Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden Sie eine Ablehnungsrichtlinie, um aktive Benutzerberechtigungen zu entziehen

Möglicherweise müssen Sie einem IAM Identity Center-Benutzer den Zugriff entziehen, AWS-Konten während der Benutzer einen Berechtigungssatz aktiv verwendet. Sie können ihnen die Möglichkeit nehmen, ihre aktiven IAM-Rollensitzungen zu verwenden, indem Sie im Voraus eine Ablehnungsrichtlinie für einen nicht angegebenen Benutzer implementieren. Bei Bedarf können Sie dann die Ablehnungsrichtlinie aktualisieren, um den Benutzer anzugeben, dessen Zugriff Sie blockieren möchten. In diesem Thema wird erläutert, wie eine Ablehnungsrichtlinie erstellt wird, und es werden Überlegungen zur Bereitstellung der Richtlinie getroffen.

Bereiten Sie sich darauf vor, eine aktive IAM-Rollensitzung zu widerrufen, die mit einem Berechtigungssatz erstellt wurde

Sie können verhindern, dass der Benutzer mit einer IAM-Rolle, die er aktiv verwendet, Aktionen ausführt, indem Sie für einen bestimmten Benutzer mithilfe einer Service Control-Richtlinie eine Deny-All-Richtlinie anwenden. Sie können auch verhindern, dass ein Benutzer einen beliebigen Berechtigungssatz verwendet, bis Sie sein Passwort ändern. Dadurch wird verhindert, dass ein böswilliger Akteur gestohlene Anmeldeinformationen missbraucht. Wenn Sie den Zugriff generell verweigern und verhindern müssen, dass ein Benutzer erneut einen Berechtigungssatz betritt oder auf andere Berechtigungssätze zugreift, können Sie auch den gesamten Benutzerzugriff entfernen, die aktive AWS Access-Portalsitzung beenden und die Benutzeranmeldung deaktivieren. Unter erfahren Aktive Sitzungen für Ihre Workforce-Benutzer anzeigen und beenden Sie, wie Sie die Verweigerungsrichtlinie in Verbindung mit zusätzlichen Aktionen für eine umfassendere Sperrung des Zugriffs verwenden können.

Richtlinie „Ablehnen“

Sie können eine Ablehnungsrichtlinie mit einer Bedingung verwenden, die mit der Bedingung des Benutzers UserID aus dem IAM Identity Center-Identitätsspeicher übereinstimmt, um weitere Aktionen durch eine IAM-Rolle zu verhindern, die der Benutzer aktiv verwendet. Durch die Verwendung dieser Richtlinie werden Auswirkungen auf andere Benutzer vermieden, die möglicherweise denselben Berechtigungssatz verwenden, wenn Sie die Ablehnungsrichtlinie bereitstellen. Diese Richtlinie verwendet die Platzhalter-Benutzer-IDAdd user ID here, "identitystore:userId" die Sie mit der Benutzer-ID aktualisieren, für die Sie den Zugriff sperren möchten.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "identitystore:userId": "Add user ID here"  
                }
            }
        }
    ]
}

Sie könnten zwar einen anderen Bedingungsschlüssel verwenden“aws:userId”, wie z. B., “identitystore:userId” ist sicher, da es sich um einen global eindeutigen Wert handelt, der einer Person zugeordnet ist. Die Verwendung “aws:userId” in der Bedingung kann davon abhängen, wie Benutzerattribute anhand Ihrer Identitätsquelle synchronisiert werden, und kann sich ändern, wenn sich der Benutzername oder die E-Mail-Adresse des Benutzers ändern.

In der IAM Identity Center-Konsole können Sie die eines Benutzers finden, identitystore:userId indem Sie zu Benutzer navigieren, anhand des Namens nach dem Benutzer suchen, den Abschnitt Allgemeine Informationen erweitern und die Benutzer-ID kopieren. Es ist auch praktisch, die AWS Access-Portal-Sitzung eines Benutzers zu beenden und seinen Anmeldezugriff im gleichen Abschnitt zu deaktivieren, während Sie nach der Benutzer-ID suchen. Sie können den Prozess zur Erstellung einer Ablehnungsrichtlinie automatisieren, indem Sie die Benutzer-ID des Benutzers durch Abfragen der Identitätsspeicher-APIs abrufen.

Bereitstellung der Ablehnungsrichtlinie

Sie können eine Platzhalter-Benutzer-ID verwenden, die nicht gültig ist, z. B. Add user ID here um die Ablehnungsrichtlinie im Voraus mithilfe einer Service Control Policy (SCP) bereitzustellen, die Sie den AWS-Konten Benutzern zuordnen, auf die möglicherweise Zugriff haben. Diese Vorgehensweise wird aufgrund ihrer Einfachheit und Schnelligkeit empfohlen. Wenn Sie einem Benutzer den Zugriff mit der Richtlinie „Verweigern“ entziehen, bearbeiten Sie die Richtlinie so, dass die Platzhalter-Benutzer-ID durch die Benutzer-ID der Person ersetzt wird, deren Zugriff Sie entziehen möchten. Dadurch wird verhindert, dass der Benutzer in jedem Konto, an das Sie den SCP anhängen, Aktionen ausführt, für die Berechtigungen festgelegt wurden. Es blockiert die Aktionen des Benutzers, auch wenn er seine aktive AWS Access-Portalsitzung verwendet, um zu verschiedenen Konten zu navigieren und unterschiedliche Rollen zu übernehmen. Wenn der Zugriff des Benutzers vollständig durch den SCP gesperrt ist, können Sie ihm dann die Möglichkeit zur Anmeldung deaktivieren, seine Zuweisungen widerrufen und seine AWS Zugriffsportalsitzung bei Bedarf beenden.

Als Alternative zur Verwendung von SCPs können Sie die Richtlinie „Ablehnen“ auch in die Inline-Richtlinie für Berechtigungssätze und in vom Kunden verwaltete Richtlinien aufnehmen, die von den Berechtigungssätzen verwendet werden, auf die der Benutzer zugreifen kann.

Wenn Sie den Zugriff für mehrere Personen sperren müssen, können Sie eine Liste von Werten im Bedingungsblock verwenden, z. B.:

            "Condition": {
                    "StringEquals": {
                        "identitystore:userId": [" user1 userId", "user2 userId"...]
                        }
        }