Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Identity and Access Management in Amazon S3

Sie können AWS Identity and Access Management (IAM) mit Amazon Simple Email Service (Amazon SES) verwenden, um anzugeben, welche SES-API-Aktionen ein Benutzer, eine Gruppe oder eine Rolle ausführen kann. (In diesem Thema bezeichnen wir diese Entitäten zusammen als Benutzer.) Sie können auch steuern, welche E-Mail-Adressen der Benutzer für die Adressen "From", Empfänger und "Return-Path" der E-Mails verwenden kann.

Sie können beispielsweise eine IAM-Richtlinie erstellen, die Benutzern in Ihrer Organisation ermöglicht, E-Mails zu senden, aber keine administrativen Aktionen, wie die Überprüfung von Sendestatistiken, durchzuführen. Ein weiteres Beispiel: Sie können eine Richtlinie schreiben, mit der ein Benutzer E-Mails über SES von Ihrem Konto senden kann, aber nur, wenn eine bestimmte "From"-Adresse verwendet wird.

Zur Verwendung von IAM definieren Sie eine IAM-Richtlinie, also ein Dokument, das explizit Berechtigungen definiert, und die Richtlinie einem Benutzer zuweist. Weitere Informationen zum Erstellen von IAM-Richtlinien finden Sie im IAM-Benutzerhandbuch. Abgesehen vom Anwenden der Einschränkungen, die Sie in Ihrer Richtlinie festlegen, gibt es keine Änderungen daran, wie Benutzer mit SES interagieren oder darin, wie SES Anfragen ausführt.

Wenn Sie erfahren möchten, wie SES-SMTP-Anmeldeinformationen für einen bestehenden Benutzer generiert werden, lesen Sie unter Abrufen von SES SMTP Amazon-Anmeldeinformationen nach.

Erstellen von IAM-Richtlinien für den Zugriff auf SES

In diesem Abschnitt wird erklärt, wie Sie IAM-Richtlinien speziell mit SES verwenden können. Weitere allgemeine Informationen zum Erstellen von IAM-Richtlinien finden Sie im IAM-Benutzerhandbuch.

Es gibt drei Gründe, IAM ggf. mit SES zu verwenden:

Beschränken der Aktion

Um zu steuern, welche SES-Aktionen ein Benutzer durchführen kann, verwenden Sie das Action-Element einer IAM-Richtlinie. Sie können das Action-Element auf eine beliebige SES-API-Aktion festlegen, indem Sie dem API-Namen die kleingeschriebene Zeichenfolge ses: voranstellen. Sie können beispielsweise Action auf ses:SendEmail, ses:GetSendStatistics oder ses:* festlegen (für alle Aktionen).

Geben Sie dann je nach Action das Resource-Element wie folgt an:

Wenn das Action-Element nur Zugriff auf APIs zum Senden von E-Mails erlaubt (d. h. ses:SendEmail und/oder ses:SendRawEmail):

Wenn das Action-Element den Zugriff auf alle APIs erlaubt:

Eine Liste der verfügbaren SES-Aktionen finden Sie in der Amazon Simple Email Service API Reference. Wenn der Benutzer die SMTP-Schnittstelle verwenden möchte, müssen Sie mindestens den Zugriff auf ses:SendRawEmail erlauben.

Beschränken von E-Mail-Adressen

Wenn Sie den Benutzer auf bestimmte E-Mail-Adressen beschränken möchten, können Sie einen Condition-Block verwenden. Im Condition-Block geben Sie Bedingungen mithilfe von Bedingungsschlüsseln an, wie im IAM-Benutzerhandbuch beschrieben. Durch die Nutzung von Bedingungsschlüsseln können Sie die folgenden E-Mail-Adressen steuern:

Einschränken durch die SES-API-Version

Durch die Verwendung des ses:ApiVersion-Schlüssels in Bedingungen können Sie den Zugriff auf SES basierend auf der Version der SES API einschränken.

Beschränken der allgemeinen API-Nutzung

Durch die Verwendung von AWS-weiten Schlüsseln in Bedingungen können Sie den Zugriff auf SES anhand von Aspekten wie dem Datum und der Uhrzeit einschränken, zu der der Benutzer Zugriff auf APIs erhält. SES implementiert nur die folgenden AWS-weiten Richtlinienschlüssel:

Weitere Informationen zu diesen Schlüsseln finden Sie im IAM-Benutzerhandbuch.

Beispiel-IAM-Richtlinien für SES

In diesem Thema finden Sie Beispiele für Richtlinien, die einen Benutzerzugriff auf SES ermöglichen, jedoch nur unter bestimmten Bedingungen.

Berechtigen von Vollzugriff auf alle SES-Aktionen

Mit der folgenden Richtlinie können Benutzer jede beliebige SES-Aktion aufrufen.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:*"
      ],
      "Resource":"*"
    }
  ]
}

Zulassen des Zugriffs nur auf SES API Version 2

Mit der folgenden Richtlinie können Benutzer nur die SES-Aktionen der API Version 2 aufrufen.

{
  		                 "Version":"2012-10-17",
  		                 "Statement":[
  		                     {
  		                         "Effect":"Allow",
  		                         "Action":[
  		                         "ses:*"
  		                         ],
  		                         "Resource":"*",
  		                         "Condition": {
  		                             "StringEquals" : {
  		                             "ses:ApiVersion" : "2"
  		                             }
  		                         }
  		                     }
  		                 ]
  		             }

Erlauben von Zugriff nur auf Aktionen für den E-Mail-Versand

Mit der folgenden Richtlinie kann ein Benutzer E-Mails mithilfe von SES senden, aber keine administrativen Aktionen durchführen, wie z. B. den Zugriff auf SES-Sendestatistiken.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*"
    }
  ]
}

Beschränken des Sendezeitraums

Mit der folgenden Richtlinie kann ein Benutzer SES-APIs für den E-Mail-Versand nur im Monat September 2018 aufrufen.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "DateGreaterThan":{
          "aws:CurrentTime":"2018-08-31T12:00Z"
        },
        "DateLessThan":{
          "aws:CurrentTime":"2018-10-01T12:00Z"
        }
      }
    }
  ]
}

Beschränken der Empfängeradressen

Mit der folgenden Richtlinie können Benutzer die SES-APIs für den E-Mail-Versand aufrufen, aber nur an Empfängeradressen in der Domäne example.com (bei StringLike wird die Groß- und Kleinschreibung unterschieden).

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringLike":{
          "ses:Recipients":[
            "*@example.com"
          ]
        }
      }
    }
  ]
}

Beschränken der "From"-Adresse

Mit der folgenden Richtlinie kann ein Benutzer die SES-APIs für den E-Mail-Versand aufrufen, aber nur, wenn die „From“-Adresse marketing@example.com lautet.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "ses:FromAddress":"marketing@example.com"
        }
      }
    }
  ]
}

Die folgende Richtlinie erlaubt es einem Benutzer, die SendBounceAPI aufzurufen, jedoch nur, wenn die Absenderadresse bounce@example.com lautet.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendBounce"
      ],
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "ses:FromAddress":"bounce@example.com"
        }
      }
    }
  ]
}

Beschränken des Anzeigenamens des E-Mail-Absenders

Mit der folgenden Richtlinie können Benutzer die SES-APIs für den E-Mail-Versand aufrufen, aber nur, wenn der Anzeigename der „From“ (Von)-Adresse Marketing enthält (bei StringLike wird die Groß- und Kleinschreibung unterschieden).

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "StringLike":{
          "ses:FromDisplayName":"Marketing"
        }
      }
    }
  ]
}

Beschränken der Zieladresse des Unzustellbarkeits- und Beschwerde-Feedbacks

Mit der folgenden Richtlinie kann ein Benutzer die SES-APIs für den E-Mail-Versand aufrufen, aber nur, wenn die „Return-Path“-Adresse der E-Mail feedback@example.com lautet.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "ses:SendEmail",
        "ses:SendRawEmail"
      ],
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "ses:FeedbackAddress":"feedback@example.com"
        }
      }
    }
  ]
}