Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Beispiele für identitätsbasierte Richtlinien für Amazon Location Service

Standardmäßig sind Benutzer und Rollen nicht berechtigt, Amazon-Standortressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe von AWS Management Console, AWS Command Line Interface (AWS CLI) oder ausführen AWS API. Um Benutzern die Berechtigung zu erteilen, Aktionen mit den Ressourcen durchzuführen, die sie benötigen, kann ein IAM Administrator IAM Richtlinien erstellen. Der Administrator kann dann die IAM Richtlinien zu Rollen hinzufügen, und Benutzer können die Rollen übernehmen.

Informationen zum Erstellen einer IAM identitätsbasierten Richtlinie anhand dieser JSON Beispieldokumente finden Sie unter IAMRichtlinien erstellen im IAMBenutzerhandbuch.

Einzelheiten zu den von Amazon Location definierten Aktionen und Ressourcentypen, einschließlich des Formats ARNs für die einzelnen Ressourcentypen, finden Sie unter Aktionen, Ressourcen und Zustandsschlüssel für Amazon Location Service in der Service Authorization Reference.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Amazon-Standortressourcen in Ihrem Konto erstellen, darauf zugreifen oder diese löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

Weitere Informationen zu bewährten Methoden finden Sie unter Bewährte Sicherheitsmethoden IAM im IAM Benutzerhandbuch. IAM

Verwenden der Amazon Location-Konsole

Um auf die Amazon Location Service Service-Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Amazon-Standortressourcen in Ihrem aufzulisten und anzuzeigen AWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.

Sie müssen Benutzern, die nur Anrufe an AWS CLI oder am tätigen, keine Mindestberechtigungen für die Konsole gewähren AWS API. Erlauben Sie stattdessen nur den Zugriff auf die Aktionen, die dem API Vorgang entsprechen, den sie ausführen möchten.

Um sicherzustellen, dass Benutzer und Rollen die Amazon Location-Konsole verwenden können, fügen Sie den Entitäten die folgende Richtlinie bei. Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen für einen IAM Benutzer im Benutzerhandbuch.

Die folgende Richtlinie gewährt Zugriff auf die Amazon Location Service Service-Konsole, sodass Sie Details zu Amazon Location-Ressourcen in Ihrem AWS Konto erstellen, löschen, auflisten und anzeigen können.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GeoPowerUser",
      "Effect": "Allow",
      "Action": [
        "geo:*"
      ],
      "Resource": "*"
    }
  ]
}

Alternativ können Sie nur Leseberechtigungen gewähren, um den Nur-Lese-Zugriff zu ermöglichen. Bei schreibgeschützten Berechtigungen wird eine Fehlermeldung angezeigt, wenn der Benutzer versucht, Schreibaktionen wie das Erstellen oder Löschen von Ressourcen durchzuführen. Ein Beispiel finden Sie unter Schreibgeschützte Richtlinie für Tracker-Ressourcen

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen könnten, die es IAM Benutzern ermöglicht, die Inline-Richtlinien und verwalteten Richtlinien einzusehen, die mit ihrer Benutzeridentität verknüpft sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe von oder. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Verwendung von Amazon Location Service Service-Ressourcen in Richtlinien

Amazon Location Service verwendet die folgenden Präfixe für Ressourcen:

Verwenden Sie die folgende Syntax: ARN

arn:Partition:geo:Region:Account:ResourcePrefix/ResourceName

Weitere Informationen zum Format von ARNs finden Sie unter Amazon Resource Names (ARNs) und AWS Service Namespaces.

Beispiele

Eine Liste der Ressourcentypen von Amazon Location und deren ARNs Eigenschaften finden Sie unter Von Amazon Location Service definierte Ressourcen in der Service Authorization Reference. Informationen darüber, mit welchen Aktionen Sie die ARN einzelnen Ressourcen spezifizieren können, finden Sie unter Von Amazon Location Service definierte Aktionen.

Berechtigungen für die Aktualisierung der Gerätepositionen

Um die Gerätepositionen für mehrere Tracker zu aktualisieren, sollten Sie einem Benutzer Zugriff auf eine oder mehrere Ihrer Tracker-Ressourcen gewähren. Sie sollten dem Benutzer auch ermöglichen, eine Reihe von Gerätepositionen zu aktualisieren.

In diesem Beispiel wird zusätzlich zur Gewährung des Zugriffs auf Tracker1 and Tracker2 Ressourcen, gewährt die folgende Richtlinie die Erlaubnis, die geo:BatchUpdateDevicePosition Aktion gegen Tracker1 and Tracker2 Ressourcen schätzen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ]
    }
  ]
}

Wenn Sie den Benutzer so einschränken möchten, dass er nur Gerätepositionen für ein bestimmtes Gerät aktualisieren kann, können Sie einen Bedingungsschlüssel für diese Geräte-ID hinzufügen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

Schreibgeschützte Richtlinie für Tracker-Ressourcen

Um eine Richtlinie mit Lesezugriff für alle Tracker-Ressourcen in Ihrem AWS Konto zu erstellen, müssen Sie Zugriff auf alle Tracker-Ressourcen gewähren. Sie sollten einem Benutzer auch Zugriff auf Aktionen gewähren, mit denen er die Geräteposition für mehrere Geräte abrufen, die Geräteposition von einem einzelnen Gerät abrufen und den Positionsverlauf abrufen kann.

In diesem Beispiel gewährt die folgende Richtlinie die Erlaubnis für die folgenden Aktionen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchGetDevicePosition",
        "geo:GetDevicePosition",
        "geo:GetDevicePositionHistory"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:tracker/*"
    }
  ]
}

Richtlinie für die Erstellung von Geofences

Um eine Richtlinie zu erstellen, die es einem Benutzer ermöglicht, Geofences zu erstellen, müssen Sie Zugriff auf bestimmte Aktionen gewähren, mit denen Benutzer einen oder mehrere Geofences in einer Geofence-Sammlung erstellen können.

Die unten stehende Richtlinie gewährt die Genehmigung für die folgenden Aktionen Collection:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

Schreibgeschützte Richtlinie für Geofences

Um eine schreibgeschützte Richtlinie für Geofences zu erstellen, die in einer Geofence-Sammlung in Ihrem AWS Konto gespeichert sind, müssen Sie Zugriff auf Aktionen gewähren, die aus der Geofence-Sammlung lesen, in der die Geofences gespeichert sind.

Die unten stehende Richtlinie gewährt die Genehmigung für die folgenden Aktionen auf Collection:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:ListGeofences",
        "geo:GetGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

Berechtigungen für das Rendern einer Kartenressource

Um ausreichende Berechtigungen zum Rendern von Karten zu gewähren, müssen Sie Zugriff auf Kartenkacheln, Sprites, Glyphen und den Style-Deskriptor gewähren:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetTiles",
      "Effect": "Allow",
      "Action": [
        "geo:GetMapTile",
        "geo:GetMapSprites",
        "geo:GetMapGlyphs",
        "geo:GetMapStyleDescriptor"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:map/Map"
    }
  ]
}

Berechtigungen zum Zulassen von Suchvorgängen

Um eine Richtlinie zu erstellen, die Suchvorgänge zulässt, müssen Sie zunächst Zugriff auf die Ortsindex-Ressource in Ihrem AWS Konto gewähren. Sie sollten auch Zugriff auf Aktionen gewähren, mit denen der Benutzer mithilfe von Text durch Geokodierung und mithilfe einer Position durch umgekehrte Geokodierung suchen kann.

In diesem Beispiel gewähren Sie zusätzlich zum Zugriff auf PlaceIndex, gewährt die folgende Richtlinie auch die Erlaubnis für die folgenden Aktionen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Search",
      "Effect": "Allow",
      "Action": [
        "geo:SearchPlaceIndexForPosition",
        "geo:SearchPlaceIndexForText"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:place-index/PlaceIndex"
    }
  ]
}

Schreibgeschützte Richtlinie für Routenrechner

Sie können eine schreibgeschützte Richtlinie erstellen, um einem Benutzer Zugriff auf eine Routenberechnungsressource zu gewähren, um eine Route zu berechnen.

In diesem Beispiel gewähren wir zusätzlich zum Zugriff auf ExampleCalculator, gewährt die folgende Richtlinie die Erlaubnis für den folgenden Vorgang:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RoutesReadOnly",
      "Effect": "Allow",
      "Action": [
        "geo:CalculateRoute"
      ],
      "Resource": "arn:aws:geo:us-west-2:accountID:route-calculator/ExampleCalculator"
    }
  ]
}

Steuert den Ressourcenzugriff auf der Grundlage von Bedingungsschlüsseln

Wenn Sie eine IAM Richtlinie erstellen, um Zugriff auf die Nutzung von Geofences oder Gerätepositionen zu gewähren, können Sie Bedingungsoperatoren verwenden, um genauer zu steuern, auf welche Geofences oder Geräte ein Benutzer zugreifen kann. Sie können dies tun, indem Sie die Geofence-ID oder die Geräte-ID in das Element Ihrer Richtlinie aufnehmen. Condition

Die folgende Beispielrichtlinie zeigt, wie Sie eine Richtlinie erstellen können, die es einem Benutzer ermöglicht, Gerätepositionen für ein bestimmtes Gerät zu aktualisieren.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

Steuern Sie den Ressourcenzugriff anhand von Tags

Wenn Sie eine IAM Richtlinie erstellen, um Zugriff auf Ihre Amazon-Standortressourcen zu gewähren, können Sie die attributbasierte Zugriffskontrolle verwenden, um besser kontrollieren zu können, welche Ressourcen ein Benutzer ändern, verwenden oder löschen kann. Sie können dies tun, indem Sie Tag-Informationen in das Condition Element Ihrer Richtlinie aufnehmen, um den Zugriff anhand Ihrer Ressourcen-Tags zu kontrollieren.

Die folgende Beispielrichtlinie zeigt, wie Sie eine Richtlinie erstellen können, die es einem Benutzer ermöglicht, Geofences zu erstellen. Dadurch wird die Berechtigung für die folgenden Aktionen erteilt, um einen oder mehrere Geofences in einer Geofence-Sammlung mit dem Namen zu erstellen Collection:

Diese Richtlinie verwendet das Condition Element jedoch nur dann, um die Genehmigung zu erteilen, wenn Collection tag,Owner, hat den Wert des Benutzernamens dieses Benutzers.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateGeofencesIfOwner",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection",
      "Condition": {
                "StringEquals": {"geo:ResourceTag/Owner": "${aws:username}"}
      }
    }
  ]
}

Ein Tutorial zur Definition von Berechtigungen für den Zugriff auf AWS Ressourcen auf der Grundlage von Tags finden Sie im AWS Identity and Access Management Benutzerhandbuch.