Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Identity and Access Management für AWS Lambda AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf AWS Ressourcen sicher zu kontrollieren. IAM-Administratoren steuern, wer *authentifiziert* (angemeldet) und *autorisiert* (Berechtigungen besitzt) ist, um Lambda-Ressourcen zu nutzen. IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können. **Topics** + [Zielgruppe](#security_iam_audience) + [Authentifizierung mit Identitäten](#security_iam_authentication) + [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage) + [Wie AWS Lambda funktioniert mit IAM](security_iam_service-with-iam.md) + [Beispiele für identitätsbasierte Richtlinien für AWS Lambda](security_iam_id-based-policy-examples.md) + [AWS verwaltete Richtlinien für AWS Lambda](security-iam-awsmanpol.md) + [Problembehandlung bei AWS Lambda Identität und Zugriff](security_iam_troubleshoot.md) ## Zielgruppe Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab: + **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Problembehandlung bei AWS Lambda Identität und Zugriff](security_iam_troubleshoot.md)). + **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [Wie AWS Lambda funktioniert mit IAM](security_iam_service-with-iam.md)). + **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Beispiele für identitätsbasierte Richtlinien für AWS Lambda](security_iam_id-based-policy-examples.md)). ## Authentifizierung mit Identitäten Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *. AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*. ### AWS-Konto Root-Benutzer Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*. ### Verbundidentität Als bewährte Methode sollten menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden. Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen. Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*. ### IAM-Benutzer und -Gruppen Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können. Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*. ### IAM-Rollen Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*. IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. ## Verwalten des Zugriffs mit Richtlinien Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*. Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf. Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird. ### Identitätsbasierte Richtlinien Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*. ### Ressourcenbasierte Richtlinien Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden. ### Weitere Richtlinientypen AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden: + **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*. + **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*. + **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html). + **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*. ### Mehrere Richtlinientypen Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die daraus resultierenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*. # Wie AWS Lambda funktioniert mit IAM Bevor Sie IAM zum Verwalten des Zugriffs auf Lambda verwenden, erfahren Sie, welche IAM-Features Sie mit Lambda verwenden können. | IAM-Feature | Lambda-Unterstützung | | --- | --- | | [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja | | [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Ja | | [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja | | [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja | | [Richtlinienbedingungsschlüssel (servicespezifisch)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja | | [ACLs](#security_iam_service-with-iam-acls) | Nein | | [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Teilweise | | [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Ja | | [Forward Access Sessions (FAS)](#security_iam_service-with-iam-principal-permissions) | Nein | | [Servicerollen](#security_iam_service-with-iam-roles-service) | Ja | | [Service-verknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Teilweise | *Einen allgemeinen Überblick darüber, wie Lambda und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [AWS IAM-Benutzerhandbuch unter Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).* ## Identitätsbasierte Richtlinien für Lambda **Unterstützt Richtlinien auf Identitätsbasis:** Ja Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*. ### Beispiele für identitätsbasierte Richtlinien für Lambda Beispiele für identitätsbasierte Lambda-Richtlinien finden Sie unter [Beispiele für identitätsbasierte Richtlinien für AWS Lambda](security_iam_id-based-policy-examples.md). ## Ressourcenbasierte Richtlinien in Lambda **Unterstützt ressourcenbasierte Richtlinien:** Ja Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. Sie können eine ressourcenbasierte Richtlinie an eine Lambda-Funktion oder -Ebene anhängen. Diese Richtlinie legt fest, welche Prinzipale Aktionen auf der Funktion oder Ebene durchführen können. Weitere Informationen zum Anfügen einer ressourcenbasierten Richtlinie an eine Funktion oder eine Ebene finden Sie unter [Anzeigen von ressourcenbasierten IAM-Richtlinien in Lambda](access-control-resource-based.md). ## Richtlinienaktionen für Lambda **Unterstützt Richtlinienaktionen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen. Eine Liste der Lambda-Aktionen finden Sie unter [Von  AWS Lambda definierte Aktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awslambda.html#awslambda-actions-as-permissions) in der *Service-Autorisierungs-Referenz*. Richtlinienaktionen in Lambda verwenden das folgende Präfix vor der Aktion: ``` lambda ``` Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata: ``` "Action": [ "lambda:action1", "lambda:action2" ] ``` Beispiele für identitätsbasierte Lambda-Richtlinien finden Sie unter [Beispiele für identitätsbasierte Richtlinien für AWS Lambda](security_iam_id-based-policy-examples.md). ## Richtlinienressourcen für Lambda **Unterstützt Richtlinienressourcen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt. ``` "Resource": "*" ``` Eine Liste der Lambda-Ressourcentypen und ihrer ARNs Typen finden Sie unter [Ressourcentypen definiert von AWS Lambda](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awslambda.html#awslambda-resources-for-iam-policies) in der *Service Authorization Reference.* Informationen zu den Aktionen, mit denen Sie den ARN einzelner Ressourcen angeben können, finden Sie unter [Von AWS Lambda definierte Aktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awslambda.html#awslambda-actions-as-permissions). Beispiele für identitätsbasierte Lambda-Richtlinien finden Sie unter [Beispiele für identitätsbasierte Richtlinien für AWS Lambda](security_iam_id-based-policy-examples.md). ## Richtlinien-Bedingungsschlüssel für Lambda **Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*. Eine Liste von Lambda-Bedingungsschlüsseln finden Sie unter [Bedingungsschlüssel für  AWS Lambda](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awslambda.html#awslambda-policy-keys) in der *Service-Autorisierungs-Referenz*. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Aktionen definiert von AWS Lambda](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awslambda.html#awslambda-actions-as-permissions). Beispiele für identitätsbasierte Lambda-Richtlinien finden Sie unter [Beispiele für identitätsbasierte Richtlinien für AWS Lambda](security_iam_id-based-policy-examples.md). ## ACLs in Lambda **Unterstützt ACLs: Nein** Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat. ## ABAC mit Lambda **Unterstützt ABAC (Tags in Richtlinien):** Teilweise Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS Ressourcen anhängen und dann ABAC-Richtlinien so entwerfen, dass Operationen möglich sind, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden. Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**. *Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*. Weitere Informationen über das Markieren von Lambda-Ressourcen mit Tags finden Sie unter [Verwendung der attributbasierten Zugriffskontrolle in Lambda](attribute-based-access-control.md). ## Verwenden temporärer Anmeldeinformationen mit Lambda **Unterstützt temporäre Anmeldeinformationen:** Ja Temporäre Anmeldeinformationen ermöglichen den kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*. ## Forward Access Sessions für Lambda **Unterstützt Forward Access Sessions (FAS):** Nein Forward Access Sessions (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anfrage, Anfragen AWS-Service an nachgeschaltete Dienste zu stellen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Servicerollen für Lambda **Unterstützt Servicerollen:** Ja Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*. In Lambda wird eine Servicerolle als [Ausführungsrolle](lambda-intro-execution-role.md) bezeichnet. **Warnung** Das Ändern der Berechtigungen für eine Ausführungsrolle kann die Lambda-Funktionalität beeinträchtigen. ## Serviceverknüpfte Rollen für Lambda **Unterstützt serviceverknüpfte Rollen:** Ja Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten. Lambda verfügt im Gegensatz zu Lambda@Edge nicht über serviceverknüpfte Rollen. Weitere Informationen finden Sie unter [Service-Linked Roles for Lambda @Edge](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/lambda-edge-permissions.html#using-service-linked-roles) im *Amazon CloudFront Developer Guide*. Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Tabelle nach einem Service mit einem `Yes` in der Spalte **Service-linked role** (Serviceverknüpfte Rolle). Wählen Sie den Link **Yes** (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen. # Beispiele für identitätsbasierte Richtlinien für AWS Lambda Standardmäßig verfügen Benutzer und Rollen nicht über die Berechtigung, Lambda-Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*. Einzelheiten zu den von Lambda definierten Aktionen und Ressourcentypen, einschließlich des Formats ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS Lambda](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awslambda.html) in der *Service Authorization Reference.* **Topics** + [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices) + [Verwenden von Lambda-Konsole](#security_iam_id-based-policy-examples-console) + [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions) ## Best Practices für Richtlinien Identitätsbasierte Richtlinien legen fest, ob jemand Lambda-Ressourcen in Ihrem Konto erstellen, aufrufen oder löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen: + **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*. + **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*. + **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*. + **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*. + **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*. Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*. ## Verwenden von Lambda-Konsole Um auf die AWS Lambda Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Lambda-Ressourcen in Ihrem AWS-Konto aufzulisten und anzuzeigen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie. Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten. Eine Beispielrichtlinie, die minimalen Zugriff für die Funktionsentwicklung gewährt, finden Sie unter [Benutzern den Zugriff auf eine Lambda-Funktion gewähren](permissions-user-function.md). Neben Lambda verwendet die Lambda-Konsole weitere Dienste APIs, um die Triggerkonfiguration anzuzeigen und Ihnen das Hinzufügen neuer Trigger zu ermöglichen. Wenn Ihre Benutzer Lambda mit anderen Services nutzen, benötigen sie auch Zugriff auf diese Services. Details zum Konfigurieren weiterer Services mit Lambda finden Sie unter [Lambda mit Ereignissen aus anderen Diensten aufrufen AWS](lambda-services.md). ## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der OR-API. AWS CLI AWS ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # AWS verwaltete Richtlinien für AWS Lambda Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet AWS wird. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen. Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie [vom Kunden verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) im *IAM-Benutzerhandbuch*. **Topics** + [AWS verwaltete Richtlinie: AWSLambda\$1FullAccess](#lambda-security-iam-awsmanpol-AWSLambda_FullAccess) + [AWS verwaltete Richtlinie: AWSLambda\$1ReadOnlyAccess](#lambda-security-iam-awsmanpol-AWSLambda_ReadOnlyAccess) + [AWS verwaltete Richtlinie: AWSLambda BasicExecutionRole](#lambda-security-iam-awsmanpol-AWSLambdaBasicExecutionRole) + [AWS verwaltete Richtlinie: AWSLambda BasicDurableExecutionRolePolicy](#lambda-security-iam-awsmanpol-AWSLambdaBasicDurableExecutionRolePolicy) + [AWS verwaltete Richtlinie: Dynamo-Rolle AWSLambda DBExecution](#lambda-security-iam-awsmanpol-AWSLambdaDynamoDBExecutionRole) + [AWS verwaltete Richtlinie: Zugriff AWSLambda ENIManagement](#lambda-security-iam-awsmanpol-AWSLambdaENIManagementAccess) + [AWS verwaltete Richtlinie: AWSLambdaInvocation-DynamoDB](#lambda-security-iam-awsmanpol-AWSLambdaInvocation-DynamoDB) + [AWS verwaltete Richtlinie: AWSLambda KinesisExecutionRole](#lambda-security-iam-awsmanpol-AWSLambdaKinesisExecutionRole) + [AWS verwaltete Richtlinie: AWSLambda MSKExecution Rolle](#lambda-security-iam-awsmanpol-AWSLambdaMSKExecutionRole) + [AWS verwaltete Richtlinie: AWSLambda Rolle](#lambda-security-iam-awsmanpol-AWSLambdaRole) + [AWS verwaltete Richtlinie: AWSLambda SQSQueue ExecutionRole](#lambda-security-iam-awsmanpol-AWSLambdaSQSQueueExecutionRole) + [AWS verwaltete Richtlinie: AWSLambda VPCAccess ExecutionRole](#lambda-security-iam-awsmanpol-AWSLambdaVPCAccessExecutionRole) + [AWS verwaltete Richtlinie: AWSLambda Verwaltet EC2 ResourceOperator](#lambda-security-iam-awsmanpol-AWSLambdaManagedEC2ResourceOperator) + [AWS verwaltete Richtlinie: AWSLambda ServiceRolePolicy](#lambda-security-iam-awsmanpol-AWSLambdaServiceRolePolicy) + [Lambda-Updates für AWS verwaltete Richtlinien](#lambda-security-iam-awsmanpol-updates) ## AWS verwaltete Richtlinie: AWSLambda\$1FullAccess Diese Richtlinie ermöglicht Vollzugriff auf alle Lambda-Aktionen. Es gewährt auch Berechtigungen für andere AWS Dienste, die zur Entwicklung und Wartung von Lambda-Ressourcen verwendet werden. Die Richtlinie `AWSLambda_FullAccess` kann an Benutzer, Gruppen und Rollen angefügt werden. **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `lambda`: Ermöglicht Prinzipalen Vollzugriff auf Lambda. + `cloudformation`— Ermöglicht Prinzipalen, AWS CloudFormation Stacks zu beschreiben und die Ressourcen in diesen Stacks aufzulisten. + `cloudwatch`— Ermöglicht Prinzipalen, CloudWatch Amazon-Metriken aufzulisten und Metrikdaten abzurufen. + `ec2`— Ermöglicht Prinzipalen die Beschreibung von Sicherheitsgruppen, Subnetzen und. VPCs + `iam`: Ermöglicht es Prinzipalen, Richtlinien, Richtlinienversionen, Rollen, Rollenrichtlinien, angefügte Rollenrichtlinien und die Liste der Rollen abzurufen. Diese Richtlinie ermöglicht es Prinzipalen außerdem, Rollen an Lambda zu übergeben. Die Berechtigung `PassRole` wird verwendet, wenn Sie einer Funktion eine Ausführungsrolle zuweisen. Die `CreateServiceLinkedRole` Berechtigung wird verwendet, wenn eine dienstbezogene Rolle erstellt wird. + `kms`— Ermöglicht Prinzipalen, Aliase aufzulisten und den Schlüssel für die Volumenverschlüsselung zu beschreiben. + `logs`: Ermöglicht Prinzipalen das Beschreiben von Protokollstreams, das Abrufen und Filtern von Protokollereignissen sowie das Starten und Beenden von Live-Tail-Sitzungen. + `states`— Ermöglicht es Prinzipalen, Zustandsmaschinen zu beschreiben und aufzulisten AWS Step Functions . + `tag`: Ermöglicht es Prinzipalen, Ressourcen auf der Grundlage ihrer Tags abzurufen. + `xray`— Ermöglicht Prinzipalen das Abrufen von AWS X-Ray Trace-Zusammenfassungen und das Abrufen einer nach ID spezifizierten Liste von Traces. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie [AWSLambda\$1FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambda_FullAccess.html)im *Referenzhandbuch für AWS verwaltete Richtlinien.* ## AWS verwaltete Richtlinie: AWSLambda\$1ReadOnlyAccess Diese Richtlinie gewährt schreibgeschützten Zugriff auf Lambda-Ressourcen und andere AWS Dienste, die zur Entwicklung und Wartung von Lambda-Ressourcen verwendet werden. Die Richtlinie `AWSLambda_ReadOnlyAccess` kann an Benutzer, Gruppen und Rollen angefügt werden. **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `lambda`: Ermöglicht es Prinzipalen, alle Ressourcen abzurufen und aufzulisten. + `cloudformation`— Ermöglicht Prinzipalen, Stacks zu beschreiben und aufzulisten und die Ressourcen in AWS CloudFormation diesen Stacks aufzulisten. + `cloudwatch`— Ermöglicht Prinzipalen, CloudWatch Amazon-Metriken aufzulisten und Metrikdaten abzurufen. + `ec2`— Ermöglicht Prinzipalen die Beschreibung von Sicherheitsgruppen, Subnetzen und. VPCs + `iam`: Ermöglicht es Prinzipalen, Richtlinien, Richtlinienversionen, Rollen, Rollenrichtlinien, angefügte Rollenrichtlinien und die Liste der Rollen abzurufen. + `kms`: Ermöglicht Prinzipalen das Auflisten von Aliasen. + `logs`: Ermöglicht Prinzipalen das Beschreiben von Protokollstreams, das Abrufen und Filtern von Protokollereignissen sowie das Starten und Beenden von Live-Tail-Sitzungen. + `states`— Ermöglicht es Prinzipalen, Zustandsmaschinen zu beschreiben und aufzulisten AWS Step Functions . + `tag`: Ermöglicht es Prinzipalen, Ressourcen auf der Grundlage ihrer Tags abzurufen. + `xray`— Ermöglicht Prinzipalen das Abrufen von AWS X-Ray Trace-Zusammenfassungen und das Abrufen einer nach ID spezifizierten Liste von Traces. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie [AWSLambda\$1ReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambda_ReadOnlyAccess.html)im *Referenzhandbuch für AWS verwaltete Richtlinien.* ## AWS verwaltete Richtlinie: AWSLambda BasicExecutionRole Diese Richtlinie gewährt Berechtigungen zum Hochladen von Protokollen in CloudWatch Logs. Die Richtlinie `AWSLambdaBasicExecutionRole` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie [AWSLambdaBasicExecutionRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaBasicExecutionRole.html)im *Referenzhandbuch für AWS verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: AWSLambda BasicDurableExecutionRolePolicy Diese Richtlinie gewährt Schreibberechtigungen für CloudWatch Protokolle und read/write Berechtigungen für die dauerhafte Ausführung, die von dauerhaften Lambda-Funktionen APIs verwendet werden. Diese Richtlinie stellt die grundlegenden Berechtigungen bereit, die für dauerhafte Lambda-Funktionen erforderlich sind, die eine dauerhafte Ausführung verwenden, APIs um den Fortschritt aufrechtzuerhalten und den Status bei Funktionsaufrufen aufrechtzuerhalten. Die Richtlinie `AWSLambdaBasicDurableExecutionRolePolicy` kann an Benutzer, Gruppen und Rollen angefügt werden. **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `logs`— Ermöglicht es Prinzipalen, Protokollgruppen und Protokollstreams zu erstellen und Protokollereignisse in Logs zu schreiben. CloudWatch + `lambda`— Ermöglicht es Prinzipalen, den dauerhaften Ausführungsstatus zu überprüfen und den dauerhaften Ausführungsstatus für langlebige Lambda-Funktionen abzurufen. Weitere Einzelheiten zu dieser Richtlinie, einschließlich der neuesten Version des JSON-Richtliniendokuments, finden Sie unter [AWSLambdaBasicDurableExecutionRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaBasicDurableExecutionRolePolicy.html) im *AWS Referenzhandbuch für verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: Dynamo-Rolle AWSLambda DBExecution Diese Richtlinie gewährt Berechtigungen zum Lesen von Datensätzen aus einem Amazon DynamoDB DynamoDB-Stream und zum Schreiben in CloudWatch Protokolle. Die Richtlinie `AWSLambdaDynamoDBExecutionRole` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie unter [AWSLambdaDynamo DBExecution Role](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaDynamoDBExecutionRole.html) im Referenzhandbuch *für AWS verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: Zugriff AWSLambda ENIManagement Diese Richtlinie erteilt Berechtigungen zum Erstellen, Beschreiben und Löschen von Elastic Network-Schnittstellen, die von einer VPC-fähigen Lambda-Funktion verwendet werden. Die Richtlinie `AWSLambdaENIManagementAccess` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie unter [AWSLambdaENIManagementAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaENIManagementAccess.html) im *Referenzhandbuch für AWS verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: AWSLambdaInvocation-DynamoDB Diese Richtlinie gewährt Lesezugriff auf Amazon DynamoDB Streams. Die Richtlinie `AWSLambdaInvocation-DynamoDB` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie [AWSLambdaInvocation-DynamoDB](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaInvocation-DynamoDB.html)im *Referenzhandbuch für AWS verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: AWSLambda KinesisExecutionRole Diese Richtlinie gewährt Berechtigungen zum Lesen von Ereignissen aus einem Amazon Kinesis Kinesis-Datenstream und zum Schreiben in CloudWatch Protokolle. Die Richtlinie `AWSLambdaKinesisExecutionRole` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie [AWSLambdaKinesisExecutionRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaKinesisExecutionRole.html)im *Referenzhandbuch für AWS verwaltete Richtlinien.* ## AWS verwaltete Richtlinie: AWSLambda MSKExecution Rolle Diese Richtlinie gewährt Berechtigungen zum Lesen und Zugreifen auf Datensätze aus einem Amazon Managed Streaming for Apache Kafka Kafka-Cluster, zur Verwaltung elastischer Netzwerkschnittstellen und zum Schreiben in CloudWatch Protokolle. Die Richtlinie `AWSLambdaMSKExecutionRole` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie unter [AWSLambdaMSKExecutionRolle](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaMSKExecutionRole.html) im *Referenzhandbuch für AWS verwaltete Richtlinien.* ## AWS verwaltete Richtlinie: AWSLambda Rolle Diese Richtlinie erteilt Berechtigungen zum Aufrufen von Lambda-Funktionen. Die Richtlinie `AWSLambdaRole` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie unter [AWSLambdaRolle](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaRole.html) im *Referenzhandbuch für AWS verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: AWSLambda SQSQueue ExecutionRole Diese Richtlinie gewährt Berechtigungen zum Lesen und Löschen von Nachrichten aus einer Amazon Simple Queue Service-Warteschlange sowie Schreibberechtigungen für CloudWatch Logs. Die Richtlinie `AWSLambdaSQSQueueExecutionRole` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie [AWSLambdaSQSQueueExecutionRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaSQSQueueExecutionRole.html)im *Referenzhandbuch für AWS verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: AWSLambda VPCAccess ExecutionRole Diese Richtlinie gewährt Berechtigungen zur Verwaltung elastischer Netzwerkschnittstellen innerhalb einer Amazon Virtual Private Cloud und zum Schreiben in CloudWatch Logs. Die Richtlinie `AWSLambdaVPCAccessExecutionRole` kann an Benutzer, Gruppen und Rollen angefügt werden. Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments und der Richtlinienversionen, finden Sie [AWSLambdaVPCAccessExecutionRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaVPCAccessExecutionRole.html)im *Referenzhandbuch für AWS verwaltete Richtlinien*. ## AWS verwaltete Richtlinie: AWSLambda Verwaltet EC2 ResourceOperator Diese Richtlinie ermöglicht automatisiertes Amazon Elastic Compute Cloud-Instanzmanagement für Lambda-Kapazitätsanbieter. Es gewährt dem Lambda Scaler Service Berechtigungen, um Instanzlebenszyklusoperationen in Ihrem Namen durchzuführen. Die Richtlinie `AWSLambdaManagedEC2ResourceOperator` kann an Benutzer, Gruppen und Rollen angefügt werden. **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `ec2:RunInstances`— Ermöglicht Lambda den Start neuer Amazon EC2 EC2-Instances unter der Bedingung, dass ec2: scaler.lambda.amazonaws.com ManagedResourceOperator entspricht und beschränkt die AMI-Nutzung nur auf Amazon-eigene Images. + `ec2:DescribeInstances`und `ec2:DescribeInstanceStatus` — Ermöglicht Lambda, den Instanzstatus zu überwachen und Instanzinformationen abzurufen. + `ec2:CreateTags`— Ermöglicht Lambda, Amazon EC2 EC2-Ressourcen zu Verwaltungs- und Identifikationszwecken zu kennzeichnen. + `ec2:DescribeAvailabilityZones`— Ermöglicht Lambda, verfügbare Zonen einzusehen, um Entscheidungen zur Instanzplatzierung zu treffen. + `ec2:DescribeCapacityReservations`— Ermöglicht Lambda, Kapazitätsreservierungen für eine optimale Instance-Platzierung zu überprüfen. + `ec2:DescribeInstanceTypes`und `ec2:DescribeInstanceTypeOfferings` — Ermöglicht Lambda, verfügbare Instance-Typen und deren Angebote zu überprüfen. + `ec2:DescribeSubnets`— Ermöglicht Lambda, Subnetzkonfigurationen für die Netzwerkplanung zu untersuchen. + `ec2:DescribeSecurityGroups`— Ermöglicht Lambda das Abrufen von Sicherheitsgruppeninformationen für die Konfiguration der Netzwerkschnittstelle. + `ec2:CreateNetworkInterface`— Ermöglicht Lambda die Erstellung von Netzwerkschnittstellen und die Verwaltung von Subnetz- und Sicherheitsgruppenzuordnungen. + `ec2:AttachNetworkInterface`[— Ermöglicht Lambda das Anhängen von Netzwerkschnittstellen an Amazon EC2 EC2-Instances mit der Bedingung scaler.lambda.amazonaws.com`ec2:ManagedResourceOperator`.](http://scaler.lambda.amazonaws.com/) [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaManagedEC2ResourceOperator.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaManagedEC2ResourceOperator.html) ## AWS verwaltete Richtlinie: AWSLambda ServiceRolePolicy Diese Richtlinie ist der serviceverknüpften Rolle zugeordnet, die so benannt ist AWSServiceRoleForLambda , dass Lambda Instances beenden kann, die als Teil von Lambda-Kapazitätsanbietern verwaltet werden. **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `ec2:TerminateInstances`— Ermöglicht Lambda, EC2-Instances unter der Bedingung zu beenden, dass ec2: ManagedResourceOperator gleich scaler.lambda.amazonaws.com ist. + `ec2:DescribeInstanceStatus`und `ec2:DescribeInstances` — Ermöglicht Lambda die Beschreibung von EC2-Instances. Weitere Informationen zu dieser Richtlinie finden Sie unter [Verwenden von dienstverknüpften Rollen für Lambda](using-service-linked-roles.md). ## Lambda-Updates für AWS verwaltete Richtlinien | Änderungen | Beschreibung | Date | | --- | --- | --- | | [AWSLambdaVerwaltet EC2 ResourceOperator](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaManagedEC2ResourceOperator.html) — Neue Richtlinie | Lambda hat eine neue verwaltete Richtlinie hinzugefügt, um ein automatisiertes Amazon EC2 EC2-Instance-Management für Lambda-Kapazitätsanbieter zu ermöglichen, sodass der Scaler-Service Instance-Lebenszyklusoperationen durchführen kann. | 30. November 2025 | | [AWSLambdaServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaServiceRolePolicy.html) – Neue Richtlinie | Lambda hat eine neue verwaltete Richtlinie für die serviceverknüpfte Rolle hinzugefügt, damit Lambda Instanzen beenden kann, die als Teil von Lambda-Kapazitätsanbietern verwaltet werden. | 30. November 2025 | | [AWSLambda\$1FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambda_FullAccess.html)— Veränderung | Lambda hat die `AWSLambda_FullAccess` Richtlinie aktualisiert, um die `iam:CreateServiceLinkedRole` Aktionen `kms:DescribeKey` und zuzulassen. | 30. November 2025 | | [AWSLambdaBasicDurableExecutionRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaBasicDurableExecutionRolePolicy.html)— Neue verwaltete Richtlinie | Lambda hat eine neue verwaltete Richtlinie veröffentlicht`AWSLambdaBasicDurableExecutionRolePolicy`, die Schreibberechtigungen für CloudWatch Protokolle und read/write Berechtigungen für die dauerhafte Ausführung bereitstellt, die von dauerhaften Lambda-Funktionen APIs verwendet werden. | 1. Dezember 2025 | | [AWSLambda\$1ReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambda_ReadOnlyAccess.html)und [AWSLambda\$1FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambda_FullAccess.html)— Veränderung | Lambda hat die Richtlinien `AWSLambda_ReadOnlyAccess` und `AWSLambda_FullAccess` aktualisiert, um die Aktionen `logs:StartLiveTail` und `logs:StopLiveTail` zuzulassen. | 17. März 2025 | | [AWSLambdaVPCAccessExecutionRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaVPCAccessExecutionRole.html)— Veränderung | Lambda hat die `AWSLambdaVPCAccessExecutionRole`-Richtlinie aktualisiert, um die Aktion `ec2:DescribeSubnets` zuzulassen. | 5. Januar 2024 | | [AWSLambda\$1ReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambda_ReadOnlyAccess.html)— Veränderung | Lambda hat die `AWSLambda_ReadOnlyAccess` Richtlinie aktualisiert, sodass Prinzipale Stacks auflisten CloudFormation können. | 27. Juli 2023 | | AWS Lambda hat begonnen, Änderungen zu verfolgen | AWS Lambda hat begonnen, Änderungen für die AWS verwalteten Richtlinien zu verfolgen. | 27. Juli 2023 | # Problembehandlung bei AWS Lambda Identität und Zugriff Diagnostizieren und beheben Sie mithilfe der folgenden Informationen gängige Probleme, die bei der Verwendung von Lambda und IAM auftreten können. **Topics** + [Ich bin nicht autorisiert, eine Aktion in Lambda auszuführen.](#security_iam_troubleshoot-no-permissions) + [Ich bin nicht berechtigt, iam auszuführen: PassRole](#security_iam_troubleshoot-passrole) + [Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine Lambda-Ressourcen ermöglichen](#security_iam_troubleshoot-cross-account-access) ## Ich bin nicht autorisiert, eine Aktion in Lambda auszuführen. Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können. Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer `mateojackson` versucht, über die Konsole Details zu einer fiktiven `my-example-widget`-Ressource anzuzeigen, jedoch nicht über `lambda:GetWidget`-Berechtigungen verfügt. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: lambda:GetWidget on resource: my-example-widget ``` In diesem Fall muss die Richtlinie für den Benutzer `mateojackson` aktualisiert werden, damit er mit der `lambda:GetWidget`-Aktion auf die `my-example-widget`-Ressource zugreifen kann. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ## Ich bin nicht berechtigt, iam auszuführen: PassRole Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zur Ausführung der Aktion „`iam:PassRole`“ autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an Lambda übergeben zu können. Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst. Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in Lambda auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst. ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ## Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine Lambda-Ressourcen ermöglichen Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren. Weitere Informationen dazu finden Sie hier: + Informationen dazu, ob Lambda diese Funktionen unterstützt, finden Sie unter [Wie AWS Lambda funktioniert mit IAM](security_iam_service-with-iam.md). + *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen in AWS-Konten Ihrem Besitz gewähren können, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs auf einen IAM-Benutzer in einem anderen AWS-Konto , dem Sie](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) gehören.* + Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html). + Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*. + Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.