View a markdown version of this page

Delegierte Verwaltung - AWS IAM Identity Center
Bewährte MethodenVoraussetzungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Delegierte Verwaltung

Die delegierte Administration bietet zugewiesenen Benutzern in einem registrierten Mitgliedskonto eine bequeme Möglichkeit, die meisten Verwaltungsaufgaben im IAM Identity Center auszuführen. Wenn Sie IAM Identity Center aktivieren, wird Ihre IAM Identity Center-Instanz standardmäßig im Verwaltungskonto erstellt. AWS Organizations Dies wurde ursprünglich so konzipiert, dass IAM Identity Center Rollen für alle Mitgliedskonten Ihrer Organisation bereitstellen, die Bereitstellung aufheben und aktualisieren kann. Obwohl sich Ihre IAM Identity Center-Instanz immer im Verwaltungskonto befinden muss, können Sie die Verwaltung von IAM Identity Center an ein Mitgliedskonto in delegieren und so die Möglichkeiten erweitern AWS Organizations, IAM Identity Center von außerhalb des Verwaltungskontos zu verwalten.

Die Aktivierung der delegierten Administration bietet die folgenden Vorteile:

  • Minimiert die Anzahl der Personen, die Zugriff auf das Verwaltungskonto benötigen, um Sicherheitsbedenken auszuräumen

  • Ermöglicht ausgewählten Administratoren das Zuweisen von Benutzern und Gruppen zu Anwendungen und Mitgliedskonten Ihrer Organisation

Weitere Informationen darüber, wie IAM Identity Center mit IAM Identity Center zusammenarbeitet AWS Organizations, finden Sie unterKonfigurieren Sie den Zugriff auf AWS-Konten. Weitere Informationen und ein Beispiel für ein Unternehmensszenario zur Konfiguration der delegierten Administration finden Sie im Security Blog unter Erste Schritte mit der delegierten IAM Identity Center-Administration. AWS

Themen

Bewährte Methoden

Hier sind einige bewährte Methoden, die Sie berücksichtigen sollten, bevor Sie die delegierte Administration konfigurieren:

  • Gewähren Sie dem Verwaltungskonto die geringsten Rechte — Da es sich bei dem Verwaltungskonto um ein Konto mit hohen Rechten handelt, und um das Prinzip der geringsten Rechte einzuhalten, empfehlen wir dringend, den Zugriff auf das Verwaltungskonto auf so wenige Personen wie möglich zu beschränken. Mit der Funktion für delegierte Administratoren soll die Anzahl der Personen minimiert werden, die Zugriff auf das Verwaltungskonto benötigen. Sie können auch erwägen, vorübergehend erhöhten Zugriff zu verwenden, um diesen Zugriff nur bei Bedarf zu gewähren.

  • Dedizierte Berechtigungssätze für das Verwaltungskonto — Verwenden Sie dedizierte Berechtigungssätze für das Verwaltungskonto. Aus Sicherheitsgründen kann ein Berechtigungssatz, der für den Zugriff auf das Verwaltungskonto verwendet wird, nur von einem IAM Identity Center-Administrator vom Verwaltungskonto aus geändert werden. Der delegierte Administrator kann die im Verwaltungskonto bereitgestellten Berechtigungssätze nicht ändern.

  • Nur Benutzer (keine Gruppen) Berechtigungssätzen im Verwaltungskonto zuweisen — Da das Verwaltungskonto über besondere Rechte verfügt, müssen Sie vorsichtig sein, wenn Sie diesem Konto in der Konsole oder AWS Command Line Interface (CLI) Zugriff gewähren. Wenn Sie Gruppen Berechtigungssätzen mit Zugriff auf das Verwaltungskonto zuweisen, kann add/remove jeder, der berechtigt ist, die Mitgliedschaften in diesen Gruppen zu ändern, to/from diese Gruppen verwenden und somit beeinflussen, wer Zugriff auf das Verwaltungskonto hat. Dies ist jeder Gruppenadministrator mit Kontrolle über Ihre Identitätsquelle, einschließlich Ihres Identitätsanbieters (IdP) -Administrators, Microsoft Active Directory-Domänendiensts (AD DS) -Administrators oder IAM Identity Center-Administrators. Daher sollten Sie Benutzern direkt Berechtigungssätzen zuweisen, die den Zugriff auf das Verwaltungskonto gewähren, und Gruppen vermeiden. Wenn Sie Gruppen verwenden, um den Zugriff auf das Verwaltungskonto zu verwalten, stellen Sie sicher, dass der IdP über angemessene Kontrollen verfügt, um einzuschränken, wer diese Gruppen ändern darf, und stellen Sie sicher, dass Änderungen an diesen Gruppen (oder Änderungen der Anmeldeinformationen für die Benutzer im Verwaltungskonto) protokolliert und bei Bedarf überprüft werden.

  • Berücksichtigen Sie Ihren Active Directory-Standort — Wenn Sie Active Directory als Ihre IAM Identity Center-Identitätsquelle verwenden möchten, suchen Sie das Verzeichnis im Mitgliedskonto, in dem Sie die Funktion für delegierte Administratoren von IAM Identity Center aktiviert haben. Wenn Sie beschließen, die IAM Identity Center-Identitätsquelle von einer anderen Quelle auf Active Directory oder von Active Directory auf eine andere Quelle zu ändern, muss sich das Verzeichnis im Mitgliedskonto für delegierte Administratoren von IAM Identity Center befinden. Wenn Sie möchten, dass sich Ihr Active Directory im Verwaltungskonto befindet, müssen Sie das Setup im Verwaltungskonto durchführen, da der delegierte Administrator nicht über die erforderlichen Berechtigungen verfügt, um es abzuschließen.

Beschränken Sie die Aktionen des IAM Identity Center-Identitätsspeichers im Konto für delegierte Administration auf externe Identitätsquellen

Wenn Sie eine externe Identitätsquelle wie einen IdP oder verwenden, sollten Sie Richtlinien implementieren Directory Service, die die Identitätsspeicheraktionen einschränken, die ein IAM Identity Center-Administrator innerhalb des Kontos für delegierte Administration ausführen kann. Schreib- und Löschvorgänge sollten sorgfältig abgewogen werden. Im Allgemeinen ist die externe Identitätsquelle die Informationsquelle für Benutzer und ihre Attribute sowie für Gruppenmitgliedschaften. Wenn Sie diese mithilfe der Identitätsspeicher-APIs oder der Konsole ändern, werden Ihre Änderungen während der normalen Synchronisierungszyklen überschrieben. Überlassen Sie diese Vorgänge am besten der alleinigen Kontrolle Ihrer Identitätsquelle. Dies schützt auch davor, dass ein IAM Identity Center-Administrator Gruppenmitgliedschaften ändert, um Zugriff auf einen der Gruppe zugewiesenen Berechtigungssatz oder eine Anwendung zu gewähren, anstatt die Kontrolle über die Gruppenmitgliedschaft Ihrem IdP-Administrator zu überlassen. Sie sollten auch darauf achten, wer SCIM-Bearer-Token vom Konto für delegierte Administratoren aus erstellen kann, da diese es einem Administrator eines Mitgliedskontos ermöglichen könnten, Gruppen und Benutzer über einen SCIM-Client zu ändern.

Es kann vorkommen, dass Schreib- oder Löschvorgänge vom Konto des delegierten Administrators aus angemessen sind. Sie können beispielsweise eine Gruppe erstellen, ohne Mitglieder hinzuzufügen, und dann einem Berechtigungssatz zuweisen, ohne darauf warten zu müssen, dass der IdP-Administrator die Gruppe erstellt. Niemand hat Zugriff auf diese Aufgabe, bis der IdP-Administrator die Gruppe bereitstellt und der IdP-Synchronisierungsprozess die Gruppenmitglieder festlegt. Es kann auch angemessen sein, einen Benutzer oder eine Gruppe zu löschen, um die Anmeldung oder Autorisierung zu verhindern, wenn Sie nicht auf den IdP-Synchronisierungsvorgang warten können, um dem Benutzer oder der Gruppe den Zugriff zu entziehen. Ein Missbrauch dieser Erlaubnis kann sich jedoch negativ auf die Nutzer auswirken. Bei der Zuweisung von Identitätsspeicherberechtigungen sollten Sie das Prinzip der geringsten Rechte verwenden. Mithilfe einer Service Control Policy (SCP) können Sie steuern, welche Identitätsspeicher-Aktionen von den Administratoren Ihres delegierten Administrationskontos zugelassen werden.

Das folgende SCP-Beispiel verhindert das Zuweisen von Benutzern zu Gruppen über die Identity Store-API und die. Dies wird empfohlen AWS-Managementkonsole, wenn es sich bei Ihrer Identitätsquelle um eine externe Identitätsquelle handelt. Dies hat keinen Einfluss auf die Benutzersynchronisierung von Directory Service oder von einem externen IdP (über SCIM).

Anmerkung

Es ist möglich, dass Ihre Organisation, obwohl Sie eine externe Identitätsquelle verwenden, ganz oder teilweise auf die Identity Store-APIs für die Bereitstellung von Benutzern und Gruppen angewiesen ist. Bevor Sie diesen SCP aktivieren, sollten Sie daher sicherstellen, dass Ihr Benutzerbereitstellungsprozess diesen Identity Store-API-Vorgang nicht verwendet. Im nächsten Abschnitt finden Sie außerdem Informationen dazu, wie Sie die Verwaltung von Gruppenmitgliedschaften auf bestimmte Gruppen beschränken können.

{
  "Version": "2012-10-17", 
  "Statement": [
    { "Effect": "Deny",
      "Action": ["identitystore:CreateGroupMembership"],
      "Resource": [ "*" ] }
  ]
}

Wenn Sie verhindern möchten, dass Benutzer nur zu Gruppen hinzugefügt werden, die Zugriff auf das Verwaltungskonto gewähren, können Sie mithilfe des Gruppen-ARN im folgenden Format auf diese spezifischen Gruppen verweisen:arn:${Partition}:identitystore:::group/${GroupId}. Dieser und andere im Identity Store verfügbare Ressourcentypen sind in der Service Authorization Reference unter Von AWS Identity Store definierte Ressourcentypen dokumentiert. Sie können auch erwägen, zusätzliche Identity Store-APIs in den SCP aufzunehmen. Weitere Informationen finden Sie unter Aktionen in der Identity Store-API-Referenz.

Indem Sie Ihrem SCP die folgende Richtlinienerklärung hinzufügen, können Sie verhindern, dass der delegierte Administrator SCIM-Bearer-Token erstellt. Sie können dies für beide externen Identitätsquellen anwenden.

Anmerkung

Wenn Ihr delegierter Administrator die Benutzerbereitstellung mit SCIM einrichten oder die regelmäßige SCIM-Inhaber-Token-Rotation durchführen muss, müssen Sie vorübergehend den Zugriff auf diese API zulassen, damit der delegierte Administrator diese Aufgaben ausführen kann.


    { "Effect": "Deny",
      "Action": ["sso-directory:CreateBearerToken"],
      "Resource": [ "*" ]
    }

Beschränken Sie die Aktionen im IAM Identity Center-Identitätsspeicher im Konto für delegierte Administratoren für lokal verwaltete Benutzer

Wenn Sie Ihre Benutzer und Gruppen direkt in IAM Identity Center erstellen, anstatt einen externen IdP zu verwenden Directory Service, sollten Sie Vorkehrungen treffen, um festzulegen, wer Benutzer erstellen, Passwörter zurücksetzen und die Gruppenmitgliedschaft kontrollieren kann. Diese Aktionen geben dem Administrator umfangreiche Möglichkeiten, festzulegen, wer sich anmelden kann und wer über die Mitgliedschaft in Gruppen Zugriff erhält. Diese Richtlinien lassen sich am besten als Inline-Richtlinien innerhalb der Berechtigungssätze implementieren, die Sie für Ihre IAM Identity Center-Administratoren verwenden, und nicht als SCPs. Das folgende Beispiel für eine Inline-Richtlinie verfolgt zwei Ziele. Erstens wird verhindert, dass Benutzer zu bestimmten Gruppen hinzugefügt werden. Sie können dies verwenden, um zu verhindern, dass delegierte Administratoren Benutzer zu Gruppen hinzufügen, die Zugriff auf das Verwaltungskonto gewähren. Zweitens verhindert es die Ausgabe von SCIM-Bearer-Token.


{ 
  "Version": "2012-10-17", 
  "Statement": [ 
  { "Effect": "Deny", 
    "Action": ["identitystore:CreateGroupMembership"],
    "Resource": [ arn:${Partition}:identitystore:::group/${GroupId1}, 
                  arn:${Partition}:identitystore:::group/${GroupId2} 
                 ] 
   }
  ],
  { "Effect": "Deny", 
    "Action": ["sso-directory:CreateBearerToken"],
    "Resource": [ "*" ] }
  ]
}

Trennen Sie das IAM Identity Center-Konfigurationsmanagement vom Management PermissionSet

Trennen Sie die administrativen Aufgaben wie die Änderung der externen Identitätsquelle, die SCIM-Token-Verwaltung und die Konfiguration des Sitzungs-Timeouts von den Aufgaben zum Erstellen, Ändern und Zuweisen von Berechtigungssätzen, indem Sie separate Administratorberechtigungssätze von Ihrem Verwaltungskonto aus erstellen.

Beschränken Sie die Ausgabe von SCIM-Bearer-Token

SCIM-Bearer-Token ermöglichen es einer externen Identitätsquelle, Benutzer, Gruppen und Gruppenmitgliedschaften über das SCIM-Protokoll bereitzustellen, wenn die Identitätsquelle Ihres IAM Identity Centers ein externer IdP wie Okta oder Entra ID ist. Sie können das folgende SCP einrichten, um die Erstellung von SCIM-Bearer-Token durch delegierte Administratoren zu verhindern. Wenn Ihr delegierter Administrator die Benutzerbereitstellung mit SCIM einrichten oder die regelmäßige SCIM-Inhaber-Token-Rotation durchführen muss, müssen Sie vorübergehend den Zugriff auf diese API zulassen, damit der delegierte Administrator diese Aufgaben ausführen kann.


    { "Effect": "Deny",
      "Action": ["sso-directory:CreateBearerToken"],
      "Resource": [ "*" ] 
}

Verwenden Sie Berechtigungssätze, Tags und Kontolisten, um die Verwaltung bestimmter Konten zu delegieren

Sie können Berechtigungssätze erstellen, die Sie Ihren IAM Identity Center-Administratoren zuweisen, um zu delegieren, wer Berechtigungssätze erstellen kann und wer welche Berechtigungssätze welchen Konten zuweisen kann. Dazu kennzeichnen Sie Berechtigungssätze und verwenden Richtlinienbedingungen in Berechtigungssätzen, die Sie Ihren Administratoren zuweisen. Sie können beispielsweise Berechtigungssätze erstellen, die es einem Benutzer ermöglichen, Berechtigungssätze zu erstellen, sofern sie auf eine bestimmte Weise gekennzeichnet sind. Sie können auch Richtlinien erstellen, die es einem Administrator ermöglichen, bestimmten Konten Berechtigungssätze zuzuweisen, die mit einem bestimmten Tag versehen sind. Dies kann Ihnen helfen, die Verwaltung von Konten zu delegieren, ohne einem Administrator die Rechte zu geben, seinen Zugriff und seine Rechte für das delegierte Administratorkonto zu ändern. Indem Sie beispielsweise Berechtigungssätze kennzeichnen, die Sie nur im Konto für delegierte Administratoren verwenden, können Sie eine Richtlinie angeben, die nur bestimmten Personen die Berechtigung erteilt, Berechtigungssätze und Zuweisungen zu ändern, die sich auf das Konto der delegierten Administration auswirken. Sie können auch anderen Personen die Berechtigung geben, eine Liste von Konten außerhalb des Kontos für delegierte Administratoren zu verwalten. Weitere Informationen finden Sie im AWS Sicherheitsblog unter Delegieren der Verwaltung von Berechtigungssätzen und Kontozuweisungen. AWS IAM Identity Center

Voraussetzungen

Bevor Sie ein Konto als delegierter Administrator registrieren können, müssen Sie zunächst die folgende Umgebung bereitstellen:

  • AWS Organizations muss zusätzlich zu Ihrem Standard-Verwaltungskonto mit mindestens einem Mitgliedskonto aktiviert und konfiguriert sein.

  • Wenn Ihre Identitätsquelle auf Active Directory eingestellt ist, muss die IAM Identity Center, konfigurierbare AD-Synchronisierung Funktion aktiviert sein.