetPolicy GetPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: GetPolicyVersion GetPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: GetRegistrationCode GetRegistrationCode *
Internet der Dinge: GetTopicRule GetTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: ListAttachedPolicies ListAttachedPolicies

arn:aws:iot:region:account-id:thinggroup/thing-group-name

oder

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: ListAuthorizers ListAuthorizers Keine
iot:ListCACertificates ListCACertificates *
Internet der Dinge: ListCertificates ListCertificates *
Internet der Dinge: ListCertificatesByCA ListCertificatesByCA *
Internet der Dinge: ListIndices ListIndices Keine
Internet der Dinge: ListJobExecutionsForJob ListJobExecutionsForJob Keine
Internet der Dinge: ListJobExecutionsForThing ListJobExecutionsForThing Keine
Internet der Dinge: ListJobs ListJobs

arn:aws:iot:region:account-id:thinggroup/thing-group-name

wenn der GroupName Ding-Parameter verwendet wird
Iot: ListJobTemplates ListJobTemplates Keine
Internet der Dinge: ListOutgoingCertificates ListOutgoingCertificates *
Internet der Dinge: ListPolicies ListPolicies *
Internet der Dinge: ListPolicyPrincipals ListPolicyPrincipals

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: ListPolicyVersions ListPolicyVersions

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: ListPrincipalPolicies ListPrincipalPolicies

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: ListPrincipalThings ListPrincipalThings

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: ListRoleAliases ListRoleAliases Keine
Internet der Dinge: ListTargetsForPolicy ListTargetsForPolicy

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: ListThingGroups ListThingGroups Keine
Internet der Dinge: ListThingGroupsForThing ListThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ListThingPrincipals ListThingPrincipals

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ListThingRegistrationTaskReports ListThingRegistrationTaskReports Keine
Internet der Dinge: ListThingRegistrationTasks ListThingRegistrationTasks Keine
Internet der Dinge: ListThingTypes ListThingTypes *
Internet der Dinge: ListThings ListThings *
Internet der Dinge: ListThingsInThingGroup ListThingsInThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: ListTopicRules ListTopicRules *
Internet der Dinge: ListV2LoggingLevels ListV2LoggingLevels Keine
iot:RegisterCACertificate RegisterCACertificate *
Internet der Dinge: RegisterCertificate RegisterCertificate *
Internet der Dinge: RegisterThing RegisterThing Keine
Internet der Dinge: RejectCertificateTransfer RejectCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: RemoveThingFromThingGroup RemoveThingFromThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: ReplaceTopicRule ReplaceTopicRule

arn:aws:iot:region:account-id:rule/rule-name
Internet der Dinge: SearchIndex SearchIndex

arn:aws:iot:region:account-id:index/index-id
Internet der Dinge: SetDefaultAuthorizer SetDefaultAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
Internet der Dinge: SetDefaultPolicyVersion SetDefaultPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
Internet der Dinge: SetLoggingOptions SetLoggingOptions *
Internet der Dinge: SetV2LoggingLevel SetV2LoggingLevel *
Internet der Dinge: SetV2LoggingOptions SetV2LoggingOptions *
Internet der Dinge: StartThingRegistrationTask StartThingRegistrationTask Keine
Internet der Dinge: StopThingRegistrationTask StopThingRegistrationTask Keine
Internet der Dinge: TestAuthorization TestAuthorization

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: TestInvokeAuthorizer TestInvokeAuthorizer Keine
Internet der Dinge: TransferCertificate TransferCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: UpdateAuthorizer UpdateAuthorizer

arn:aws:iot:region:account-id:authorizerfunction/authorizer-function-name
iot:UpdateCACertificate UpdateCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
Internet der Dinge: UpdateCertificate UpdateCertificate

arn:aws:iot:region:account-id:cert/cert-id
Internet der Dinge: UpdateEventConfigurations UpdateEventConfigurations Keine
Internet der Dinge: UpdateIndexingConfiguration UpdateIndexingConfiguration Keine
Internet der Dinge: UpdateRoleAlias UpdateRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
Internet der Dinge: UpdateThing UpdateThing

arn:aws:iot:region:account-id:thing/thing-name
Internet der Dinge: UpdateThingGroup UpdateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
Internet der Dinge: UpdateThingGroupsForThing UpdateThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name

Weitere Informationen zum Format von ARNs finden Sie unter Amazon Resource Names (ARNs) und AWS Service Namespaces.

Einige AWS IoT Aktionen, z. B. die zum Erstellen von Ressourcen, können für eine bestimmte Ressource nicht ausgeführt werden. In diesen Fällen müssen Sie den Platzhalter (*) verwenden.

"Resource": "*"

Eine Liste der AWS IoT Ressourcentypen und ihrer ARNs finden Sie AWS IoT im IAM-Benutzerhandbuch unter Resources Defined by. Informationen zu den Aktionen, mit denen Sie den ARN einzelner Ressourcen angeben können, finden Sie unter Von AWS IoT definierte Aktionen.

Device-Advisor-Ressourcen

Um Einschränkungen auf Ressourcenebene für AWS IoT Device Advisor-IAM-Richtlinien zu definieren, verwenden Sie die folgenden Ressourcen-ARN-Formate für Suite-Definitionen und Suite-Ausführungen.

ARN–Format der Suite-Definitionsressource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

ARN–Format der Suite-Ausführungsressource

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id

Bedingungsschlüssel

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Element Condition gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die Bedingungsoperatoren verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Alle AWS globalen Bedingungsschlüssel finden Sie unter AWS Globale Bedingungskontextschlüssel im IAM-Benutzerhandbuch.

AWS IoT definiert seinen eigenen Satz von Bedingungsschlüsseln und unterstützt auch die Verwendung einiger globaler Bedingungsschlüssel. Alle AWS globalen Bedingungsschlüssel finden Sie im IAM-Benutzerhandbuch unter AWS Globale Bedingungskontextschlüssel.

AWS IoT Bedingungsschlüssel
AWS IoT Bedingungsschlüssel Beschreibung Typ
aws:RequestTag/${tag-key} Ein Tag-Schlüssel, der in der Anforderung vorhanden ist, die der Benutzer an AWS IoT stellt. Zeichenfolge
aws:ResourceTag/${tag-key} Die Tag-Schlüsselkomponente eines Tags, das an eine AWS IoT Ressource angehängt ist. Zeichenfolge
aws:TagKeys Liste aller Tag-Schlüsselnamen, die der Ressource in der Anforderung zugeordnet sind Zeichenfolge

Eine Liste der AWS IoT Bedingungsschlüssel finden Sie AWS IoT im IAM-Benutzerhandbuch unter Bedingungsschlüssel für. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter Definierte Aktionen von AWS IoT.

Beispiele

Beispiele für AWS IoT identitätsbasierte Richtlinien finden Sie unter. AWS IoT Beispiele für identitätsbasierte Richtlinien

AWS IoT Ressourcenbasierte Richtlinien

Resource-based Richtlinien sind JSON-Richtliniendokumente, die angeben, welche Aktionen ein bestimmter Principal unter welchen Bedingungen auf der AWS IoT Ressource ausführen kann.

AWS IoT unterstützt keine IAM-Richtlinien, die auf Ressourcen basieren. Es unterstützt jedoch ressourcenbasierte Richtlinien. AWS IoT Weitere Informationen finden Sie unter AWS IoT Core Richtlinien.

Die Autorisierung basiert auf AWS IoT tags

Sie können Tags an AWS IoT Ressourcen anhängen oder Stichwörter in einer Anfrage an übergeben AWS IoT. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer Richtlinie Tag-Informationen an, indem Sie die Schlüssel iot:ResourceTag/key-name, aws:RequestTag/key-name, oder Bedingung aws:TagKeys verwenden. Weitere Informationen finden Sie unter Verwenden von Tags mit IAM-Richtlinien. Weitere Informationen zum Taggen von AWS IoT Ressourcen finden Sie unterVerschlagworten Sie Ihre Ressourcen AWS IoT.

Ein Beispiel für eine identitätsbasierte Richtlinie zur Einschränkung des Zugriffs auf eine Ressource auf der Grundlage der Markierungen dieser Ressource finden Sie unter Anzeigen AWS IoT Ressourcen, die auf Stichwörtern basieren.

AWS IoT IAM-Rollen

Eine IAM-Rolle ist eine Entität in Ihrem Unternehmen AWS-Konto , die über bestimmte Berechtigungen verfügt.

Verwenden Sie temporäre Anmeldeinformationen mit AWS IoT

Sie können temporäre Anmeldeinformationen verwenden, um sich über einen Verbund anzumelden, eine IAM-Rolle anzunehmen oder eine kontenübergreifende Rolle anzunehmen. Sie erhalten temporäre Sicherheitsanmeldeinformationen, indem Sie AWS STS API-Operationen wie AssumeRole oder aufrufen GetFederationToken.

AWS IoT unterstützt die Verwendung temporärer Anmeldeinformationen.

Service-linked Rollen

Service-linked Rollen ermöglichen es AWS Diensten, auf Ressourcen in anderen Diensten zuzugreifen, um eine Aktion in Ihrem Namen durchzuführen. Service-linked Rollen werden in Ihrem IAM-Konto angezeigt und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für serviceverknüpfte Rollen anzeigen, aber nicht bearbeiten.

AWS IoT unterstützt keine dienstverknüpften Rollen.

Servicerollen

Dieses Feature ermöglicht einem Service das Annehmen einer Servicerolle in Ihrem Namen. Diese Rolle gewährt dem Service Zugriff auf Ressourcen in anderen Diensten, um eine Aktion in Ihrem Namen auszuführen. Servicerollen werden in Ihrem IAM-Konto angezeigt und gehören zum Konto. Dies bedeutet, dass ein IAM-Administrator die Berechtigungen für diese Rolle ändern kann. Dies kann jedoch die Funktionalität des Dienstes beeinträchtigen.