Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Steuerung des Konsolenzugriffs mit ressourcenbasierten Richtlinien und Richtlinien zur Ressourcenkontrolle

AWS Sign-In unterstützt ressourcenbasierte Richtlinien und Resource Control Policies (RCPs) zur Zugriffskontrolle. AWS Sign-In Verwenden Sie diese Richtlinien, um die Benutzeridentität und den Netzwerkstandort während des gesamten AWS-Managementkonsole Zugriffs zu überprüfen — vor, während und nach der Authentifizierung. Für Root-Benutzer überprüfen diese Richtlinien den Netzwerkstandort und die Benutzeridentität, bevor die Erfassung der Anmeldeinformationen beginnt. Anmeldeinformationen können nur eingegeben werden, wenn der Zugriff von den erwarteten Netzwerken aus erfolgt.

AWS Sign-In ressourcenbasierte Richtlinien:

Richtlinien zur Ressourcenkontrolle (RCPs):

Beide Richtlinientypen überprüfen den Zugriff vor der Authentifizierung. Dadurch wird verhindert, dass Prinzipale von unerwarteten Netzwerken aus auf die Anmeldeseite zugreifen.

Diese Richtlinien ersetzen nicht die identitätsbasierten IAM-Richtlinien, die weiterhin gelten.

AWS Sign-In ressourcenbasierte Richtlinien und RCPs gelten für die folgenden Authentifizierungsmethoden:

Diese Steuerungen gelten nicht für den programmatischen Zugriff mithilfe von Zugriffsschlüsseln (AWS SDKs oder mit SIGv4 signierte API-Aufrufe).

Wie AWS Sign-In evaluiert ressourcenbasierte Richtlinien

AWS Sign-In evaluiert die geltenden ressourcenbasierten Richtlinien oder Resource Control Policies (RCPs) an zwei Stellen während des Konsolenzugriffs: vor der Authentifizierung (die Phase vor der Authentifizierung) und nach erfolgreicher Authentifizierung (die Phase nach der Authentifizierung). Bei jeder Bewertung werden die in Ihrer Richtlinie definierten Bedingungsschlüssel überprüft. Die verfügbaren Schlüssel hängen von der Phase und der Aktion ab. Details hierzu finden Sie unter Unterstützte Bedingungsschlüssel.

Nach der Authentifizierung werden bei der Bewertung auch die identitätsbasierten Richtlinien des Prinzipals berücksichtigt. Eine IAM-Richtlinie, die die entsprechende Anmeldeaktion verweigert, kann verhindern, dass die Konsolensitzung gewährt wird, selbst wenn die Netzwerkbedingungen erfüllt sind.

Unterstützte Aktionen

AWS Sign-In Ressourcenrichtlinien (ressourcenbasierte Richtlinien und RCPs) unterstützen die folgenden Aktionen:

Unterstützte Bedingungsschlüssel

AWS Sign-In unterstützt die folgenden Bedingungsschlüssel in ressourcenbasierten Richtlinien und Ressourcenkontrollrichtlinien (RCPs). Verwenden Sie diese Schlüssel, um den Konsolenzugriff auf der Grundlage des Netzwerkstandorts und der Hauptidentität zu steuern:

Ausführliche Nutzungsregeln, Operatorkompatibilität, Kombinationsbeschränkungen und die Verfügbarkeitsmatrix nach Aktion finden Sie unterAWS Sign-In Referenz zu den Bedingungsschlüsseln.

Erste Schritte mit der Konsolen-Zugriffskontrolle mithilfe von Ressourcenrichtlinien

Voraussetzungen

Geben Sie dies --region us-east-1 für alle Schreibvorgänge auf Richtlinien an. AWS Sign-In AWS repliziert Richtlinien global aus dieser Region. Lesevorgänge können auf jede Region abzielen.

Schritt 1: Erstellen Sie Berechtigungserklärungen für Ressourcen

Erstellen Sie Berechtigungserklärungen, die Ihre Zugriffskontrollen definieren. Für alle Schreibvorgänge ist --region us-east-1 Folgendes erforderlich (der AWS Sign-In Dienst akzeptiert Richtlinienänderungen nur in dieser Region). Die verbleibenden Parameter (--source-vpc, --source-ip--requested-region,--excluded-principal) definieren die Bedingungen in Ihrer Richtlinie. --requested-region us-west-2Fügt beispielsweise eine Bedingung hinzu, die die Anmeldung auf den regionalen Anmeldeendpunkt us-west-2 einschränkt.

Beispiel — Beschränken Sie den Zugriff auf die Unternehmens-VPC:

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

Beispiel — Beschränken Sie den Zugriff auf einen bestimmten IP-Bereich:

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

Schritt 2: Konfiguration der Konsolenautorisierung aktivieren

Im folgenden Schritt wird die Durchsetzung der Richtlinien für den Anmeldevorgang an der Konsole in Ihrem Konto oder Ihrer Organisation aktiviert. Berechtigungserklärungen für Ressourcen können jederzeit erstellt werden, sie werden jedoch erst ausgewertet, wenn die Konsolenautorisierung aktiviert ist.

Für eigenständige Konten:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Für AWS-Organisationen:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

Überprüfen Sie die Konfiguration:

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

Löschen Sie die Konfiguration der Konsolenautorisierung:

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

Schritt 3: Überprüfen Sie Ihre Richtlinie

Listen Sie alle Erlaubniserklärungen auf:

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

Rufen Sie die vollständige konsolidierte Richtlinie ab:

aws signin get-resource-policy \
  --region <your-region>

Der get-resource-policy Befehl gibt die vollständige ressourcenbasierte Richtlinie zurück, die aus all Ihren Berechtigungserklärungen besteht. Prüfen Sie diese Richtlinie, um sicherzustellen, dass sie Ihren beabsichtigten Zugriffskontrollen entspricht, bevor Sie den Konsolenzugriff testen.

Regionale Verfügbarkeit

APIs für die Konsolenautorisierung sind in allen AWS kommerziellen Regionen verfügbar. Sie können diese APIs von jeder Region aus aufrufen, in der Sie tätig sind.

Grundlegendes zur Richtlinienstruktur

AWS Sign-In Richtlinien enthalten zwei Anweisungen, die verschiedene Phasen des Anmeldevorgangs an der Konsole schützen:

Beide Anweisungen sind erforderlich, da die Konsolenanmeldung OAuth 2.0 verwendet, das alle drei Aktionen nacheinander durchläuft. Bei einer Richtlinie mit nur einer Anweisung bleibt die andere Phase ungeschützt. signin:PrincipalArnunterstützt die Typen Root-Benutzer, IAM-Benutzer und Rollenprinzipal. aws:PrincipalArnunterstützt alle Prinzipaltypen (Root-Benutzer, IAM-Benutzer, Verbundbenutzer, Rolle).

Beispiele für Richtlinien

Beispiel 1: RCP mit Netzwerkperimeter und ausgeschlossenen Prinzipalen

Die folgende Resource Control Policy (RCP) verweigert allen Konten in Ihrer Organisation die AWS-Managementkonsole Anmeldung von außerhalb Ihres Unternehmensnetzwerks. Bestimmte ausgeschlossene Principals sind vom Notfallzugriff ausgenommen. Da VPC-IDs nur innerhalb einer Region eindeutig sind, enthält die Richtlinie eine dritte Anweisung, die den VPC-based Zugriff auf die erwartete Region festlegt.

Die EnforceNetworkPerimeterPreAuth Anweisung dient signin:PrincipalArn dazu, ausgeschlossene Principals während der Vorauthentifizierungsphase auszunehmen. Die EnforceNetworkPerimeterPostAuth Anweisung wird verwendet, um ausgeschlossene Principals aws:PrincipalArn nach der Authentifizierung auszunehmen. Die EnforceSourceVPCRegion Anweisung stellt sicher, dass die Anforderungsregion mit der VPC-Region übereinstimmt, wodurch der Zugriff auf die erwartete Region für die angegebene VPC eingeschränkt wird.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

Diese Richtlinie:

Beispiel 2: Resource-based Richtlinie für den IP-based Zugriff mit ausgeschlossenem Prinzipal

Die folgende ressourcenbasierte Richtlinie verweigert allen Hauptbenutzern, die Anfragen von außerhalb des angegebenen IP-Bereichs stellen, den Konsolenzugriff, wobei ein ausgeschlossener Hauptbenutzer ausgenommen ist. Die Richtlinie enthält zwei Anweisungen: eine Anweisung vor der Authentifizierung, die den dienstspezifischen signin:PrincipalArn Schlüssel verwendet, und eine Anweisung nach der Authentifizierung, die den globalen Schlüssel verwendet. aws:PrincipalArn

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

Diese Richtlinie:

Bewährte Methoden

Konfigurieren Sie ausgeschlossene Prinzipale für den Zugriff auf Notfallwiederherstellungen

AWS empfiehlt, mindestens einen ausgeschlossenen Benutzer zu konfigurieren, bevor die Autorisierungsrichtlinien für die Konsole in der Produktion durchgesetzt werden. In der Phase vor der Authentifizierung schließt der signin:PrincipalArn Bedingungsschlüssel Root-Benutzer, IAM-Benutzer und Rollenprinzipale aus. In der Phase nach der Authentifizierung schließt der aws:PrincipalArn Bedingungsschlüssel alle Prinzipaltypen (Root-Benutzer, IAM-Benutzer, Verbundbenutzer, Rolle) aus.

Ausgeschlossene Principals sind optional, aber wenn Sie sie weglassen, erhöht sich das Risiko einer Kontosperrung, wenn sich die Netzwerkbedingungen unerwartet ändern oder wenn Richtlinien falsch konfiguriert sind.

Empfohlene Konfigurationsschritte für ausgeschlossene Prinzipale:

Pflegen Sie die Zugriffspfade zur Wiederherstellung

Stellen Sie sicher, dass zusätzlich zu dem oben beschriebenen ausgeschlossenen Prinzipal alternative Zugriffsmethoden verfügbar sind, falls die Autorisierungsrichtlinien der Konsole die Anmeldung unerwartet blockieren:

Testen Sie vor der Bereitstellung in der Produktion

AWS empfiehlt, keine restriktiven RCPs an das Stammverzeichnis Ihrer Organisation anzuhängen, ohne die Auswirkungen der Richtlinie auf Konten gründlich zu testen. Erstellen Sie stattdessen eine Organisationseinheit, in die Sie Ihre Konten einzeln oder zumindest in geringer Anzahl verschieben können, um sicherzustellen, dass Sie Benutzer nicht versehentlich von Schlüsselkonten ausschließen.

Arbeitsablauf beim Testen:

Design mit umfassender Abwehr

Verwenden Sie AWS Sign-In ressourcenbasierte Richtlinien und Richtlinien zur Ressourcenkontrolle als eine Ebene innerhalb einer umfassenderen Sicherheitsstrategie. AWS Sign-In Richtlinien schränken den Konsolenzugriff auf der Grundlage des Netzwerkstandorts und der Hauptidentität ein. Kombinieren Sie sie mit anderen Richtlinientypen, um umfassende Zugriffskontrollen zu erstellen:

Kontinuierliche Überwachung und Prüfung

AWS CloudTrail zeichnet automatisch alle AWS Sign-In Richtlinienbewertungen und Konfigurationsänderungen auf. Sehen Sie sich diese Ereignisse bis zu 90 Tage lang im CloudTrail Eventverlauf an. Für eine längere Aufbewahrung können Sie Ereignisse an Amazon S3 übermitteln, indem Sie einen Trail erstellen (siehe Einen Trail erstellen). Für Warnmeldungen in Echtzeit können Sie EventBridge Amazon-Regeln erstellen, die AWS Sign-In Ereignissen entsprechen, Ihren Trail so konfigurieren, dass er an eine CloudWatch Logs-Protokollgruppe übermittelt wird, um auf Metrikfiltern basierende Alarme zu erhalten, oder Ereignisse an Ihre bestehende SIEM-Lösung weiterleiten.

Anwendungsfälle

Problembehandlung bei der Zugriffskontrolle auf die Konsole

Ich kann mich aufgrund von Netzwerkbedingungen in Sign-in ressourcenbasierten Richtlinien nicht anmelden

Möglicherweise wird eine der folgenden Fehlermeldungen angezeigt, wenn der Zugriff durch eine Richtlinie verweigert wird: AWS Sign-In

Wenn Sie einen dieser Fehler sehen und der Meinung sind, dass Ihr Zugriff erlaubt werden sollte, wenden Sie sich an Ihren AWS Administrator. Sie können die CloudTrail Protokolle auf ConsoleLogin Ereignisse mit den errorMessage Begriffen „Autorisierung aufgrund einer ressourcenbasierten Richtlinie verweigert“ oder „Autorisierung aufgrund einer Ressourcenkontrollrichtlinie verweigert“ überprüfen, um festzustellen, welche Richtlinienerklärung den Zugriff verweigert hat.

Mögliche Ursachen:

Auflösung

Benutzer des IAM Identity Center-Portals: Der Konsolenzugriff über das IAM Identity Center-Portal ist derzeit nicht mit AWS Sign-In Richtlinien kompatibel, die den Zugriff auf der Grundlage von Netzwerkbedingungsschlüsseln einschränken. Um den Zugriff für Benutzer im IAM Identity Center wiederherzustellen, entfernen oder passen Sie die netzwerkbasierten Bedingungsschlüssel in Ihrer Richtlinie an oder weisen Sie diese Benutzer an, sich über eine alternative Authentifizierungsmethode anzumelden.

Für Administratoren, die dieses Problem diagnostizieren:

Ich bin von meinem Konto gesperrt, nachdem ich die Konsolenautorisierung aktiviert habe

Wenn Sie die Konsolenautorisierung konfiguriert haben und nicht mehr auf Ihr Konto zugreifen können, haben Sie möglicherweise keine ausgeschlossenen Principals konfiguriert, bevor Sie die Richtlinie durchgesetzt haben.

Je nach Kontotyp und verfügbaren Anmeldeinformationen gibt es mehrere Wege, um wieder Zugriff zu erhalten.

Option 1: Verwenden Sie den programmatischen Zugriff (AWS CLI oder SDK)

Die Autorisierungsrichtlinien für die Konsole gelten nur für die interaktive Konsolenanmeldung. Sie gelten nicht für API-Anfragen, die mit SigV4 signiert wurden. Wenn Sie programmgesteuerten Zugriff haben (z. B. vorhandene Zugriffsschlüssel, eine kontoübergreifende Rolle), verwenden Sie diesen, um die einschränkende Richtlinie aufzurufen signin:DeleteConsoleAuthorizationConfiguration und zu entfernen. Die Anmeldeinformationen, die Sie verwenden, müssen über eine Anrufberechtigung verfügen. signin:DeleteConsoleAuthorizationConfiguration Die AWSSignInResourcePolicyManagement verwaltete Richtlinie beinhaltet diese Berechtigung. AWS empfiehlt temporäre Anmeldeinformationen anstelle von langfristigen IAM-Benutzerzugriffsschlüsseln. Bei Mitgliedskonten können Administratoren von Verwaltungskonten davon ausgehen, dass sie OrganizationAccountAccessRole im Mitgliedskonto temporäre Anmeldeinformationen abrufen. Diese Rolle wird nicht automatisch in Konten eingerichtet, die eingeladen wurden, der Organisation beizutreten.

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

Oder löschen Sie bestimmte Berechtigungserklärungen:

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

Option 2: Wenden Sie sich an den AWS Support

Wenn Sie keinen programmgesteuerten Zugriff haben und den nicht OrganizationAccountAccessRole für den Kontozugriff verwenden können, wenden Sie sich an den AWS Support, um den Vorgang zur Wiederherstellung der Sperrung einzuleiten.

Der Wiederherstellungsvorgang funktioniert wie folgt:

Der Link zum Wiederherstellungsportal läuft 72 Stunden ab, nachdem AWS der Support ihn geteilt hat. Wenn Sie die Wiederherstellung innerhalb dieses Fensters nicht abschließen, wenden Sie sich an den AWS Support, um den Vorgang erneut zu starten.

Nachdem Sie den Zugriff wiedererlangt haben:

Änderungen, die ich vornehme, sind nicht immer direkt sichtbar

Richtlinienänderungen werden weltweit repliziert, aber die Replikation kann einige Minuten dauern.

Auflösung

aws signin get-resource-policy --region <your-region>

Häufig auftretende Probleme bei der Richtlinienreplikation: