Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS verwaltete Richtlinien für IAM Identity Center

Das Erstellen von vom Kunden verwalteten IAM-Richtlinien, die Ihrem Team nur die Berechtigungen gewähren, die es benötigt, erfordert Zeit und Fachwissen. Um schnell loszulegen, können Sie AWS verwaltete Richtlinien verwenden. Diese Richtlinien decken allgemeine Anwendungsfälle ab und sind in Ihrem AWS-Konto verfügbar. Weitere Informationen zu verwalteten AWS -Richtlinien finden Sie unter Verwaltete AWS -Richtlinien im IAM-Leitfaden.

AWS Dienste verwalten und aktualisieren AWS verwaltete Richtlinien. Sie können die Berechtigungen in AWS verwalteten Richtlinien nicht ändern. Services fügen einer von AWS verwalteten Richtlinien gelegentlich zusätzliche Berechtigungen hinzu, um neue Features zu unterstützen. Diese Art von Update betrifft alle Identitäten (Benutzer, Gruppen und Rollen), an welche die Richtlinie angehängt ist. Services aktualisieren eine von AWS verwaltete Richtlinie am ehesten, ein neues Feature gestartet wird oder neue Vorgänge verfügbar werden. Dienste entfernen keine Berechtigungen aus einer AWS verwalteten Richtlinie, sodass durch Richtlinienaktualisierungen Ihre bestehenden Berechtigungen nicht beeinträchtigt werden.

AWS Unterstützt außerdem verwaltete Richtlinien für Jobfunktionen, die sich über mehrere Dienste erstrecken. Die ReadOnlyAccess AWS verwaltete Richtlinie bietet beispielsweise schreibgeschützten Zugriff auf alle AWS Dienste und Ressourcen. Wenn ein Dienst eine neue Funktion startet, werden Leseberechtigungen für neue Operationen und Ressourcen AWS hinzugefügt. Eine Liste und Beschreibungen der Richtlinien für Auftragsfunktionen finden Sie in Verwaltete AWS -Richtlinien für Auftragsfunktionen im IAM-Leitfaden.

Neue Aktionen, mit denen Sie Benutzersitzungen auflisten und löschen können, sind unter dem neuen Namespace verfügbar. identitystore-auth Alle zusätzlichen Berechtigungen für Aktionen in diesem Namespace werden auf dieser Seite aktualisiert. Vermeiden Sie beim Erstellen Ihrer benutzerdefinierten IAM-Richtlinien die Verwendung von * after, identitystore-auth da dies für alle Aktionen gilt, die heute oder in Zukunft im Namespace existieren.

AWS verwaltete Richtlinie: AWSSSOMasterAccountAdministrator

Die AWSSSOMasterAccountAdministrator Richtlinie sieht die erforderlichen Verwaltungsmaßnahmen für Schulleiter vor. Die Richtlinie richtet sich an Schulleiter, die die Rolle eines AWS IAM Identity Center Administrators ausüben. Im Laufe der Zeit wird die Liste der bereitgestellten Aktionen aktualisiert, sodass sie den vorhandenen Funktionen von IAM Identity Center und den Aktionen entspricht, die als Administrator erforderlich sind.

Sie können die AWSSSOMasterAccountAdministrator-Richtlinie an Ihre IAM-Identitäten anfügen. Wenn Sie die AWSSSOMasterAccountAdministrator Richtlinie an eine Identität anhängen, gewähren Sie AWS IAM Identity Center Administratorberechtigungen. Principals mit dieser Richtlinie können innerhalb des AWS Organizations Verwaltungskontos und aller Mitgliedskonten auf IAM Identity Center zugreifen. Dieser Principal kann alle IAM Identity Center-Operationen vollständig verwalten, einschließlich der Fähigkeit, eine IAM Identity Center-Instanz, Benutzer, Berechtigungssätze und Zuweisungen zu erstellen. Der Principal kann diese Zuweisungen auch in allen Mitgliedskonten der AWS Organisation instanziieren und Verbindungen zwischen AWS Directory Service verwalteten Verzeichnissen und IAM Identity Center herstellen. Sobald neue Verwaltungsfunktionen veröffentlicht werden, werden dem Kontoadministrator diese Berechtigungen automatisch gewährt.

Diese Richtlinie umfasst auch AWS Key Management Service Berechtigungen, die für IAM Identity Center-Instanzen erforderlich sind, die vom Kunden verwaltete Schlüssel zur Verschlüsselung verwenden.

Gruppierungen von Berechtigungen

Diese Richtlinie ist in Anweisungen gruppiert, die auf den bereitgestellten Berechtigungen basieren.

Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter AWSSSOMasterAccountAdministrator AWS Managed Policy Reference.

Zusätzliche Informationen zu dieser Richtlinie

Wenn IAM Identity Center zum ersten Mal aktiviert wird, erstellt der IAM Identity Center-Dienst eine dienstverknüpfte Rolle im AWS Organizations Verwaltungskonto (früher Hauptkonto), sodass IAM Identity Center die Ressourcen in Ihrem Konto verwalten kann. Die erforderlichen Aktionen sind und. iam:CreateServiceLinkedRole iam:PassRole

AWS verwaltete Richtlinie: AWSSSOMemberAccountAdministrator

Die AWSSSOMemberAccountAdministrator Richtlinie sieht die erforderlichen Verwaltungsmaßnahmen für Schulleiter vor. Die Richtlinie richtet sich an Principals, die die Rolle eines IAM Identity Center-Administrators ausüben. Im Laufe der Zeit wird die Liste der bereitgestellten Aktionen aktualisiert, sodass sie den vorhandenen Funktionen von IAM Identity Center und den Aktionen, die als Administrator erforderlich sind, entspricht.

Sie können die AWSSSOMemberAccountAdministrator-Richtlinie an Ihre IAM-Identitäten anfügen. Wenn Sie die AWSSSOMemberAccountAdministrator Richtlinie an eine Identität anhängen, gewähren Sie AWS IAM Identity Center Administratorberechtigungen. Principals mit dieser Richtlinie können innerhalb des AWS Organizations Verwaltungskontos und aller Mitgliedskonten auf IAM Identity Center zugreifen. Dieser Principal kann alle IAM Identity Center-Operationen vollständig verwalten, einschließlich der Fähigkeit, Benutzer, Berechtigungssätze und Zuweisungen zu erstellen. Der Principal kann diese Zuweisungen auch in allen Mitgliedskonten der AWS Organisation instanziieren und Verbindungen zwischen AWS Directory Service verwalteten Verzeichnissen und IAM Identity Center herstellen. Sobald neue Verwaltungsfunktionen veröffentlicht werden, erhält der Kontoadministrator diese Berechtigungen automatisch.

Diese Richtlinie umfasst auch AWS Key Management Service Berechtigungen, die für IAM Identity Center-Instanzen erforderlich sind, die vom Kunden verwaltete Schlüssel für die Verschlüsselung verwenden.

Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter Referenz AWSSSOMemberAccountAdministrator zu AWS verwalteten Richtlinien.

Zusätzliche Informationen zu dieser Richtlinie

IAM Identity Center-Administratoren verwalten Benutzer, Gruppen und Passwörter in ihrem Identity Center-Verzeichnisspeicher (SSO-Verzeichnis). Die Rolle des Kontoadministrators umfasst Berechtigungen für die folgenden Aktionen:

IAM Identity Center-Administratoren benötigen eingeschränkte Berechtigungen für die folgenden Directory Service Aktionen, um tägliche Aufgaben ausführen zu können.

Diese Berechtigungen ermöglichen es IAM Identity Center-Administratoren, vorhandene Verzeichnisse zu identifizieren und Anwendungen zu verwalten, sodass sie für die Verwendung mit IAM Identity Center konfiguriert werden können. Weitere Informationen zu jeder dieser Aktionen finden Sie unter Directory Service API-Berechtigungen: Referenz für Aktionen, Ressourcen und Bedingungen.

IAM Identity Center verwendet IAM-Richtlinien, um IAM Identity Center-Benutzern Berechtigungen zu gewähren. IAM Identity Center-Administratoren erstellen Berechtigungssätze und hängen ihnen Richtlinien an. Der IAM Identity Center-Administrator muss über die Berechtigungen zum Auflisten der vorhandenen Richtlinien verfügen, damit er auswählen kann, welche Richtlinien mit dem Berechtigungssatz, den er gerade erstellt oder aktualisiert, verwendet werden sollen. Um sichere und funktionale Berechtigungen einrichten zu können, muss der IAM Identity Center-Administrator über die Berechtigungen zur Ausführung der IAM Access Analyzer-Richtlinienvalidierung verfügen.

IAM Identity Center-Administratoren benötigen eingeschränkten Zugriff auf die folgenden AWS Organizations Aktionen, um tägliche Aufgaben ausführen zu können:

Diese Berechtigungen ermöglichen es IAM Identity Center-Administratoren, mit Organisationsressourcen (Konten) für grundlegende IAM Identity Center-Administrationsaufgaben wie die folgenden zu arbeiten:

Weitere Informationen zur Verwendung eines delegierten Administrators mit IAM Identity Center finden Sie unter. Delegierte Verwaltung Weitere Informationen zur Verwendung dieser Berechtigungen finden Sie unter Verwenden AWS Organizations mit AWS Organizations anderen AWS Diensten.

AWS verwaltete Richtlinie: AWSSSODirectoryAdministrator

Sie können die AWSSSODirectoryAdministrator-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt Administratorberechtigungen für IAM Identity Center-Benutzer und -Gruppen. Principals, denen diese Richtlinie zugeordnet ist, können alle Aktualisierungen an IAM Identity Center-Benutzern und -Gruppen vornehmen. Diese Richtlinie umfasst auch AWS Key Management Service Berechtigungen, die für IAM Identity Center-Instanzen erforderlich sind, die vom Kunden verwaltete Schlüssel für die Verschlüsselung verwenden.

Diese Richtlinie umfasst die folgenden Berechtigungen:

Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter AWS Managed Policy AWSSSODirectoryAdministrator Reference.

AWS verwaltete Richtlinie: AWSSSOReadOnly

Sie können die AWSSSOReadOnly-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt nur Leseberechtigungen, die es Benutzern ermöglichen, Informationen im IAM Identity Center anzuzeigen. Principals, denen diese Richtlinie zugeordnet ist, können die IAM Identity Center-Benutzer oder -Gruppen nicht direkt sehen. Principals, an die diese Richtlinie angehängt ist, können keine Aktualisierungen im IAM Identity Center vornehmen. Principals mit diesen Berechtigungen können beispielsweise die IAM Identity Center-Einstellungen einsehen, aber keinen der Einstellungswerte ändern.

Diese Richtlinie umfasst auch AWS Key Management Service Berechtigungen, die für IAM Identity Center-Instanzen erforderlich sind, die vom Kunden verwaltete Schlüssel für die Verschlüsselung verwenden.

Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter Referenz AWSSSOReadOnly zu AWS verwalteten Richtlinien.

AWS verwaltete Richtlinie: AWSSSODirectoryReadOnly

Sie können die AWSSSODirectoryReadOnly-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt Leseberechtigungen, die es Benutzern ermöglichen, Benutzer und Gruppen im IAM Identity Center anzuzeigen. Principals, denen diese Richtlinie zugeordnet ist, können IAM Identity Center-Zuweisungen, Berechtigungssätze, Anwendungen oder Einstellungen nicht anzeigen. Principals, an die diese Richtlinie angehängt ist, können keine Aktualisierungen in IAM Identity Center vornehmen. Principals mit diesen Berechtigungen können beispielsweise IAM Identity Center-Benutzer sehen, aber sie können keine Benutzerattribute ändern oder MFA-Geräte zuweisen.

Diese Richtlinie umfasst auch AWS Key Management Service Berechtigungen, die für IAM Identity Center-Instanzen erforderlich sind, die vom Kunden verwaltete Schlüssel für die Verschlüsselung verwenden.

Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter Referenz AWSSSODirectoryReadOnly zu AWS verwalteten Richtlinien.

AWS verwaltete Richtlinie: AWSIdentitySyncFullAccess

Sie können die AWSIdentitySyncFullAccess-Richtlinie an Ihre IAM-Identitäten anfügen.

Prinzipale, denen diese Richtlinie zugeordnet ist, haben volle Zugriffsberechtigungen, um Synchronisierungsprofile zu erstellen und zu löschen, ein Synchronisierungsprofil mit einem Synchronisierungsziel zu verknüpfen oder zu aktualisieren, Synchronisierungsfilter zu erstellen, aufzulisten und zu löschen sowie die Synchronisierung zu starten oder zu beenden.

Berechtigungsdetails

Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter Referenz AWSIdentitySyncFullAccess zu AWS verwalteten Richtlinien.

AWS verwaltete Richtlinie: AWSIdentitySyncReadOnlyAccess

Sie können die AWSIdentitySyncReadOnlyAccess-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt nur Leseberechtigungen, die es Benutzern ermöglichen, Informationen über das Identitätssynchronisierungsprofil, die Filter und die Zieleinstellungen einzusehen. Prinzipale, an die diese Richtlinie angehängt ist, können keine Aktualisierungen an den Synchronisierungseinstellungen vornehmen. Beispielsweise können Hauptbenutzer mit diesen Berechtigungen die Einstellungen für die Identitätssynchronisierung einsehen, aber keinen der Profil- oder Filterwerte ändern.

Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter AWSIdentitySyncReadOnlyAccess Referenz für AWS verwaltete Richtlinien.

AWS verwaltete Richtlinie: AWSSSOServiceRolePolicy

Sie können die AWSSSOServiceRolePolicy Richtlinie nicht an Ihre IAM-Identitäten anhängen.

Diese Richtlinie ist mit einer dienstverknüpften Rolle verknüpft, die es IAM Identity Center ermöglicht, zu delegieren und durchzusetzen, welche Benutzer Single-Sign-On-Zugriff auf bestimmte Zugangsdaten haben. AWS-Konten AWS Organizations Wenn Sie IAM aktivieren, wird in allen Bereichen Ihrer Organisation eine serviceverknüpfte Rolle erstellt. AWS-Konten IAM Identity Center erstellt außerdem dieselbe serviceverknüpfte Rolle in jedem Konto, das anschließend zu Ihrer Organisation hinzugefügt wird. Diese Rolle ermöglicht es IAM Identity Center, in Ihrem Namen auf die Ressourcen der einzelnen Konten zuzugreifen. Service-linked Die Rollen, die in den einzelnen Rollen erstellt werden, AWS-Konto sind benanntAWSServiceRoleForSSO. Weitere Informationen finden Sie unter Verwenden von dienstverknüpften Rollen für IAM Identity Center.

AWS verwaltete Richtlinie: AWSIAMIdentityCenterAllowListForIdentityContext

Wenn AWS -Security-Token-Service (AWS STS) eine Rolle im IAM Identity Center-Identitätskontext übernimmt, hängt die AWSIAMIdentityCenterAllowListForIdentityContext Richtlinie automatisch an die Rolle an.

Diese Richtlinie enthält die Liste der Aktionen, die zulässig sind, wenn Sie die Weitergabe vertrauenswürdiger Identitäten mit Rollen verwenden, die im IAM Identity Center-Identitätskontext übernommen werden. Alle anderen Aktionen, die in diesem Kontext aufgerufen werden, sind blockiert. Der Identitätskontext wird als übergebenProvidedContext.

Informationen zu den Berechtigungen für diese Richtlinie finden Sie AWSIAMIdentityCenterAllowListForIdentityContext in der Referenz zu AWS verwalteten Richtlinien.

AWS verwaltete Richtlinie: AWSIdentityCenterExternalManagementPolicy

Sie können die AWSIdentityCenterExternalManagementPolicy-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie ermöglicht den Zugriff auf die Verwaltung von IAM Identity Center-Benutzern von einem externen Anbieter aus.

Informationen zu den Berechtigungen für diese Richtlinie finden Sie AWSIdentityCenterExternalManagementPolicy in der Referenz zu AWS verwalteten Richtlinien.

IAM Identity Center wird aktualisiert auf AWS Verwaltete Richtlinien

In der folgenden Tabelle werden die Aktualisierungen der AWS verwalteten Richtlinien für IAM Identity Center beschrieben, seit dieser Dienst begonnen hat, diese Änderungen zu verfolgen. Wenn Sie automatische Benachrichtigungen über Änderungen an dieser Seite erhalten möchten, abonnieren Sie den RSS-Feed auf der IAM Identity Center-Dokumentverlaufsseite.