Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Identity and Access Management für Amazon Managed Service für Apache Flink AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren steuern, wer für die Verwendung von Managed Service für Apache Flink-Ressourcen *authentifiziert* (angemeldet) und *autorisiert* (Berechtigungen haben) sein kann. IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können. **Topics** + [Zielgruppe](#security_iam_audience) + [Authentifizierung mit Identitäten](#security_iam_authentication) + [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage) + [So funktioniert Amazon Managed Service für Apache Flink mit IAM](security_iam_service-with-iam.md) + [Beispiele für identitätsbasierte Richtlinien für Amazon Managed Service für Apache Flink](security_iam_id-based-policy-examples.md) + [Problembehandlung bei Identität und Zugriff auf Amazon Managed Service für Apache Flink](security_iam_troubleshoot.md) + [Serviceübergreifende Confused-Deputy-Prävention](iam-cross-service-confused-deputy-prevention.md) ## Zielgruppe Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab: + **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Problembehandlung bei Identität und Zugriff auf Amazon Managed Service für Apache Flink](security_iam_troubleshoot.md)). + **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [So funktioniert Amazon Managed Service für Apache Flink mit IAM](security_iam_service-with-iam.md)). + **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Beispiele für identitätsbasierte Richtlinien für Amazon Managed Service für Apache Flink](security_iam_id-based-policy-examples.md)). ## Authentifizierung mit Identitäten Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *. AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*. ### AWS-Konto Root-Benutzer Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*. ### Verbundidentität Als bewährte Methode sollten menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden. Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen. Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*. ### IAM-Benutzer und -Gruppen Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können. Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*. ### IAM-Rollen Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*. IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. ## Verwalten des Zugriffs mit Richtlinien Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*. Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf. Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird. ### Identitätsbasierte Richtlinien Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*. ### Ressourcenbasierte Richtlinien Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden. ### Weitere Richtlinientypen AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden: + **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*. + **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*. + **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html). + **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*. ### Mehrere Richtlinientypen Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die daraus resultierenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*. # So funktioniert Amazon Managed Service für Apache Flink mit IAM In Amazon MSF verwenden Sie IAM in den folgenden verschiedenen Kontexten: + [Anwendungsberechtigungen](#security_iam_application_permissions): Steuern Sie den Zugriff der Anwendung auf externe Ressourcen wie Amazon S3, Amazon Kinesis Data Streams oder Amazon DynamoDB, die IAM-Authentifizierung verwenden. + [Berechtigungen für Anwendungsmanagement und Lebenszykluskontrolle](#security_iam_application_management): Steuern Sie die Verwendung von Amazon MSF-API-Aktionen wie [CreateApplication[StartApplication](https://docs.aws.amazon.com/managed-flink/latest/apiv2/API_StartApplication.html)](https://docs.aws.amazon.com/managed-flink/latest/apiv2/API_CreateApplication.html), und [UpdateApplication](https://docs.aws.amazon.com/managed-flink/latest/apiv2/API_UpdateApplication.html), die den Anwendungslebenszyklus steuern. Eine vollständige Liste aller Amazon MSF-API-Aktionen, die Sie im `Action` Element einer IAM-Richtlinienerklärung angeben können, finden Sie unter [Von Amazon Kinesis Analytics V2 definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonkinesisanalyticsv2.html#amazonkinesisanalyticsv2-actions-as-permissions) in der *Service* Authorization Reference. **Topics** + [Anwendungsberechtigungen](#security_iam_application_permissions) + [Berechtigungen für Anwendungsmanagement und Lebenszykluskontrolle](#security_iam_application_management) + [Identitätsbasierte Richtlinien für Managed Service für Apache Flink](#security_iam_service-with-iam-id-based-policies) + [Ressourcenbasierte Richtlinien in Managed Service für Apache Flink](#security_iam_service-with-iam-resource-based-policies) + [Zugriffskontrolllisten (ACLs) in Managed Service für Apache Flink](#security_iam_service-with-iam-acls) + [Servicerollen für Managed Service für Apache Flink](#security_iam_service-with-iam-roles-service) + [Serviceverknüpfte Rollen für Managed Service für Apache Flink](#security_iam_service-with-iam-roles-service-linked) ## Anwendungsberechtigungen Sie kontrollieren die IAM-Berechtigungen einer Amazon MSF-Anwendung mit der der Anwendung zugewiesenen IAM-Rolle als Teil der Anwendungskonfiguration. Diese IAM-Rolle bestimmt die Zugriffsberechtigungen der Anwendung auf andere Dienste wie Amazon S3, Kinesis Data Streams oder DynamoDB, die IAM für die Autorisierung verwenden. **Warnung** Das Ändern der Berechtigungen für eine Servicerolle kann die Funktionalität von Amazon MSF beeinträchtigen. Stellen Sie sicher, dass Sie der Anwendung nicht die Berechtigungen zum Herunterladen des Anwendungscodes aus dem Amazon S3 S3-Bucket und zum Senden von Protokollen an Amazon entziehen CloudWatch. Das Zuweisen von Berechtigungen für die Anwendung mithilfe [ressourcenbasierter Richtlinien wird nicht unterstützt](#security_iam_service-with-iam-resource-based-policies). Sie können eine Amazon MSF-Anwendung nicht als Principal in einer Richtlinie angeben, die an die Ressource angehängt ist, auf die zugegriffen werden soll. **Topics** + [Berechtigungen für den Zugriff auf den Anwendungscode und die Anwendungsprotokolle](#security_iam_permissions_access_application_code) + [Serviceübergreifende Confused-Deputy-Prävention](#security_iam_cross_service_confused_deputy) ### Berechtigungen für den Zugriff auf den Anwendungscode und die Anwendungsprotokolle Amazon MSF verwendet auch die Anwendungs-IAM-Rolle, um auf den in einen Amazon S3 S3-Bucket hochgeladenen Anwendungscode zuzugreifen und die Anwendungsprotokolle in Amazon CloudWatch Logs zu schreiben. Wenn Sie die Anwendung mithilfe der AWS-Managementkonsole Option **Create/update IAM-Rolle mit erforderlichen Richtlinien in der Anwendungskonfiguration erstellen** oder aktualisieren, erstellt und ändert Amazon MSF automatisch die IAM-Rolle und weist Amazon S3 und Logs die erforderlichen Berechtigungen zu. CloudWatch Wenn Sie die IAM-Rolle manuell erstellen oder die Anwendung mithilfe von Automatisierungstools erstellen und verwalten, müssen Sie der IAM-Rolle der Anwendung die folgenden Berechtigungen hinzufügen. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReadCode", "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-bucket/path-to-application-code" ] }, { "Sid": "ListCloudwatchLogGroups", "Effect": "Allow", "Action": [ "logs:DescribeLogGroups" ], "Resource": [ "arn:aws:logs:us-east-1:123456789012:log-group:*" ] }, { "Sid": "ListCloudwatchLogStreams", "Effect": "Allow", "Action": [ "logs:DescribeLogStreams" ], "Resource": [ "arn:aws:logs:us-east-1:123456789012:log-group:/aws/kinesis-analytics/application-name:log-stream:*" ] }, { "Sid": "PutCloudwatchLogs", "Effect": "Allow", "Action": [ "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:us-east-1:123456789012:log-group:/aws/kinesis-analytics/application-name:log-stream:kinesis-analytics-log-stream" ] } ] } ``` ------ ### Serviceübergreifende Confused-Deputy-Prävention Wenn eine Amazon MSF-Anwendung eine andere aufruft AWS-Service, können Sie detailliertere Zugriffsberechtigungen bereitstellen. Wenn beispielsweise eine IAM-Rolle für mehrere Anwendungen wiederverwendet wird, kann eine Anwendung Zugriff auf eine Ressource erhalten, auf die sie keinen Zugriff haben sollte. Dies wird als das Problem des [verwirrten Stellvertreters](https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html) bezeichnet. Informationen darüber, wie die Ressource, auf die zugegriffen wird, den Zugriff auf eine bestimmte Amazon MSF-Anwendung einschränken kann, finden Sie unter[Serviceübergreifende Confused-Deputy-Prävention](iam-cross-service-confused-deputy-prevention.md). ## Berechtigungen für Anwendungsmanagement und Lebenszykluskontrolle Aktionen zur Verwaltung der Anwendung und ihres Lebenszyklus, wie, und [CreateApplication[StartApplication](https://docs.aws.amazon.com/managed-flink/latest/apiv2/API_StartApplication.html)](https://docs.aws.amazon.com/managed-flink/latest/apiv2/API_CreateApplication.html), werden durch identitätsbasierte Richtlinien gesteuert [UpdateApplication](https://docs.aws.amazon.com/managed-flink/latest/apiv2/API_UpdateApplication.html), die der Ressource zugeordnet sind, die die Aktion ausführt, z. B. einem IAM-Benutzer, einer IAM-Gruppe oder einer Ressource wie dem AWS Lambda Aufrufen der Amazon MSF-API. **Anmerkung** Die API und das SDK, die den Lebenszyklus der Amazon MSF-Anwendung steuern, werden aus Gründen der Abwärtskompatibilität als Amazon Kinesis Analytics V2 bezeichnet. Das Zuweisen von Berechtigungen für Aktionen im Lebenszyklus von Anwendungen mithilfe ressourcenbasierter Richtlinien, die der Amazon MSF-Anwendung zugeordnet sind, wird nicht unterstützt. Die Anwendungs-IAM-Rolle wird nicht zur Steuerung des Zugriffs auf die Aktionen im Anwendungslebenszyklus verwendet. Sie sollten der Anwendungsrolle keine Berechtigungen für den Anwendungslebenszyklus hinzufügen. In der folgenden Tabelle sind die IAM-Funktionen aufgeführt, die Sie mit Amazon MSF-Aktionen für den Anwendungslebenszyklus verwenden können. | IAM-Feature | Support für Managed Service für Apache Flink | | --- | --- | | [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja | | [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Nein | | [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja | | [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja | | [Bedingungsschlüssel für die Richtlinie](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja | | [ACLs](#security_iam_service-with-iam-acls) | Nein | | [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Ja | | [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Ja | | [Serviceübergreifende Prinzipalberechtigungen](#security_iam_service-with-iam-principal-permissions) | Ja | | [Servicerollen](#security_iam_service-with-iam-roles-service) | Nein | | [Serviceverknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Nein | + *Einen allgemeinen Überblick darüber, wie Managed Service für Apache Flink und andere mit den meisten IAM-Funktionen AWS-Services [funktionieren AWS-Services , finden Sie im IAM-Benutzerhandbuch unter Funktionen mit IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).* + Informationen zu den dienstspezifischen Ressourcen, Aktionen und Bedingungskontextschlüsseln, die Sie in IAM-Berechtigungsrichtlinien verwenden können, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Kinesis Analytics V2](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonkinesisanalyticsv2.html) in der *Service* Authorization Reference. **Topics** + [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) + [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) + [Bedingungsschlüssel für die Richtlinie](#security_iam_service-with-iam-id-based-policies-conditionkeys) + [ABAC](#security_iam_service-with-iam-tags) + [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) + [Prinzipalberechtigungen](#security_iam_service-with-iam-principal-permissions) ### Richtlinien für den Anwendungslebenszyklus **Unterstützt Richtlinienaktionen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen. Richtlinienaktionen in Amazon MSF verwenden das `kinesisanalytics` Präfix vor der Aktion. Amazon MSF APIs und SDKs verwenden Sie das `Amazon Kinesis Analytics V2` Präfix. Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata: Das folgende Beispiel zeigt die Syntax für die Angabe von Amazon MSF-Richtlinienaktionen. ``` "Action" : [ "kinesisanalytics:action1", "kinesisanalytics:action2" ] ``` Sie können auch mehrere Aktionen mit Platzhaltern (\$1) angeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `Describe` beginnen, einschließlich der folgenden Aktion: ``` "Action": "kinesisanalytics:Describe*" ``` Eine vollständige Liste aller Amazon MSF-API-Aktionen, die Sie im `Action` Element einer IAM-Richtlinienerklärung angeben können, finden Sie unter [Von Amazon Kinesis Analytics V2 definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonkinesisanalyticsv2.html#amazonkinesisanalyticsv2-actions-as-permissions). Beispiele für identitätsbasierte Richtlinien von Amazon MSF finden Sie unter. [Beispiele für identitätsbasierte Richtlinien](security_iam_id-based-policy-examples.md) ### Ressourcen für Richtlinien zum Anwendungslebenszyklus **Unterstützt Richtlinienressourcen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt. ``` "Resource": "*" ``` Berechtigungen für Amazon MSF-Aktionen im Anwendungslebenszyklus werden für **jede Anwendung** definiert. Das `Resource` JSON-Element in einer IAM-Richtlinie definiert die Amazon MSF-Anwendung, für die die Berechtigungen gelten. Sie können einer einzelnen Anwendung Berechtigungen zuweisen, indem Sie den Anwendungs-ARN angeben, oder einer Gruppe von Anwendungen, indem Sie Platzhalter verwenden. Das folgende Beispiel zeigt die Syntax des `Resource` Elements. ``` "Resouce" : "arn:partition:kinesisanalytics:Region:account:application/application-name ``` Sie können auch Berechtigungen zur Steuerung einer Teilmenge von Anwendungen mithilfe von Platzhaltern zuweisen. Sie können beispielsweise Berechtigungen zur Steuerung aller Anwendungen zuweisen, deren Name mit einem bestimmten Präfix beginnt. ``` "Resouce" : "arn:partition:kinesisanalytics:Region:account:application/application-name-prefix* ``` ### Bedingungsschlüssel für Richtlinien zum Anwendungslebenszyklus **Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*. Sie können Bedingungsschlüssel verwenden, um die Berechtigungen für Amazon MSF-Aktionen im Anwendungslebenszyklus zu steuern. Eine Liste der Managed Service für Apache Flink-Bedingungsschlüssel finden Sie unter [Bedingungsschlüssel für Amazon Managed Service für Apache Flink](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awskinesisanalytics.html#awskinesisanalytics-policy-keys) in der *Referenz für die Service-Autorisierung*. Informationen dazu, mit welchen Aktionen und Ressourcen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Von Amazon Managed Service für Apache Flink definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awskinesisanalytics.html#awskinesisanalytics-actions-as-permissions). ### Attributbasierte Zugriffskontrolle (ABAC) mit Managed Service für Apache Flink **Unterstützt ABAC (Tags in Richtlinien):** Ja Mithilfe von Bedingungsschlüsseln können Sie die attributebasierte Zugriffskontrolle (ABAC) implementieren. Dabei handelt es sich um eine Autorisierungsstrategie, die Berechtigungen auf der Grundlage von Attributen definiert. *In werden AWS diese Attribute als Tags bezeichnet.* Sie können Tags an IAM-Entitäten (Benutzer oder Rollen) und an viele AWS Ressourcen anhängen. Das Markieren von Entitäten und Ressourcen ist der erste Schritt von ABAC. Anschließend entwerfen Sie ABAC-Richtlinien, um Operationen zuzulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt, auf die er zugreifen möchte. ABAC ist in Umgebungen hilfreich, die schnell wachsen, und unterstützt Sie in Situationen, in denen die Richtlinienverwaltung mühsam wird. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden. Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**. + Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen auf der Grundlage von Attributen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html). + Ein Tutorial mit den Schritten zur Einrichtung von ABAC finden Sie unter [IAM-Tutorial: Berechtigungen für den Zugriff auf AWS Ressourcen anhand von Tags definieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html). ### Verwenden temporärer Anmeldeinformationen **Unterstützt temporäre Anmeldeinformationen:** Ja Amazon MSF-Aktionen für den Anwendungslebenszyklus unterstützen temporäre Anmeldeinformationen. Sie verwenden temporäre Anmeldeinformationen, wenn Sie sich mit einer anderen AWS-Managementkonsole Methode als einem Benutzernamen und einem Passwort bei der Anmeldung anmelden. Wenn Sie beispielsweise AWS über den Single Sign-On-Link (SSO) Ihres Unternehmens darauf zugreifen, werden bei diesem Vorgang automatisch temporäre Anmeldeinformationen erstellt. Sie erstellen auch automatisch temporäre Anmeldeinformationen, wenn Sie sich als Benutzer bei der Konsole anmelden und dann die Rollen wechseln. Weitere Informationen zum Rollenwechsel finden Sie unter [Von einem Benutzer zu einer IAM-Rolle wechseln (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html). Mithilfe der AWS API AWS CLI oder können Sie temporäre Anmeldeinformationen manuell erstellen. Sie können diese temporären Anmeldeinformationen dann für den Zugriff verwenden AWS. Wir empfehlen, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Sicherheitsanmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html). ### Dienstübergreifende Prinzipalberechtigungen **Unterstützt Forward Access Sessions (FAS):** Ja Amazon MSF-Aktionen für den Anwendungslebenszyklus unterstützen serviceübergreifende Prinzipalberechtigungen. Wenn Sie einen IAM-Benutzer oder eine IAM-Rolle verwenden, um Aktionen auszuführen AWS, gelten Sie als Principal. Bei einigen Services könnte es Aktionen geben, die dann eine andere Aktion in einem anderen Service initiieren. Forward Access Sessions (FAS) verwendet die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anfrage, Anfragen an nachgelagerte Dienste AWS-Service zu stellen. FAS-Anfragen werden nur gestellt, wenn ein Dienst eine Anfrage empfängt, für deren Abschluss Interaktionen mit anderen AWS-Services oder Ressourcen erforderlich sind. In diesem Fall müssen Sie über Berechtigungen zum Ausführen beider Aktionen verfügen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Identitätsbasierte Richtlinien für Managed Service für Apache Flink **Unterstützt Richtlinien auf Identitätsbasis:** Ja Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*. ### Beispiele für identitätsbasierte Richtlinien für Managed Service für Apache Flink Beispiele für identitätsbasierte Managed Service für Apache Flink-Richtlinien, finden Sie unter [Beispiele für identitätsbasierte Richtlinien für Amazon Managed Service für Apache Flink](security_iam_id-based-policy-examples.md). ## Ressourcenbasierte Richtlinien in Managed Service für Apache Flink Amazon Managed Service für Apache Flink unterstützt derzeit keine ressourcenbasierte Zugriffskontrolle. ## Zugriffskontrolllisten (ACLs) in Managed Service für Apache Flink **Unterstützt ACLs: Nein** Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat. ## Servicerollen für Managed Service für Apache Flink **Unterstützt Servicerollen:** Ja Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*. **Warnung** Das Ändern der Berechtigungen für eine Servicerolle könnte die Funktionalität von Managed Service für Apache Flink beeinträchtigen. Bearbeiten Sie Servicerollen nur, wenn Managed Service für Apache Flink dazu Anleitungen gibt. ## Serviceverknüpfte Rollen für Managed Service für Apache Flink **Unterstützt serviceverknüpfte Rollen:** Ja Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten. Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Tabelle nach einem Service mit einem `Yes` in der Spalte **Service-linked role** (Serviceverknüpfte Rolle). Wählen Sie den Link **Yes** (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen. # Beispiele für identitätsbasierte Richtlinien für Amazon Managed Service für Apache Flink Benutzer und Rollen besitzen standardmäßig keine Berechtigungen zum Erstellen oder Ändern von Managed Service für Apache Flink-Ressourcen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*. Einzelheiten zu den Aktionen und Ressourcentypen, die von Managed Service für Apache Flink definiert wurden, einschließlich des Formats ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Managed Service for Apache Flink](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awskinesisanalytics.html) in der *Service Authorization Reference*. **Topics** + [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices) + [Nutzung der Managed Service für Apache Flink-Konsole](#security_iam_id-based-policy-examples-console) + [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions) ## Best Practices für Richtlinien Identitätsbasierte Richtlinien legen fest, ob jemand Managed Service für Apache Flink-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn Sie identitätsbasierte Richtlinien erstellen oder bearbeiten, befolgen Sie diese Richtlinien und Empfehlungen: + **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*. + **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*. + **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*. + **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*. + **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*. Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*. ## Nutzung der Managed Service für Apache Flink-Konsole Um auf die Amazon Managed Service für Apache Flink-Konsole zugreifen zu können, müssen Sie über einen Mindestsatz von Berechtigungen verfügen. Diese Berechtigungen müssen Ihnen das Auflisten und Anzeigen von Details zu den Managed Service für Apache Flink-Ressourcen in Ihrem  AWS-Konto gestatten. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie. Sie müssen Benutzern, die nur die API oder die API aufrufen, keine Mindestberechtigungen für die AWS CLI Konsole gewähren. AWS Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten. Um sicherzustellen, dass Benutzer und Rollen die Managed Service for Apache Flink-Konsole weiterhin verwenden können, fügen Sie den Entitäten auch den Managed Service für Apache Flink `ConsoleAccess` oder die `ReadOnly` AWS verwaltete Richtlinie hinzu. Weitere Informationen finden Sie unter [Hinzufügen von Berechtigungen zu einem Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) im *IAM-Benutzerhandbuch*. ## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der OR-API. AWS CLI AWS ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # Problembehandlung bei Identität und Zugriff auf Amazon Managed Service für Apache Flink Verwenden Sie die folgenden Informationen, um häufige Probleme zu diagnostizieren und zu beheben, die beim Arbeiten mit Managed Service für Apache Flink und IAM auftreten könnten. **Topics** + [Ich bin nicht berechtigt, eine Aktion in Managed Service für Apache Flink durchzuführen](#security_iam_troubleshoot-no-permissions) + [Ich bin nicht berechtigt, iam durchzuführen: PassRole](#security_iam_troubleshoot-passrole) + [Ich möchte Personen außerhalb meines AWS Kontos den Zugriff auf meine Managed Service for Apache Flink-Ressourcen ermöglichen](#security_iam_troubleshoot-cross-account-access) ## Ich bin nicht berechtigt, eine Aktion in Managed Service für Apache Flink durchzuführen Wenn Ihnen AWS-Managementkonsole mitgeteilt wird, dass Sie nicht berechtigt sind, eine Aktion auszuführen, müssen Sie sich an Ihren Administrator wenden, um Unterstützung zu erhalten. Ihr Administrator ist die Person, die Ihnen Ihren Benutzernamen und Ihr Passwort zur Verfügung gestellt hat. Der folgende Beispielfehler tritt auf, wenn der `mateojackson`-Benutzer versucht, die Konsole zum Anzeigen von Details zu einer fiktiven `my-example-widget`-Ressource zu verwenden, jedoch nicht über `Kinesis Analytics:GetWidget`-Berechtigungen verfügt. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: Kinesis Analytics:GetWidget on resource: my-example-widget ``` In diesem Fall bittet Mateo seinen Administrator um die Aktualisierung seiner Richtlinien, um unter Verwendung der Aktion `my-example-widget` auf die Ressource `Kinesis Analytics:GetWidget` zugreifen zu können. ## Ich bin nicht berechtigt, iam durchzuführen: PassRole Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zum Durchführen der `iam:PassRole`-Aktion autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an Managed Service für Apache Flink übergeben zu können. Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst. Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in Managed Service für Apache Flink auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst. ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ## Ich möchte Personen außerhalb meines AWS Kontos den Zugriff auf meine Managed Service for Apache Flink-Ressourcen ermöglichen Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren. Weitere Informationen dazu finden Sie hier: + Informationen dazu, ob Managed Service für Apache Flink diese Features unterstützt, finden Sie unter [So funktioniert Amazon Managed Service für Apache Flink mit IAM](security_iam_service-with-iam.md). + *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen in AWS-Konten Ihrem Besitz gewähren können, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs für einen IAM-Benutzer in einem anderen AWS-Konto , dem Sie](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) gehören.* + Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html). + Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*. + Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. # Serviceübergreifende Confused-Deputy-Prävention In kann es zu einem dienstübergreifenden Identitätswechsel kommen AWS, wenn ein Dienst (der anrufende Dienst) einen anderen Dienst (den aufgerufenen Dienst) aufruft. Der aufrufende Service kann so manipuliert werden, dass er auf die Ressourcen eines anderen Kunden reagiert, obwohl er nicht über die entsprechenden Berechtigungen verfügen sollte, was zu einem Verwirrter-Stellvertreter-Problem führt. Um zu verhindern, dass Abgeordnete verwirrt werden, AWS bietet dieses Tool Tools, mit denen Sie Ihre Daten für alle Dienste schützen können. Dabei werden Dienstprinzipale verwendet, denen Zugriff auf Ressourcen in Ihrem Konto gewährt wurde. In diesem Abschnitt wird speziell für Managed Service für Apache Flink die Vermeidung von serviceübergreifenden Problemen mit confused Deputys behandelt. Weitere Informationen zu diesem Thema finden Sie jedoch im *IAM-Benutzerhandbuch* im Abschnitt [Das Problem mit confused Deputys](https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html). Im Zusammenhang mit Managed Service für Apache Flink empfehlen wir die Verwendung der SourceAccount globalen Bedingungsschlüssel [aws: SourceArn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) und [aws:](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) in Ihrer Rollenvertrauensrichtlinie, um den Zugriff auf die Rolle nur auf die Anfragen zu beschränken, die von den erwarteten Ressourcen generiert werden. Verwenden Sie `aws:SourceArn`, wenn Sie nur eine Ressource mit dem betriebsübergreifenden Zugriff verknüpfen möchten. Verwenden Sie `aws:SourceAccount`, wenn Sie zulassen möchten, dass Ressourcen in diesem Konto mit der betriebsübergreifenden Verwendung verknüpft werden. Der Wert von `aws:SourceArn` muss die ARN der von Managed Service für Apache Flink verwendeten Ressource sein, die im folgenden Format angegeben wird: `arn:aws:kinesisanalytics:region:account:resource`. Der effektivste Weg, um sich vor dem Confused-Deputy-Problem zu schützen, ist die Verwendung des globalen `aws:SourceArn`-Bedingungskontextschlüssels mit dem vollständigen ARN der Ressource. Wenn Sie den vollständigen ARN der Ressource nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie den globalen `aws:SourceArn`-Schlüssel mit Platzhalterzeichen (\$1) für die unbekannten Teile des ARN. Beispiel: `arn:aws:kinesisanalytics::111122223333:*`. Richtlinien für Rollen, die Sie Managed Service für Apache Flink zur Verfügung stellen, sowie Vertrauensrichtlinien für Rollen, die für Sie generiert wurden, können diese Schlüssel verwenden. Um sich vor dem Confused-Deputy-Problem zu schützen, führen Sie die folgenden Schritte durch: **Schutz vor dem Verwirrter-Stellvertreter-Problem** 1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die IAM-Konsole unter. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 1. Wählen Sie **Rollen** und dann die Rolle aus, die Sie ändern möchten. 1. Wählen Sie **Vertrauensrichtlinie bearbeiten** aus. 1. Ersetzen Sie auf der Seite **Vertrauensrichtlinie bearbeiten** die Standard-JSON-Richtlinie durch eine Richtlinie, die einen oder beide der globalen Bedingungskontextschlüssel `aws:SourceArn` und die `aws:SourceAccount` verwendet. Im Folgenden ist eine Beispielrichtlinie aufgeführt: 1. Wählen Sie **Richtlinie aktualisieren**. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Principal":{ "Service":"kinesisanalytics.amazonaws.com" }, "Action":"sts:AssumeRole", "Condition":{ "StringEquals":{ "aws:SourceAccount":"Account ID" }, "ArnEquals":{ "aws:SourceArn":"arn:aws:kinesisanalytics:us-east-1:123456789012:application/my-app" } } } ] } ``` ------