Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # So funktioniert AWS Security Agent mit IAM Bevor Sie IAM den Zugriff auf AWS Security Agent verwalten, sollten Sie sich darüber informieren, welche IAM Funktionen mit AWS Security Agent verwendet werden können. | IAM-Feature | Unterstützung für AWS Security Agent | | --- | --- | | [Identity-based Richtlinien für AWS Security Agent](#security_iam_service-with-iam-id-based-policies) | Ja | | [Resource-based Richtlinien innerhalb von AWS Security Agent](#security_iam_service-with-iam-resource-based-policies) | Nein | | [Richtlinienaktionen für AWS Security Agent](#security_iam_service-with-iam-id-based-policies-actions) | Ja | | [Richtlinienressourcen für AWS Security Agent](#security_iam_service-with-iam-id-based-policies-resources) | Teilweise | | [Schlüssel für Richtlinienbedingungen für AWS Security Agent](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja | | [Zugriffskontrolllisten (ACLs) im AWS Security Agent](#security_iam_service-with-iam-acls) | Nein | | [Attribute-based Zugriffskontrolle (ABAC) mit AWS Security Agent](#security_iam_service-with-iam-tags) | Nein | | [Temporäre Anmeldeinformationen mit AWS Security Agent verwenden](#security_iam_service-with-iam-roles-tempcreds) | Ja | | [Zugriffssitzungen für AWS Security Agent weiterleiten](#security_iam_service-with-iam-principal-permissions) | Ja | | [Servicerollen für AWS Security Agent](#security_iam_service-with-iam-roles-service) | Nein | | [Service-linked Rollen für AWS Security Agent](#security_iam_service-with-iam-roles-service-linked) | Ja | Einen umfassenden Überblick darüber, wie AWS Security Agent und andere AWS-Services Unternehmen [AWS-Services damit arbeiten IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html), finden Sie IAM im *IAM-Benutzerhandbuch*. ## Identity-based Richtlinien für AWS Security Agent **Unterstützt Richtlinien auf Identitätsbasis:** Ja Identity-based Richtlinien sind Richtliniendokumente für JSON-Berechtigungen, die Sie an eine Identität anhängen können, z. B. an einen IAM-Benutzer, eine Benutzergruppe oder eine Rolle. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Mit IAM identitätsbasierten Richtlinien können Sie zulässige oder verweigerte Aktionen und Ressourcen sowie die Bedingungen angeben, unter denen Aktionen zulässig oder verweigert werden. Sie können den Prinzipal nicht in einer identitätsbasierten Richtlinie angeben, da er für den Benutzer oder die Rolle gilt, der er zugeordnet ist. Weitere Informationen zu allen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie im *IAM-Benutzerhandbuch* unter [Referenz zu IAM JSON-Richtlinienelementen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html). ### Identity-based Richtlinienbeispiele für AWS Security Agent Beispiele für identitätsbasierte Richtlinien von AWS Security Agent finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Security Agent](security-iam-id-based-policy-examples.md) ### Resource-based Richtlinien innerhalb von AWS Security Agent **Unterstützt ressourcenbasierte Richtlinien:** Nein Resource-based Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anhängen. Beispiele für ressourcenbasierte Richtlinien sind IAM-Rollen-Vertrauensrichtlinien und Amazon-S3-Bucket-Richtlinien. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder AWS-Services gehören. Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Durch das Hinzufügen eines kontoübergreifenden Auftraggebers zu einer ressourcenbasierten Richtlinie ist nur die halbe Vertrauensbeziehung eingerichtet. Wenn sich der Principal und die Ressource in unterschiedlichen AWS-Konten befinden, muss ein IAM-Administrator des vertrauenswürdigen Kontos auch der Prinzipalentität (Benutzer oder Rolle) die Erlaubnis erteilen, auf die Ressource zuzugreifen. Sie erteilen Berechtigungen, indem Sie der juristischen Stelle eine identitätsbasierte Richtlinie anfügen. Wenn jedoch eine ressourcenbasierte Richtlinie Zugriff auf einen Prinzipal in demselben Konto gewährt, ist keine zusätzliche identitätsbasierte Richtlinie erforderlich. Weitere Informationen finden Sie unter [Kontenübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im IAM-Benutzerhandbuch. ### Richtlinienaktionen für AWS Security Agent **Unterstützt Aktionen** Ja Administratoren können mithilfe von AWS-JSON-Richtlinien festlegen, wer zum Zugriff auf was berechtigt ist. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das `Action` Element einer IAM identitätsbasierten Richtlinie beschreibt die spezifischen Aktionen, die durch die Richtlinie zugelassen oder verweigert werden. Richtlinienaktionen haben normalerweise denselben Namen wie der zugehörige AWS API-Vorgang. Die Aktion wird in einer Richtlinie verwendet, um Berechtigungen zur Durchführung der zugehörigen Aktion zu gewähren. Richtlinienaktionen in AWS Security Agent verwenden das folgende Präfix vor der Aktion:`securityagent:`. Um beispielsweise jemandem die Erlaubnis zu erteilen, eine Umgebung mit dem AWS Security Agent `CreateEnvironment` API-Vorgang zu erstellen, nehmen Sie die `securityagent:CreateEnvironment` Aktion in seine Richtlinie auf. Richtlinienanweisungen müssen entweder ein – `Action`oder ein `NotAction`-Element enthalten. Der AWS Security Agent definiert seine eigenen Aktionen, die Aufgaben beschreiben, die Sie mit diesem Service ausführen können. Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie wie folgt durch Kommata: ``` "Action": [ "securityagent:action1", "securityagent:action2" ``` Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `List` beginnen, einschließlich der folgenden Aktion: ``` "Action": "securityagent:List*" ``` ### Richtlinienressourcen für AWS Security Agent **Unterstützt Richtlinienressourcen:** teilweise Administratoren können mithilfe von AWS-JSON-Richtlinien festlegen, wer zum Zugriff auf was berechtigt ist. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Anweisungen müssen entweder ein – `Resource`oder ein `NotResource`-Element enthalten. Als bewährte Methode geben Sie eine Ressource mit dem zugehörigen Amazon-Ressourcennamen (ARN) an. Sie können dies für Aktionen tun, die einen bestimmten Ressourcentyp unterstützen, der als *Berechtigungen auf Ressourcenebene* bezeichnet wird. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, z. B. Auflistungsoperationen, einen Platzhalter (\*), um anzugeben, dass die Anweisung für alle Ressourcen gilt. ``` "Resource": "*" ``` Einige AWS-Security-Agent-API-Aktionen unterstützen mehrere Ressourcen. Beispielsweise können beim Aufrufen der `ListEnvironments` API-Aktion mehrere Umgebungen referenziert werden. Um mehrere Ressourcen in einer einzigen Anweisung anzugeben, trennen Sie die ARNs durch Kommata voneinander. ``` "Resource": [ "EXAMPLE-RESOURCE-1", "EXAMPLE-RESOURCE-2" ``` Die AWS Security Agent-Umgebungsressource hat beispielsweise den folgenden ARN: ``` arn:${Partition}:securityagent:${Region}:${Account}:environment/${EnvironmentId} ``` Verwenden Sie zur Angabe der Umgebungen `my-environment-1` und `my-environment-2` in Ihrer Erklärung die folgenden Beispiel-ARNs: ``` "Resource": [ "arn:aws:securityagent:us-east-1:123456789012:environment/my-environment-1", "arn:aws:securityagent:us-east-1:123456789012:environment/my-environment-2" ``` Um alle Umgebungen anzugeben, die zu einem bestimmten Konto gehören, verwenden Sie den Platzhalter (\*): ``` "Resource": "arn:aws:securityagent:us-east-1:123456789012:environment/*" ``` ### Schlüssel für Richtlinienbedingungen für AWS Security Agent **Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja Administratoren können mithilfe von AWS-JSON-Richtlinien festlegen, wer zum Zugriff auf was berechtigt ist. Das heißt, welcher **Prinzipal** kann **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen. Mit dem `Condition` Element (oder `Condition` Block) können Sie Bedingungen angeben, unter denen eine Anweisung gültig ist. Das Element `Condition` ist optional. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Wenn Sie mehrere `Condition`-Elemente in einer Anweisung oder mehrere Schlüssel in einem einzelnen `Condition`-Element angeben, wertet AWS diese mittels einer logischen `AND`-Operation aus. Wenn Sie mehrere Werte für einen einzelnen Bedingungsschlüssel angeben, AWS wertet die Bedingung mithilfe einer logischen `OR` Operation aus. Alle Bedingungen müssen erfüllt sein, bevor die Berechtigungen für die Anweisung erteilt werden. Sie können bei der Angabe von Bedingungen auch Platzhaltervariablen verwenden. Sie können beispielsweise nur dann eine IAM-Benutzer Zugriffsberechtigung für eine Ressource erteilen, wenn sie mit ihrem IAM-Benutzer Namen gekennzeichnet ist. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [IAM Richtlinienelemente: Variablen und Tags](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html). AWS Security Agent definiert seinen eigenen Satz von Bedingungsschlüsseln und unterstützt auch die Verwendung einiger globaler Bedingungsschlüssel. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontext-Schlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*. ## Zugriffskontrolllisten (ACLs) im AWS Security Agent **Unterstützt ACLs:** Nein Zugriffssteuerungslisten (ACLs) steuern, welche Prinzipale (Kontomitglieder, Benutzer oder Rollen) auf eine Ressource zugreifen können. ACLs sind ähnlich wie ressourcenbasierte Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat. ## Attribute-based Zugriffskontrolle (ABAC) mit AWS Security Agent **Unterstützt ABAC (Tags in Richtlinien):** Nein ## Temporäre Anmeldeinformationen mit AWS Security Agent verwenden **Unterstützt temporäre Anmeldeinformationen:** Ja Einige AWS-Services funktionieren nicht, wenn Sie sich mit temporären Anmeldeinformationen anmelden. Weitere Informationen, einschließlich der Frage, welche AWS-Services mit temporären Anmeldeinformationen funktionieren, finden Sie im [*IAM-Benutzerhandbuch unter AWS-Services, die mit IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Sie verwenden temporäre Anmeldeinformationen, wenn Sie sich mit einer anderen Methode als einem Benutzernamen und einem Passwort bei der AWS-Managementkonsole anmelden. Wenn Sie beispielsweise über den Single Sign-On (SSO) -Link Ihres Unternehmens auf AWS zugreifen, erstellt dieser Prozess automatisch temporäre Anmeldeinformationen. Sie erstellen auch automatisch temporäre Anmeldeinformationen, wenn Sie sich als Benutzer bei der Konsole anmelden und dann die Rollen wechseln. Weitere Informationen zum Wechseln von Rollen finden Sie unter [Wechseln von einer Benutzerrolle zu einer IAM-Rolle (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) im *IAM-Benutzerhandbuch*. Sie können mithilfe der AWS-CLI oder der AWS-API manuell temporäre Anmeldeinformationen erstellen. Sie können diese temporären Anmeldeinformationen dann für den Zugriff auf AWS verwenden. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Sicherheitsanmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html). ## Zugriffssitzungen für AWS Security Agent weiterleiten **Unterstützt Forward Access Sessions (FAS):** Ja Wenn Sie einen IAM-Benutzer oder eine IAM-Rolle verwenden, um Aktionen in AWS auszuführen, gelten Sie als Principal. Bei einigen Services könnte es Aktionen geben, die dann eine andere Aktion in einem anderen Service initiieren. FAS verwendet die Berechtigungen des Prinzipals, der einen AWS-Service aufruft, in Kombination mit dem anfordernden AWS-Service, um Anfragen an nachgelagerte Services zu stellen. FAS-Anfragen werden nur gestellt, wenn ein Service eine Anfrage erhält, für deren Abschluss Interaktionen mit anderen AWS-Services oder -Ressourcen erforderlich sind. In diesem Fall müssen Sie über Berechtigungen zum Ausführen beider Aktionen verfügen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Servicerollen für AWS Security Agent **Unterstützt Servicerollen:** Nein Eine Servicerolle ist eine IAM-Rolle, die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*. ## Service-linked Rollen für AWS Security Agent **Unterstützt serviceverknüpfte Rollen:** Ja Eine serviceverknüpfte Rolle ist eine Art von Servicerolle, die mit einem AWS-Service verknüpft ist. Der Service kann die Rolle übernehmen, eine Aktion in Ihrem Namen auszuführen. Service-linked Rollen erscheinen in Ihrem AWS-Konto und gehören dem Service. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.