Erstellen Sie einen Berechtigungssatz für Jobfunktionen - AWS IAM Identity Center
Erstellen Sie einen Berechtigungssatz, der Berechtigungen mit den geringsten Rechten anwendet

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen Sie einen Berechtigungssatz für Jobfunktionen

Berechtigungssätze werden in IAM Identity Center gespeichert und definieren die Zugriffsebene, auf die Benutzer und Gruppen zugreifen können AWS-Konto. Der erste Berechtigungssatz, den Sie erstellen, ist der Administratorberechtigungssatz. Wenn Sie einen der von IAMIdentity Center Tutorials zur Identitätsquelle Ihnen bereits erstellten Administratorberechtigungssätze abgeschlossen haben. Gehen Sie wie folgt vor, um Berechtigungssätze zu erstellen, wie im Thema AWS Verwaltete Richtlinien für Jobfunktionen im IAMBenutzerhandbuch beschrieben.

  1. Führen Sie einen der folgenden Schritte aus, um sich bei der anzumelden AWS Management Console.

    • Neu bei AWS (Root-Benutzer) — Melden Sie sich als Kontoinhaber an, indem Sie Root-Benutzer auswählen und Ihre AWS-Konto E-Mail-Adresse eingeben. Geben Sie auf der nächsten Seite Ihr Passwort ein.

    • Verwenden Sie bereits AWS (IAMAnmeldeinformationen) — Melden Sie sich mit Ihren IAM Anmeldeinformationen und Administratorrechten an.

  2. Öffnen Sie die IAMIdentity Center-Konsole.

  3. Wählen Sie im IAM Identity Center-Navigationsbereich unter Berechtigungen für mehrere Konten die Option Berechtigungssätze aus.

  4. Wählen Sie Create permission set (Berechtigungssatz erstellen) aus.

    1. Wählen Sie auf der Seite Berechtigungssatztyp auswählen im Abschnitt Berechtigungssatztyp die Option Vordefinierter Berechtigungssatz aus.

    2. Wählen Sie im Abschnitt Richtlinie für vordefinierten Berechtigungssatz eine der folgenden Optionen aus:

      • AdministratorAccess

      • Fakturierung

      • DatabaseAdministrator

      • DataScientist

      • NetworkAdministrator

      • PowerUserAccess

      • ReadOnlyAccess

      • SecurityAudit

      • SupportUser

      • SystemAdministrator

      • ViewOnlyAccess

  5. Behalten Sie auf der Seite „Details zum Berechtigungssatz angeben“ die Standardeinstellungen bei und klicken Sie auf Weiter. Die Standardeinstellung beschränkt Ihre Sitzung auf eine Stunde.

  6. Bestätigen Sie auf der Seite Überprüfen und erstellen Folgendes:

    1. Unter Schritt 1: Typ des Berechtigungssatzes auswählen wird der Typ des ausgewählten Berechtigungssatzes angezeigt.

    2. Für Schritt 2: Details zum Berechtigungssatz definieren wird der Name des ausgewählten Berechtigungssatzes angezeigt.

    3. Wählen Sie Create (Erstellen) aus.

Erstellen Sie einen Berechtigungssatz, der Berechtigungen mit den geringsten Rechten anwendet

Um der bewährten Methode zur Anwendung von Berechtigungen mit den geringsten Rechten zu folgen, erstellen Sie nach der Erstellung eines Administratorberechtigungssatzes einen restriktiveren Berechtigungssatz und weisen ihn einem oder mehreren Benutzern zu. Die im vorherigen Verfahren erstellten Berechtigungssätze bieten Ihnen einen Ausgangspunkt, um zu beurteilen, wie viel Zugriff Ihre Benutzer auf Ressourcen benötigen. Um zu den Berechtigungen mit den geringsten Rechten zu wechseln, können Sie IAM Access Analyzer ausführen, um Prinzipale mit AWS verwalteten Richtlinien zu überwachen. Nachdem Sie erfahren haben, welche Berechtigungen sie verwenden, können Sie eine benutzerdefinierte Richtlinie schreiben oder eine Richtlinie generieren, die nur die erforderlichen Berechtigungen für Ihr Team enthält.

Mit IAM Identity Center können Sie demselben Benutzer mehrere Berechtigungssätze zuweisen. Ihrem Administratorbenutzer sollten außerdem zusätzliche, restriktivere Berechtigungssätze zugewiesen werden. Auf diese Weise können sie nur AWS-Konto mit den erforderlichen Berechtigungen auf Ihre zugreifen, anstatt immer ihre Administratorberechtigungen zu verwenden.

Wenn Sie beispielsweise Entwickler sind, können Sie nach der Erstellung Ihres Administratorbenutzers in IAM Identity Center einen neuen Berechtigungssatz erstellen, der PowerUserAccess Berechtigungen gewährt, und diesen Berechtigungssatz dann Ihnen selbst zuweisen. Im Gegensatz zum administrativen Berechtigungssatz, der AdministratorAccess Berechtigungen verwendet, erlaubt der PowerUserAccess Berechtigungssatz keine Verwaltung von IAM Benutzern und Gruppen. Wenn Sie sich beim AWS Zugriffsportal anmelden, um auf Ihr AWS Konto zuzugreifen, können PowerUserAccess Sie wählen, ob AdministratorAccess Sie Entwicklungsaufgaben nicht im Konto ausführen möchten.

Beachten Sie folgende Überlegungen:

  • Verwenden Sie einen vordefinierten Berechtigungssatz anstelle eines benutzerdefinierten Berechtigungssatzes, um schnell mit der Erstellung eines restriktiveren Berechtigungssatzes zu beginnen.

    Bei einem vordefinierten Berechtigungssatz, der vordefinierte Berechtigungen verwendet, wählen Sie eine einzelne AWS verwaltete Richtlinie aus einer Liste verfügbarer Richtlinien aus. Jede Richtlinie gewährt eine bestimmte Zugriffsebene auf AWS Dienste und Ressourcen oder Berechtigungen für eine allgemeine Aufgabenfunktion. Informationen zu jeder dieser Richtlinien finden Sie unter AWS Verwaltete Richtlinien für Berufsfunktionen.

  • Sie können die Sitzungsdauer für einen Berechtigungssatz konfigurieren, um zu steuern, wie lange ein Benutzer angemeldet ist AWS-Konto.

    Wenn Benutzer sich mit ihnen verbinden AWS-Konto und die AWS Management Console oder die AWS Befehlszeilenschnittstelle (AWS CLI) verwenden, verwendet IAM Identity Center die Einstellung für die Sitzungsdauer im Berechtigungssatz, um die Dauer der Sitzung zu steuern. Standardmäßig ist der Wert für die Sitzungsdauer, die bestimmt, wie lange ein Benutzer angemeldet werden kann und AWS-Konto bevor er sich von der Sitzung AWS abmeldet, auf eine Stunde festgelegt. Sie können einen Höchstwert von 12 Stunden angeben. Weitere Informationen finden Sie unter Legen Sie die Sitzungsdauer fest für AWS-Konten.

  • Sie können auch die Sitzungsdauer des AWS Access-Portals konfigurieren, um zu steuern, wie lange ein Workforce-Benutzer beim Portal angemeldet ist.

    Standardmäßig beträgt der Wert für Maximale Sitzungsdauer, der bestimmt, wie lange ein Workforce-Benutzer beim AWS Access-Portal angemeldet werden kann, bevor er sich erneut authentifizieren muss, acht Stunden. Sie können einen Höchstwert von 90 Tagen angeben. Weitere Informationen finden Sie unter Konfigurieren Sie die Sitzungsdauer des AWS Zugriffsportals und der integrierten IAM Identity Center-Anwendungen.

  • Wenn Sie sich beim AWS Zugriffsportal anmelden, wählen Sie die Rolle aus, die Berechtigungen mit den geringsten Rechten gewährt.

    Jeder Berechtigungssatz, den Sie erstellen und Ihrem Benutzer zuweisen, wird im Access-Portal als verfügbare Rolle angezeigt. AWS Wenn Sie sich als dieser Benutzer beim Portal anmelden, wählen Sie die Rolle aus, die dem restriktivsten Berechtigungssatz entspricht, den Sie für die Ausführung von Aufgaben im Konto verwenden können, und nichtAdministratorAccess.

  • Sie können weitere Benutzer zu IAM Identity Center hinzufügen und diesen Benutzern bestehende oder neue Berechtigungssätze zuweisen.

    Weitere Informationen finden Sie unterWeisen Sie Gruppen AWS-Konto Zugriff zu.