Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
AWS Resource Access Manager (AWS RAM) hilft Ihnen dabei, Ihre Ressourcen sicher zwischen AWS-Konten, innerhalb Ihrer Organisation oder Organisationseinheiten (OUs) und mit AWS Identity and Access Management (IAM-) Rollen und Benutzern für unterstützte Ressourcentypen gemeinsam zu nutzen. Wenn Sie mehrere Ressourcen haben AWS-Konten, können Sie eine Ressource einmal erstellen und sie dann verwenden, AWS RAM um diese Ressource für diese anderen Konten nutzbar zu machen. Wenn Ihr Konto von verwaltet wird AWS Organizations, können Sie Ressourcen mit allen anderen Konten in der Organisation oder nur mit den Konten teilen, die zu einer oder mehreren bestimmten Organisationseinheiten gehören (OUs). Sie können Inhalte auch für bestimmte Personen AWS-Konten nach Konto-ID freigeben, unabhängig davon, ob das Konto Teil einer Organisation ist. Bei einigen unterstützten Ressourcentypen können Sie sie auch mit bestimmten IAM-Rollen und -Benutzern teilen.
Inhalt
Videoübersichten
Das folgende Video bietet eine kurze Einführung AWS RAM und beschreibt, wie eine Ressourcenfreigabe erstellt wird. Weitere Informationen finden Sie unter Einen Ressourcenanteil erstellen in AWS RAM.
Das folgende Video zeigt, wie Sie AWS verwaltete Berechtigungen auf Ihre AWS Ressourcen anwenden. Weitere Informationen finden Sie unter Verwaltung von Berechtigungen in AWS RAM.
In diesem Video wird gezeigt, wie vom Kunden verwaltete Berechtigungen nach der bewährten Methode der geringsten Rechte erstellt und verknüpft werden. Weitere Informationen finden Sie unter Erstellen und Verwenden von kundenverwalteten Berechtigungen in AWS RAM.
Vorteile von AWS RAM
Warum verwenden AWS RAM? Es bietet die folgenden Vorteile:
-
Reduziert Ihren Betriebsaufwand — Erstellen Sie eine Ressource einmal und verwenden Sie sie dann, AWS RAM um diese Ressource mit anderen Konten zu teilen. Dadurch müssen Sie keine doppelten Ressourcen in jedem Konto bereitstellen, wodurch sich der Betriebsaufwand verringert. Innerhalb des Kontos, dem die Ressource gehört, AWS RAM wird die Gewährung des Zugriffs für alle Rollen und Benutzer in diesem Konto vereinfacht, ohne dass identitätsbasierte Berechtigungsrichtlinien verwendet werden müssen.
-
Sorgt für Sicherheit und Konsistenz — Vereinfachen Sie das Sicherheitsmanagement für Ihre gemeinsam genutzten Ressourcen, indem Sie einen einzigen Satz von Richtlinien und Berechtigungen verwenden. Wenn Sie stattdessen doppelte Ressourcen in all Ihren separaten Konten erstellen würden, hätten Sie die Aufgabe, identische Richtlinien und Berechtigungen zu implementieren und diese dann für all diese Konten identisch zu halten. Stattdessen werden alle Benutzer einer AWS RAM Ressourcenfreigabe durch einen einzigen Satz von Richtlinien und Berechtigungen verwaltet. AWS RAM bietet ein einheitliches Benutzererlebnis für die gemeinsame Nutzung verschiedener Arten von AWS Ressourcen.
-
Bietet Transparenz und Überprüfbarkeit — Sehen Sie sich die Nutzungsdetails für Ihre gemeinsam genutzten Ressourcen durch die Integration AWS RAM mit Amazon an CloudWatch und AWS CloudTrail. AWS RAM bietet umfassenden Einblick in gemeinsam genutzte Ressourcen und Konten.
Was ist mit kontenübergreifendem Zugriff mit ressourcenbasierten Richtlinien?
Sie können einige Ressourcentypen gemeinsam mit anderen AWS nutzen, AWS-Konten indem Sie eine ressourcenbasierte Richtlinie anhängen, die AWS Identity and Access Management (IAM-) Prinzipale (IAM-Rollen und Benutzer) außerhalb Ihrer eigenen identifiziert. AWS-Konto Wenn Sie eine Ressource gemeinsam nutzen, indem Sie eine Richtlinie anhängen, werden die zusätzlichen Vorteile, die sich daraus ergeben, jedoch nicht genutzt. AWS RAM Durch die Verwendung erhalten AWS RAM Sie die folgenden Funktionen:
-
Sie können Daten mit einer Organisation oder einer Organisationseinheit (OU) teilen, ohne jedes einzelne aufzählen zu müssen. AWS-Konto IDs
-
Benutzer können die mit ihnen geteilten Ressourcen direkt in der ursprünglichen AWS-Service Konsole und in den API-Vorgängen sehen, als ob sich diese Ressourcen direkt im Konto des Benutzers befinden würden. Wenn Sie AWS RAM beispielsweise ein Amazon VPC-Subnetz mit einem anderen Konto teilen, können Benutzer dieses Kontos das Subnetz in der Amazon VPC-Konsole und in den Ergebnissen der Amazon VPC-API-Operationen sehen, die in diesem Konto ausgeführt wurden. Ressourcen, die durch das Anhängen einer ressourcenbasierten Richtlinie gemeinsam genutzt werden, sind auf diese Weise nicht sichtbar. Stattdessen müssen Sie die Ressource anhand ihres Amazon-Ressourcennamens (ARN) ermitteln und explizit darauf verweisen.
-
Die Besitzer einer Ressource können sehen, welche Principals Zugriff auf jede einzelne Ressource haben, die sie gemeinsam genutzt haben.
-
Wenn Sie Ressourcen mit einem Konto teilen, das nicht Teil Ihrer Organisation ist, wird ein AWS RAM Einladungsprozess eingeleitet. Der Empfänger muss die Einladung annehmen, bevor dieser Hauptbenutzer auf die gemeinsam genutzten Ressourcen zugreifen kann. Nachdem Sie die Möglichkeit zur gemeinsamen Nutzung innerhalb Ihrer Organisation aktiviert haben, sind für die gemeinsame Nutzung mit Konten in der Organisation keine Einladungen mehr erforderlich.
Wenn Sie über Ressourcen verfügen, die Sie mithilfe einer ressourcenbasierten Berechtigungsrichtlinie gemeinsam genutzt haben, können Sie diese Ressourcen zu vollständig AWS RAM verwalteten Ressourcen heraufstufen, indem Sie einen der folgenden Schritte ausführen:
-
Verwenden der PromoteResourceShareCreatedFromPolicyAPI-Betrieb.
-
Verwenden Sie das Äquivalent der API-Operation, nämlich die AWS Command Line Interface (AWS CLI) promote-resource-share-created-from-policyBefehl.
So funktioniert die gemeinsame Nutzung von Ressourcen
Wenn Sie eine Ressource des Eigentümerkontos mit einem anderen AWS-Konto, dem verbrauchenden Konto, teilen, gewähren Sie den Prinzipalen im verbrauchenden Konto Zugriff auf die gemeinsam genutzte Ressource. Alle Richtlinien und Berechtigungen, die für Rollen und Benutzer des Benutzerkontos gelten, gelten auch für die gemeinsam genutzte Ressource. Bei den Ressourcen in der Freigabe handelt es sich offenbar um systemeigene Ressourcen in der Datei, mit der AWS-Konten Sie sie geteilt haben.
Sie können sowohl globale als auch regionale Ressourcen gemeinsam nutzen. Weitere Informationen finden Sie unter Gemeinsame Nutzung regionaler Ressourcen im Vergleich zu globalen Ressourcen.
Teilen Sie Ihre Ressourcen
Mit können Sie Ressourcen AWS RAM, die Sie besitzen, gemeinsam nutzen, indem Sie eine gemeinsame Nutzung erstellen. Um eine Ressourcenfreigabe zu erstellen, geben Sie Folgendes an:
-
Die, AWS-Region in der Sie die Ressourcenfreigabe erstellen möchten. In der Konsole wählen Sie aus dem Dropdownmenü Region in der oberen rechten Ecke der Konsole eine Auswahl aus. In der AWS CLI verwenden Sie den Parameter.
--region-
Eine Ressourcenfreigabe kann nur regionale Ressourcen enthalten, die sich in derselben AWS-Region Ressourcenfreigabe befinden.
-
Eine Ressourcenfreigabe kann nur globale Ressourcen enthalten, wenn sich die Ressourcenfreigabe in der für globale Ressourcen vorgesehenen Heimatregion, USA Ost (Nord-Virginia), befindet
us-east-1.
-
-
Ein Name für die Ressourcenfreigabe.
-
Die Liste der Ressourcen, auf die Sie im Rahmen dieser Ressourcenfreigabe Zugriff gewähren möchten.
-
Die Principals, denen Sie Zugriff auf die Ressourcenfreigabe gewähren. Prinzipale können individuell sein AWS-Konten, die Konten in einer Organisation oder Organisationseinheit (OU) oder einzelne Rollen oder Benutzer AWS Identity and Access Management (IAM). AWS Organizations
Anmerkung
Nicht alle Ressourcentypen können mit IAM-Rollen und Benutzern geteilt werden. Informationen zu Ressourcen, die Sie mit diesen Prinzipalen gemeinsam nutzen können, finden Sie unter. Gemeinsam nutzbare Ressourcen AWS
-
Eine verwaltete Berechtigung zur Zuordnung zu jedem Ressourcentyp, den Sie in eine Ressourcenfreigabe aufnehmen. Die verwaltete Berechtigung bestimmt, was die Prinzipale in den anderen Konten mit den Ressourcen in der Ressourcenfreigabe tun können.
Das Verhalten der Berechtigung hängt vom Typ des Hauptbenutzers ab:
-
Befindet sich der Prinzipal in einem anderen Konto als dem Konto, dem die Ressource gehört, sind die mit der Ressourcenfreigabe verknüpften Berechtigungen die maximalen Berechtigungen, die Rollen und Benutzern in diesen Konten gewährt werden können. Der Administrator dieser Konten muss dann einzelnen Rollen und Benutzern mithilfe identitätsbasierter IAM-Richtlinien Zugriff auf die gemeinsam genutzte Ressource gewähren. Die in diesen Richtlinien gewährten Berechtigungen dürfen die Berechtigungen nicht überschreiten, die in den mit der Ressourcenfreigabe verknüpften Berechtigungen definiert sind.
-
Das Konto, das die Ressource besitzt, behält das volle Eigentum an den Ressourcen, die es gemeinsam nutzt.
Nutzung gemeinsam genutzter Ressourcen
Wenn der Eigentümer einer Ressource sie mit Ihrem Konto teilt, können Sie auf die gemeinsam genutzte Ressource genauso zugreifen, als ob sie Ihrem Konto gehört. Sie können auf die Ressource zugreifen, indem Sie die Konsole, AWS CLI Befehle und API-Operationen des jeweiligen Dienstes verwenden. Die API-Operationen, die Principals in Ihrem Konto ausführen dürfen, variieren je nach Ressourcentyp und werden durch die der Ressourcenfreigabe zugeordnete AWS RAM Berechtigung spezifiziert. Alle in Ihrem Konto konfigurierten IAM-Richtlinien und Servicesteuerungsrichtlinien gelten ebenfalls weiterhin, sodass Sie Ihre bestehenden Investitionen in Sicherheits- und Governance-Kontrollen nutzen können.
Wenn Sie mithilfe des Dienstes dieser Ressource auf eine gemeinsam genutzte Ressource zugreifen, haben Sie dieselben Fähigkeiten und Einschränkungen wie die Person AWS-Konto , der die Ressource gehört.
-
Wenn es sich bei der Ressource um eine regionale Ressource handelt, können Sie nur von dem Konto aus darauf zugreifen, AWS-Region in dem sie im Eigentümerkonto vorhanden ist.
-
Wenn es sich um eine globale Ressource handelt, können Sie von jeder Ressource aus darauf zugreifen AWS-Region , die von der Servicekonsole und den Tools der Ressource unterstützt wird. Sie können die gemeinsam genutzte Ressource und ihre globalen Ressourcen in der AWS RAM Konsole und in den Tools nur in der angegebenen Heimatregion, USA Ost (Nord-Virginia), anzeigen und verwalten
us-east-1.
Zugreifen AWS RAM
Sie können auf eine AWS RAM der folgenden Arten damit arbeiten:
- AWS RAM Konsole
-
AWS RAM bietet eine webbasierte Benutzeroberfläche, die AWS RAM Konsole. Wenn Sie sich für eine angemeldet haben AWS-Konto, können Sie auf die AWS RAM Konsole zugreifen, indem Sie sich auf der Startseite der Konsole anmelden AWS Management Console
und dort eine AWS RAM Auswahl treffen. Sie können in Ihrem Browser auch direkt zur AWS RAM Konsole
navigieren. Wenn Sie noch nicht angemeldet sind, werden Sie aufgefordert, dies zu tun, bevor die Konsole angezeigt wird. - AWS CLI und Tools für Windows PowerShell
-
Die AWS CLI und AWS Tools for PowerShell bieten direkten Zugriff auf die AWS RAM öffentlichen API-Operationen. AWS unterstützt diese Tools auf Windows, macOS, und Linux. Weitere Informationen zu den ersten Schritten finden Sie im AWS Command Line Interface Benutzerhandbuch oder im AWS Tools for Windows PowerShell Benutzerhandbuch. Weitere Informationen zu den Befehlen für AWS RAM finden Sie in der AWS CLI Befehlsreferenz oder der AWS Tools for Windows PowerShell Cmdlet-Referenz.
- AWS SDKs
-
AWS stellt API-Befehle für eine Vielzahl von Programmiersprachen bereit. Weitere Informationen zu den ersten Schritten finden Sie im Referenzhandbuch AWS SDKs und im Tools-Referenzhandbuch.
- Abfrage-API
-
Wenn Sie keine der unterstützten Programmiersprachen verwenden, erhalten Sie mit der AWS RAM HTTPS-Abfrage-API programmatischen Zugriff auf AWS RAM und AWS. Mit der AWS RAM API können Sie HTTPS-Anfragen direkt an den Dienst senden. Wenn Sie die AWS RAM API verwenden, müssen Sie Code hinzufügen, um Anfragen mit Ihren Anmeldeinformationen digital zu signieren. Weitere Informationen finden Sie in der AWS RAM -API-Referenz.
Preisgestaltung für AWS RAM
Es fallen keine zusätzlichen Gebühren für die Nutzung AWS RAM oder Erstellung von Resource Shares und die gemeinsame Nutzung Ihrer Ressourcen für mehrere Konten an. Nutzungsabhängige Gebühren von Ressourcen variieren je nach Ressourcentyp. Weitere Informationen darüber, wie gemeinsam nutzbare Ressourcen in AWS Rechnung gestellt werden, finden Sie in der Dokumentation für den Dienst, der die Ressource besitzt.
Einhaltung der Vorschriften und internationale Standards
PCI DSS
AWS RAM unterstützt die Verarbeitung, Speicherung und Übertragung von Kreditkartendaten durch einen Händler oder Dienstleister und wurde als konform mit dem Payment Card Industry (PCI) Data Security Standard (DSS) validiert.
Weitere Informationen über PCI DSS, einschließlich der Anforderung einer Kopie des AWS
PCI Compliance Package, finden Sie unter PCI DSS Level 1
FedRAMP
AWS RAM ist in den folgenden Ländern als FedRAMP Moderate zugelassen AWS-Regionen: USA Ost (Nord-Virginia), USA Ost (Ohio), USA West (Nordkalifornien) und USA West (Oregon).
AWS RAM ist in den folgenden Ländern als FedRAMP High zugelassen AWS-Regionen: AWS GovCloud (US-West) und AWS GovCloud (US-Ost).
Das Federal Risk and Authorization Management Program (FedRAMP) ist ein US-Bundesprogramm, das einen Standardansatz für die Sicherheitsprüfung, Autorisierung und die laufende Überwachung von Cloud-Produkten und -Services bereitstellt..
Weitere Informationen zur FedRAMP-Konformität finden Sie unter FedRAMP.
SOC und ISO
AWS RAM kann für Workloads verwendet werden, die der Einhaltung von Service Organization Control (SOC) und den Normen ISO 9001, ISO 27001, ISO 27017, ISO 27018 und ISO 27701 der Internationalen Organisation für Normung (ISO) unterliegen. Kunden aus den Bereichen Finanzen, Gesundheitswesen und anderen regulierten Branchen können Einblicke in die Sicherheitsprozesse und -kontrollen zum Schutz von Kundendaten erhalten. Diese Informationen finden Sie in den SOC-Berichten sowie den ISO- und CSA STAR-Zertifikaten unter. AWS AWS Artifact
Weitere Informationen zur SOC-Konformität finden Sie unter SOC.
Weitere Informationen zur ISO-Konformität finden Sie unter ISO 9001
