Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

So funktioniert Amazon Managed Service für Apache Flink mit IAM

In Amazon MSF verwenden Sie IAM in den folgenden verschiedenen Kontexten:

Berechtigungen für Anwendungen

Sie steuern die IAM-Berechtigungen einer Amazon MSF-Anwendung mit der IAM-Rolle, die der Anwendung als Teil der Anwendungskonfiguration zugewiesen ist. Diese IAM-Rolle bestimmt die Berechtigungen der Anwendung für den Zugriff auf andere Dienste wie Amazon S3, Kinesis Data Streams oder DynamoDB, die IAM für die Autorisierung verwenden.

Das Zuweisen von Berechtigungen zur Anwendung mithilfe ressourcenbasierter Richtlinien wird nicht unterstützt. Sie können eine Amazon MSF-Anwendung nicht als Prinzipal in einer Richtlinie angeben, die der Ressource zugeordnet ist, auf die zugegriffen werden soll.

Berechtigungen für den Zugriff auf den Anwendungscode und die Anwendungsprotokolle

Amazon MSF verwendet auch die Anwendungs-IAM-Rolle, um auf den in einen Amazon S3-Bucket hochgeladenen Anwendungscode zuzugreifen und die Anwendungsprotokolle in Amazon CloudWatch Logs zu schreiben.

Wenn Sie die Anwendung mithilfe der erstellen oder aktualisieren AWS-Managementkonsole, wählen Sie <role-name>in der Anwendungskonfiguration die Option IAM-Rolle mit erforderlichen Richtlinien erstellen/aktualisieren aus. Amazon MSF erstellt und ändert automatisch die IAM-Rolle und weist Amazon S3 und Logs die erforderlichen Berechtigungen zu. CloudWatch

Wenn Sie die IAM-Rolle manuell erstellen oder wenn Sie die Anwendung mithilfe von Automatisierungstools erstellen und verwalten, müssen Sie der Anwendungs-IAM-Rolle die folgenden Berechtigungen hinzufügen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ReadCode",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/path-to-application-code"
            ]
        },
        {
            "Sid": "ListCloudwatchLogGroups",
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:123456789012:log-group:*"
            ]
        },
        {
            "Sid": "ListCloudwatchLogStreams",
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogStreams"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:123456789012:log-group:/aws/kinesis-analytics/application-name:log-stream:*"
            ]
        },
        {
            "Sid": "PutCloudwatchLogs",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-1:123456789012:log-group:/aws/kinesis-analytics/application-name:log-stream:kinesis-analytics-log-stream"
            ]
        }
    ]
}

Cross-service verwirrt, stellvertretende Prävention

Wenn eine Amazon MSF-Anwendung eine andere aufruft AWS-Service, können Sie detailliertere Zugriffsberechtigungen gewähren. Wenn beispielsweise eine IAM-Rolle in mehreren Anwendungen wiederverwendet wird, kann eine Anwendung Zugriff auf eine Ressource erhalten, auf die sie keinen Zugriff haben sollte. Dieses Problem wird als verwirrtes Stellvertreter-Problem bezeichnet. Informationen darüber, wie die Ressource, auf die zugegriffen wird, den Zugriff auf eine bestimmte Amazon MSF-Anwendung einschränken kann, finden Sie unterCross-service verwirrt, stellvertretender Vertreter der Prävention.

Berechtigungen für Anwendungsmanagement und Lebenszykluskontrolle

Aktionen zur Verwaltung der Anwendung und ihres Lebenszyklus, wie, und CreateApplication StartApplication, werden durch identitätsbasierte Richtlinien gesteuert UpdateApplication, die der Ressource zugeordnet sind, die die Aktion ausführt, z. B. einem IAM-Benutzer, einer IAM-Gruppe oder einer Ressource wie dem AWS Lambda Aufrufen der Amazon MSF-API.

Das Zuweisen von Berechtigungen für Aktionen im Anwendungslebenszyklus mithilfe ressourcenbasierter Richtlinien, die der Amazon MSF-Anwendung zugeordnet sind, wird nicht unterstützt. Die Anwendungs-IAM-Rolle wird nicht verwendet, um den Zugriff auf die Aktionen im Anwendungslebenszyklus zu kontrollieren. Sie sollten der Anwendungsrolle keine Berechtigungen für den Anwendungslebenszyklus hinzufügen.

In der folgenden Tabelle sind die IAM-Funktionen aufgeführt, die Sie mit Amazon MSF-Aktionen für den Anwendungslebenszyklus verwenden können.

Maßnahmen zur Richtlinie über den Lebenszyklus einer Anwendung

Unterstützt Richtlinienaktionen: Ja

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Element Action einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu gewähren.

Bei Richtlinienaktionen in Amazon MSF wird das kinesisanalytics Präfix vor der Aktion verwendet. Amazon MSF-APIs und -SDKs verwenden das Präfix. Amazon Kinesis Analytics V2

Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata: Das folgende Beispiel zeigt die Syntax für die Angabe von Amazon MSF-Richtlinienaktionen.

"Action" : [
   "kinesisanalytics:action1",
   "kinesisanalytics:action2"
]

Sie können auch mehrere Aktionen mithilfe von Platzhaltern (*) angeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort Describe beginnen, einschließlich der folgenden Aktion:

"Action": "kinesisanalytics:Describe*"

Eine vollständige Liste aller Amazon MSF-API-Aktionen, die Sie im Action Element einer IAM-Richtlinienerklärung angeben können, finden Sie unter Von Amazon Kinesis Analytics V2 definierte Aktionen.

Beispiele für identitätsbasierte Amazon MSF-Richtlinien finden Sie unter. Identity-based Beispiele für Richtlinien

Ressourcen zu Richtlinien für den Lebenszyklus einer Anwendung

Unterstützt Richtlinienressourcen: Ja

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das JSON-Richtlinienelement Resource gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen Amazon-Ressourcennamen (ARN) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (*), um anzugeben, dass die Anweisung für alle Ressourcen gilt.

"Resource": "*"

Die Berechtigungen für Aktionen im Amazon MSF-Anwendungslebenszyklus sind für jede Anwendung definiert. Das Resource JSON-Element in einer IAM-Richtlinie definiert die Amazon MSF-Anwendung, für die die Berechtigungen gelten.

Sie können einer einzelnen Anwendung die Berechtigung zuweisen, indem Sie den Anwendungs-ARN angeben, oder einer Gruppe von Anwendungen mithilfe von Platzhaltern. Das folgende Beispiel zeigt die Syntax des Resource Elements.

"Resouce" : "arn:partition:kinesisanalytics:Region:account:application/application-name

Sie können auch Berechtigungen zur Steuerung einer Teilmenge von Anwendungen mithilfe von Platzhaltern zuweisen. Sie können beispielsweise Berechtigungen zuweisen, um alle Anwendungen zu steuern, deren Name mit einem bestimmten Präfix beginnt.

"Resouce" : "arn:partition:kinesisanalytics:Region:account:application/application-name-prefix*

Bedingungsschlüssel für den Lebenszyklus einer Anwendung

Unterstützt servicespezifische Richtlinienbedingungsschlüssel: Ja

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Element Condition gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die Bedingungsoperatoren verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Alle AWS globalen Bedingungsschlüssel finden Sie unter AWS Globale Bedingungskontextschlüssel im IAM-Benutzerhandbuch.

Sie können Bedingungsschlüssel verwenden, um die Berechtigungen für Aktionen im Lebenszyklus von Amazon MSF-Anwendungen zu steuern. Eine Liste der Managed Service für Apache Flink-Bedingungsschlüssel finden Sie unter Bedingungsschlüssel für Amazon Managed Service für Apache Flink in der Referenz für die Service-Autorisierung. Informationen dazu, mit welchen Aktionen und Ressourcen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter Von Amazon Managed Service für Apache Flink definierte Aktionen.

Attribute-based Zugriffskontrolle (ABAC) mit Managed Service für Apache Flink

Unterstützt ABAC (Tags in Richtlinien): Ja

Mithilfe von Bedingungsschlüsseln können Sie die attributbasierte Zugriffskontrolle (ABAC) implementieren. Dabei handelt es sich um eine Autorisierungsstrategie, die Berechtigungen auf der Grundlage von Attributen definiert. In werden AWS diese Attribute als Tags bezeichnet. Sie können IAM-Entitäten (Benutzern oder Rollen) und vielen AWS Ressourcen Tags anhängen. Das Markieren von Entitäten und Ressourcen ist der erste Schritt von ABAC. Anschließend entwerfen Sie ABAC-Richtlinien, die Operationen zulassen, wenn das Tag des Principals mit dem Tag auf der Ressource übereinstimmt, auf die der Principal zugreifen möchte.

ABAC ist in Umgebungen hilfreich, die schnell wachsen, und unterstützt Sie in Situationen, in denen die Richtlinienverwaltung mühsam wird.

Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer Richtlinie Tag-Informationen an, indem Sie die Schlüssel aws:ResourceTag/key-name, aws:RequestTag/key-name, oder Bedingung aws:TagKeys verwenden. Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service Ja. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert Teilweise.

Verwenden temporärer Anmeldeinformationen

Unterstützt temporäre Anmeldeinformationen: Ja

Amazon MSF-Aktionen im Anwendungslebenszyklus unterstützen temporäre Anmeldeinformationen.

Sie verwenden temporäre Anmeldeinformationen, wenn Sie sich mit einer anderen AWS-Managementkonsole Methode als einem Benutzernamen und einem Passwort anmelden. Wenn Sie beispielsweise AWS über den Single Sign-On (SSO) -Link Ihres Unternehmens darauf zugreifen, werden bei diesem Vorgang automatisch temporäre Anmeldeinformationen erstellt. Sie erstellen auch automatisch temporäre Anmeldeinformationen, wenn Sie sich als Benutzer bei der Konsole anmelden und dann die Rollen wechseln. Weitere Informationen zum Rollenwechsel finden Sie unter Wechseln von einer Benutzer- zu einer IAM-Rolle (Konsole).

Sie können temporäre Anmeldeinformationen manuell mithilfe der AWS CLI oder AWS API erstellen. Sie können diese temporären Anmeldeinformationen dann für den Zugriff verwenden AWS. Wir empfehlen, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter Temporäre Sicherheitsanmeldeinformationen in IAM.

Cross-service Hauptberechtigungen

Unterstützt Forward Access Sessions (FAS): Ja

Amazon MSF-Aktionen im Anwendungslebenszyklus unterstützen dienstübergreifende Prinzipalberechtigungen.

Wenn Sie einen IAM-Benutzer oder eine IAM-Rolle zum Ausführen von Aktionen verwenden AWS, gelten Sie als Principal. Bei einigen Services könnte es Aktionen geben, die dann eine andere Aktion in einem anderen Service initiieren. Forward Access Sessions (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen an nachgelagerte Dienste AWS-Service zu stellen. FAS-Anfragen werden nur gestellt, wenn ein Dienst eine Anfrage erhält, für deren Abschluss Interaktionen mit anderen AWS-Services oder Ressourcen erforderlich sind. In diesem Fall müssen Sie über Berechtigungen zum Ausführen beider Aktionen verfügen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter Zugriffssitzungen weiterleiten.

Identity-based Richtlinien für Managed Service für Apache Flink

Unterstützt Richtlinien auf Identitätsbasis: Ja

Identity-based Richtlinien sind Richtliniendokumente für JSON-Berechtigungen, die Sie an eine Identität anhängen können, z. B. an einen IAM-Benutzer, eine Benutzergruppe oder eine Rolle. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien im IAM-Benutzerhandbuch.

Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der IAM-Referenz für JSON-Richtlinienelemente im IAM-Benutzerhandbuch.

Identity-based Richtlinienbeispiele für Managed Service für Apache Flink

Beispiele für identitätsbasierte Managed Service für Apache Flink-Richtlinien, finden Sie unter Identity-based Beispiele für Richtlinien für Amazon Managed Service für Apache Flink.

Resource-based Richtlinien innerhalb von Managed Service für Apache Flink

Amazon Managed Service für Apache Flink unterstützt derzeit keine ressourcenbasierte Zugriffskontrolle.

Zugriffssteuerungslisten (ACLs) in Managed Service für Apache Flink

Unterstützt ACLs: Nein

Zugriffssteuerungslisten (ACLs) steuern, welche Prinzipale (Kontomitglieder, Benutzer oder Rollen) auf eine Ressource zugreifen können. ACLs sind ähnlich wie ressourcenbasierte Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.

Servicerollen für Managed Service für Apache Flink

Unterstützt Servicerollen: Ja

Eine Servicerolle ist eine IAM-Rolle, die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service im IAM-Benutzerhandbuch.

Service-linked Rollen für Managed Service für Apache Flink

Unterstützt serviceverknüpfte Rollen: Ja

Eine dienstgebundene Rolle ist eine Art von Servicerolle, die mit einer AWS-Service verknüpft ist. Der Dienst kann die Rolle übernehmen, eine Aktion in Ihrem Namen auszuführen. Service-linked Rollen werden in Ihrem angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.

Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter AWS -Services, die mit IAM funktionieren. Suchen Sie einen Dienst in der Tabelle, die eine Yes in der Service-linked Rollenspalte enthält. Wählen Sie den Link Yes (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen.