View a markdown version of this page

Checkliste: Konfiguration von ABAC in AWS mithilfe von IAM Identity Center - AWS IAM Identity Center

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Checkliste: Konfiguration von ABAC in AWS mithilfe von IAM Identity Center

Diese Checkliste enthält die Konfigurationsaufgaben, die zur Vorbereitung Ihrer AWS Ressourcen und zur Einrichtung von IAM Identity Center für den ABAC-Zugriff erforderlich sind. Führen Sie die Aufgaben in dieser Checkliste der Reihe nach aus. Wenn ein Referenzlink Sie zu einem Thema führt, kehren Sie zu diesem Thema zurück, damit Sie mit den verbleibenden Aufgaben in dieser Checkliste fortfahren können.

Schritt Aufgabe Referenz
1 Lesen Sie, wie Sie Stichwörter zu all Ihren AWS Ressourcen hinzufügen. Um ABAC in IAM Identity Center zu implementieren, müssen Sie zunächst allen AWS Ressourcen, für die Sie ABAC implementieren möchten, Tags hinzufügen.
2 Erfahren Sie, wie Sie Ihre Identitätsquelle im IAM Identity Center mit den zugehörigen Benutzeridentitäten und Attributen in Ihrem Identitätsspeicher konfigurieren. Mit IAM Identity Center können Sie Benutzerattribute aus jeder unterstützten IAM Identity Center-Identitätsquelle für ABAC in verwenden. AWS
3 Ermitteln Sie anhand der folgenden Kriterien, welche Attribute Sie für Entscheidungen zur Zugriffskontrolle in IAM Identity Center verwenden möchten, AWS und senden Sie sie an IAM Identity Center.

  • Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, entscheiden Sie, ob Sie vom IdP übergebene Attribute verwenden oder Attribute aus IAM Identity Center auswählen möchten.

  • Wenn Sie sich dafür entscheiden, dass Ihr IdP Attribute sendet, konfigurieren Sie Ihren IdP so, dass er die Attribute in SAML-Assertionen überträgt. Lesen Sie die Optional Abschnitte im Tutorial für Ihren spezifischen IdP.

  • Wenn Sie einen IdP als Identitätsquelle verwenden und Attribute im IAM Identity Center auswählen, sollten Sie untersuchen, wie Sie SCIM so konfigurieren, dass die Attributwerte von Ihrem IdP stammen. Wenn Sie SCIM nicht mit Ihrem IdP verwenden können, fügen Sie die Benutzer und ihre Attribute über die Benutzerseite der IAM Identity Center Console hinzu.

  • Wenn Sie Active Directory oder IAM Identity Center als Identitätsquelle verwenden oder einen IdP verwenden und Attribute im IAM Identity Center auswählen, überprüfen Sie die verfügbaren Attribute, die Sie konfigurieren können. Fahren Sie dann sofort mit Schritt 4 fort, um mit der Konfiguration Ihrer ABAC-Attribute mithilfe der IAM Identity Center-Konsole zu beginnen.
4

Wählen Sie auf der Seite „Attribute für die Zugriffskontrolle“ in der IAM Identity Center-Konsole die Attribute aus, die für ABAC verwendet werden sollen. Auf dieser Seite können Sie Attribute für die Zugriffskontrolle aus der Identitätsquelle auswählen, die Sie in Schritt 2 konfiguriert haben. Nachdem Ihre Identitäten und ihre Attribute im IAM Identity Center gespeichert sind, müssen Sie Schlüssel-Wert-Paare (Zuordnungen) erstellen, die AWS-Konten zur Verwendung bei Zugriffskontrollentscheidungen an Sie weitergegeben werden.

5

Erstellen Sie benutzerdefinierte Berechtigungsrichtlinien innerhalb Ihres Berechtigungssatzes (oder Ihrer IAM-Rolle, wenn Sie den Account Access Manager verwenden) und verwenden Sie Zugriffskontrollattribute, um ABAC-Regeln zu erstellen, sodass Benutzer nur mit passenden Stichwörtern auf Ressourcen zugreifen können. Benutzerattribute, die Sie in Schritt 4 konfiguriert haben, werden als Stichwörter AWS für Zugriffskontrollentscheidungen verwendet. Mithilfe der aws:PrincipalTag/key Bedingung können Sie auf die Attribute der Zugriffskontrolle in der Berechtigungsrichtlinie verweisen.

6

Weisen Sie in Ihren verschiedenen AWS-Konten Optionen Benutzer den Berechtigungssätzen zu, die Sie in Schritt 5 erstellt haben. Auf diese Weise wird sichergestellt, dass sie beim Zusammenschluss mit ihren Konten und beim Zugriff auf AWS Ressourcen nur Zugriff erhalten, der mit passenden Stichwörtern verknüpft ist.

Nachdem Sie diese Schritte abgeschlossen haben, erhalten Benutzer, die sich AWS-Konto über Single Sign-On zu einem Verbund zusammenschließen, auf der Grundlage übereinstimmender Attribute Zugriff auf ihre AWS Ressourcen.