Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Begriffe und Konzepte fürAWS RAM

Die folgenden Konzepte erklären, wie Sie Folgendes verwenden können:AWS Resource Access Manager(AWS RAM) um Ihre Ressourcen zu teilen.

Ressourcenfreigabe

Sie teilen Ressourcen mitAWS RAMdurch Erstellen einesgemeinsam genutzte Ressourcen. Ein Ressourcenanteil besteht aus den folgenden drei Elementen:

Nach der VerwendungAWS RAMUm eine Ressourcenfreigabe zu erstellen, kann den in der Ressourcenfreigabe angegebenen Prinzipalen Zugriff auf die Ressourcen der Freigabe gewährt werden.

Konto teilen

DasKonto teilenenthält die Ressource, die gemeinsam genutzt wird und in derAWS RAMAdministrator erstellt denAWSgemeinsame Nutzung von Ressourcen mithilfe vonAWS RAM.

EinAWS RAMAdministrator ist ein IAM-Principal, der über die Rechte zum Erstellen und Konfigurieren von Ressourcenfreigaben in derAWS-Konto. WeilAWS RAMfunktioniert, indem es an die Ressourcen in einer Ressourcenfreigabe anfügen kann, dieAWS RAMDer Administrator muss auch über Berechtigungen zum Aufrufen von verfügenPutResourcePolicyBetrieb inAWS-Servicefür jeden Ressourcentyp, der in einer Ressourcenfreigabe enthalten ist.

Principals konsumieren

Dasverbrauchendes Kontoist derAWS-Kontofür die eine Ressource gemeinsam genutzt wird. Bei der Ressourcenfreigabe kann ein ganzes Konto als Hauptkonto oder für einige Ressourcentypen einzelne Rollen oder Benutzer im Konto angegeben werden. Informationen darüber, welche Ressourcentypen diese Art der gemeinsamen Nutzung unterstützen, finden Sie unterGemeinsam nutzbare Ressourcen AWSund schauen Sie sich den anKann Rollen und Benutzer mit IAM teilenSpalte.

AWS RAMunterstützt auch Service Principals als Nutzer von Resource Shares. Informationen darüber, welche Ressourcentypen diese Art der gemeinsamen Nutzung unterstützen, finden Sie unterGemeinsam nutzbare Ressourcen AWSund schauen Sie sich den anKann mit Service Principals teilenSpalte.

Die Hauptbenutzer des Benutzerkontos können nur die Aktionen ausführen, die vonbeidesder folgenden Berechtigungen:

AWS RAMunterstützt die folgenden IAM-Prinzipaltypen als Nutzer von gemeinsam genutzten Ressourcen:

Ressourcenbasierte Richtlinie

Ressourcenbasierte Richtlinien sind JSON-Textdokumente, die IAM-Richtliniensprache implementieren. Im Gegensatz zu identitätsbasierten Richtlinien, die Sie an den Prinzipal anfügen können, wie z. B. IAM-Gruppen oder -Gruppen, fügen Sie ressourcenbasierte Richtlinien an die Ressource an.AWS RAMerstellt in Ihrem Namen ressourcenbasierte Richtlinien auf der Grundlage der Informationen, die Sie für Ihren Resource Share angeben. Sie müssen angeben:PrincipalRichtlinienelement, das bestimmt, wer auf die Ressource zugreifen kann. Weitere Informationen finden Sie unterIdentitätsbasierte Richtlinien und ressourcenbasierte Richtlinienin derIAM User Guide.

Die ressourcenbasierten Richtlinien werden generiert vonAWS RAMwerden zusammen mit allen anderen IAM-Richtlinientypen bewertet. Dazu gehören alle identitätsbasierten IAM-Richtlinien, die den Prinzipalen zugewiesen sind, die versuchen, auf die Ressource zuzugreifen, sowie Service Control Policies (SCPs) fürAWS Organizationsdas könnte gelten fürAWS-Konto. Ressourcenbasierte Richtlinien generiert vonAWS RAMunterliegen derselben Richtlinienbewertungslogik wie alle anderen IAM-Richtlinien. Vollständige Informationen zur Richtlinienbewertung und zur Bestimmung der daraus resultierenden Berechtigungen finden Sie unterAuswertungslogik für Richtlinienin derIAM User Guide.

AWS RAMbietet ein einfaches und sicheres Erlebnis beim Teilen von Ressourcen, indem easy-to-use ressourcenbasierte abstraktionsbasierte Richtlinien.

Für die Ressourcentypen, die ressourcenbasierte Richtlinien unterstützen,AWS RAMerstellt und verwaltet automatisch die ressourcenbasierten Richtlinien für Sie. Für eine bestimmte RessourceAWS RAMerstellt die ressourcenbasierte Richtlinie, indem die Informationen aus allen Ressourcenfreigaben kombiniert werden, zu denen diese Ressource gehört. Stellen Sie sich zum Beispiel einen Amazon vor SageMaker Pipeline, die Sie gemeinsam nutzenAWS RAMund in zwei verschiedene Ressourcenfreigaben einbeziehen. Sie könnten eine Ressourcenfreigabe verwenden, um Ihrer gesamten Organisation schreibgeschützten Zugriff zu gewähren. Sie könnten dann die andere Ressourcenfreigabe verwenden, um nur zu gewähren SageMaker Ausführungsberechtigungen für ein einzelnes Konto.AWS RAMkombiniert diese beiden unterschiedlichen Berechtigungssätze automatisch zu einer einzigen Ressourcenrichtlinie mit mehreren Anweisungen. Anschließend fügt es die kombinierte ressourcenbasierte Richtlinie an die Pipeline-Ressource an. Sie können sich diese zugrunde liegende Ressourcenrichtlinie ansehen, indem SieGetResourcePolicyBetrieb.AWS-Servicesverwenden Sie dann diese ressourcenbasierte Richtlinie, um jeden Prinzipal zu autorisieren, der versucht, eine Aktion mit der gemeinsam genutzten Ressource auszuführen.

Sie können die ressourcenbasierten Richtlinien zwar manuell erstellen und sie Ihren Ressourcen zuordnen, indem Sie Folgendes aufrufenPutResourcePolicy, wir empfehlen Ihnen zu verwendenAWS RAMweil es folgende Vorteile bietet:

Durch die Verwendung vonAWS RAM, können Sie sogar einige Ressourcentypen gemeinsam nutzen, die noch keine ressourcenbasierten Richtlinien unterstützen. Für solche RessourcentypenAWS RAMgeneriert automatisch eine ressourcenbasierte Richtlinie als Darstellung der tatsächlichen Berechtigungen. Benutzer können sich diese Darstellung ansehen, indem sie anrufenGetResourcePolicy. Dazu gehören folgende Ressourcentypen:

Beispiele fürAWS RAMgenerierte ressourcenbasierte Richtlinien

Wenn Sie eine EC2 Image Builder Builder-Image-Ressource mit einer Einzelperson teilenKonto,AWS RAMgeneriert eine Richtlinie, die wie das folgende Beispiel aussieht, und hängt sie an alle Bildressourcen an, die in der Ressourcenfreigabe enthalten sind.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Wenn Sie eine EC2 Image Builder Builder-Image-Ressource gemeinsam mit einemIAM-Rolle oder -Benutzerin einem anderenAWS-Konto,AWS RAMgeneriert eine Richtlinie, die wie das folgende Beispiel aussieht, und hängt sie an alle Bildressourcen an, die in der Ressourcenfreigabe enthalten sind.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Wenn Sie eine EC2 Image Builder Builder-Image-Ressource mit allen Konten in einer Organisation oder mit den Konten einer Organisationseinheit gemeinsam nutzen,AWS RAMgeneriert eine Richtlinie, die wie das folgende Beispiel aussieht, und fügt sie allen Bildressourcen hinzu, die in der Ressourcenfreigabe enthalten sind.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Auswirkungen der Verwendung"Principal": "*"in einer ressourcenbasierten Politik

Wenn Sie einschließen"Principal": "*"In einer ressourcenbasierten Richtlinie gewährt die Richtlinie Zugriff auf alle IAM-Prinzipale in dem Konto, das die Ressource enthält, vorbehaltlich aller Einschränkungen, die durch eineConditionElement, falls es existiert. ExplizitDenyAussagen in allen Richtlinien, die für den aufrufenden Principal gelten, haben Vorrang vor den durch diese Richtlinie gewährten Berechtigungen. Jedoch einimplizit Deny(was das Fehlen einesnicht jugendfrei Allow) in allen geltenden Identitäts-, Berechtigungsgrenzen- oder Sitzungsrichtliniennichtresultiert inDenyan die Schulleiter, die im Rahmen einer solchen ressourcenbasierten Richtlinie Zugriff auf eine Aktion erhalten haben.

Wenn dieses Verhalten für Ihr Szenario nicht wünschenswert ist, können Sie dieses Verhalten einschränken, indem Sie einnicht jugendfrei DenyErklärung zu einer Identitätsrichtlinie, einer Berechtigungsgrenze oder einer Sitzungsrichtlinie, die sich auf die entsprechenden Rollen und Benutzer auswirkt.

Verwaltete Berechtigungen

Verwaltete Berechtigungen definieren, welche Aktionen Prinzipale unter welchen Bedingungen für unterstützte Ressourcentypen in einer Ressourcenfreigabe ausführen können. Wenn Sie eine Ressourcenfreigabe erstellen, müssen Sie angeben können, welche verwalteten Berechtigungen Sie für die einzelnen in der Ressourcenfreigabe enthaltenen Ressourcentypen verwenden können. Eine verwaltete Berechtigung listet den Satz vonactionsundBedingungendass Principals mit der gemeinsam genutzten Ressource arbeiten könnenAWS RAM.

Sie können nur eine verwaltete Berechtigung für jeden Ressourcentyp in einer Ressourcenfreigabe anhängen. Sie können keine Ressourcenfreigabe erstellen, bei der einige Ressourcen eines bestimmten Typs eine verwaltete Berechtigung und andere Ressourcen desselben Typs eine andere verwaltete Berechtigung verwenden. Dazu müssten Sie zwei verschiedene Ressourcenfreigaben erstellen und die Ressourcen auf diese aufteilen, sodass jeder Gruppe unterschiedliche verwaltete Berechtigungen zugewiesen werden. Es gibt zwei verschiedene Arten von verwalteten Berechtigungen:

AWS RAMverwendet verwaltete Berechtigungen als Eingabe für die Erstellung desressourcenbasierte Richtlinienfür die Ressourcen, die Sie gemeinsam nutzen.

Version mit verwalteten Berechtigungen

Jede Änderung an einer verwalteten Berechtigung wird als neue Version dieser verwalteten Berechtigung dargestellt. Die neue Version ist die Standardversion für alle neuen Ressourcenfreigaben. Für jede verwaltete Berechtigung ist immer eine Version als Standardversion festgelegt. Wenn du oderAWSerstellt eine neue Version mit verwalteten Berechtigungen, müssen Sie die verwalteten Berechtigungen für jede vorhandene Ressourcenfreigabe explizit aktualisieren. In diesem Schritt können Sie die Änderungen auswerten, bevor Sie sie auf Ihre Ressourcenfreigabe anwenden. Für alle neuen Ressourcenfreigaben wird automatisch die neue Version der verwalteten Berechtigungen für den entsprechenden Ressourcentyp verwendet.

Wenn Sie eine Ressourcenfreigabe erstellen oder aktualisieren, können Sie nur die Standardversion der angegebenen verwalteten Berechtigung anhängen. Weitere Informationen finden Sie unter AktualisierungAWS verwalteter Berechtigungen auf eine neuere Version.