AWSVon verwaltete Richtlinien für Auftragsfunktionen
Es wird empfohlen, Richtlinien zu verwenden, die die geringsten Rechte gewähren, d. h. nur die für die Durchführung einer Aufgabe erforderlichen Berechtigungen zu gewähren. Die sicherste Methode, die geringste Berechtigung zu erteilen, besteht darin, eine benutzerdefinierte Richtlinie mit nur den Berechtigungen zu schreiben, die Ihr Team benötigt. Sie müssen einen Prozess erstellen, damit Ihr Team bei Bedarf weitere Berechtigungen anfordern kann. Es erfordert Zeit und Fachwissen, um von Kunden verwaltete IAM-Richtlinien zu erstellen, die Ihrem Team nur die benötigten Berechtigungen bieten.
Um mit dem Hinzufügen von Berechtigungen zu Ihren IAM-Identitäten (Benutzer, Benutzergruppen und Rollen) zu beginnen, können Sie Von AWS-verwaltete Richtlinien verwenden. Verwaltete AWS-Richtlinien decken häufige Anwendungsfälle ab und sind in Ihrem AWS-Konto verfügbar. Verwaltete AWS-Richtlinien gewähren keine geringsten Berechtigungen. Sie müssen das Sicherheitsrisiko berücksichtigen, wenn Sie Ihren Auftraggeber mehr Berechtigungen gewähren, als sie für ihre Arbeit benötigen.
Sie können verwaltete AWS-Richtlinien, einschließlich Auftragsfunktionen, für jede IAM-Identität. Um zu den geringsten Berechtigungen zu wechseln, können Sie AWS Identity and Access Management und Access Analyzer ausführen, um Prinzipale mit von AWS verwalteten Richtlinien zu überwachen. Nachdem Sie erfahren haben, welche Berechtigungen sie verwenden, können Sie eine benutzerdefinierte Richtlinie schreiben oder eine Richtlinie mit nur den erforderlichen Berechtigungen für Ihr Team erstellen. Dies ist weniger sicher, bietet aber mehr Flexibilität, wenn Sie lernen, wie Ihr Team AWS verwendet.
AWSVon verwaltete Richtlinien für Auftragsfunktionen sind eng an allgemeine Auftragsfunktionen in der IT-Branche angepasst. Sie können mithilfe dieser Richtlinien ganz einfach die Berechtigungen erteilen, die Sie benötigen, um die Aufgaben, die von jemanden in einer bestimmten Auftragsfunktionen erwartet werden, auszuführen. Diese Richtlinien führen Berechtigungen für viele Services in einer einzigen Richtlinie zusammen, mit der sich leichter arbeiten lässt als mit auf vielen Richtlinien verteilten Berechtigungen.
Verwenden von Rollen zum Kombinieren von Services
Einige der Richtlinien verwenden IAM-Servicerollen, damit Sie die Vorteile von Funktionen aus anderen AWS-Services besser nutzen können. Diese Richtlinien gewähren Zugriff auf iam:passrole. Dies ermöglicht einem Benutzer mit der Richtlinie, eine Rolle an einen AWS-Service zu übergeben. Diese Rolle delegiert IAM-Berechtigungen an den AWS-Service, der Aktionen in Ihrem Namen ausführt.
Erstellen Sie die Rollen entsprechend Ihren Anforderungen. Beispielsweise kann ein Benutzer mit Network Administrator-Richtlinie eine Rolle mit dem Namen "flow-logs-vpc" an den Amazon CloudWatch-Service übergeben. CloudWatch verwendet diese Rolle, um IP-Datenverkehr für VPCs, die vom Benutzer erstellt wurden, zu protokollieren und zu erfassen.
Damit die bewährten Sicherheitsmethoden befolgt werden, enthalten die Richtlinien für Auftragsfunktionen Filter, die die Namen der gültigen Rollen, die übergeben werden können, begrenzen. So vermeiden Sie, dass unnötige Berechtigungen zugewiesen werden. Wenn Ihre Benutzer die optionalen Servicerollen benötigen, müssen Sie eine Rolle erstellen, die der in der Richtlinie angegebenen Namenskonvention entspricht. Sie gewähren dann Berechtigungen für die Rolle. Sobald dies erledigt ist, kann der Benutzer den Service so konfigurieren, dass er die Rolle verwendet, wobei beliebige Berechtigungen der Rolle gewährt werden.
In den folgenden Abschnitten ist der Name jeder Richtlinie einen Link zur Richtliniendetailseite in der AWS Management Console. Dort können Sie das Richtliniendokument einsehen und die Berechtigungen überprüfen, die darin gewährt werden.
Auftragsfunktion
Name der von AWS verwalteten Richtlinie: AdministratorAccess
Anwendungsfall: Dieser Benutzer hat vollständigen Zugriff und kann Berechtigungen an jeden Service und jede Ressource in AWS delegieren.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Diese Richtlinie gewährt alle Aktionen für alle AWS-Services und für alle Ressourcen des Kontos. Weitere Informationen zur verwalteten Richtlinie finden Sie unter AdministratorAccess im Referenzhandbuch für von AWS verwaltete Richtlinien.
Anmerkung
Bevor ein IAM-Benutzer oder eine Rolle mithilfe der Berechtigungen in dieser Richtlinie auf die AWS Billing and Cost Management-Konsole zugreifen können, müssen Sie zunächst den Zugriff des -Benutzer oder der Rolle aktivieren. Folgen Sie dazu den Anweisungen unter Zugriff auf die Fakturierungskonsole gewähren, um den Zugriff auf die Fakturierungskonsole zu delegieren.
Fakturierung Auftragsfunktion
Name der von AWS verwalteten Richtlinie: Billing
Anwendungsfall: Dieser Benutzer muss Abrechnungsinformationen anzeigen und Zahlungen einrichten und autorisieren können. Die Benutzer kann die Gesamtkosten für den gesamten AWS-Service überwachen.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Diese Richtlinie gewährt volle Berechtigungen für die Verwaltung von Rechnungen, Kosten, Zahlungsmethoden, Budgets und Berichten. Weitere Beispiele für Kostenmanagement-Richtlinien finden Sie in den AWS Billing-Richtlinienbeispielen im AWS Billing and Cost Management-Benutzerhandbuch. Weitere Informationen zur verwalteten Richtlinie finden Sie unter Fakturierung im Referenzhandbuch für von AWS verwaltete Richtlinien.
Anmerkung
Bevor ein IAM-Benutzer oder eine Rolle mithilfe der Berechtigungen in dieser Richtlinie auf die AWS Billing and Cost Management-Konsole zugreifen können, müssen Sie zunächst den Zugriff des -Benutzer oder der Rolle aktivieren. Folgen Sie dazu den Anweisungen unter Zugriff auf die Fakturierungskonsole gewähren, um den Zugriff auf die Fakturierungskonsole zu delegieren.
Datenbankadministrator-Auftragsfunktion
Name der von AWS verwalteten Richtlinie: DatabaseAdministrator
Anwendungsfall: Dieser Benutzer richtet Datenbanken in der AWS-Cloud ein und konfiguriert und verwaltet diese.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Diese Richtlinie erteilt Berechtigungen, um Datenbanken zu erstellen, zu konfigurieren und zu verwalten. Es beinhaltet den Zugang zu AWS-Datenbank-Services wie Amazon DynamoDB, Amazon Relational Database Service (RDS) und Amazon Redshift. Zeigen Sie die Richtlinie für die vollständige Liste der Datenbank-Services an, die von dieser Richtlinie unterstützt werden. Weitere Informationen zur verwalteten Richtlinie finden Sie unter DatabaseAdministrator im Referenzhandbuch für von AWS verwaltete Richtlinien.
Diese Auftragsfunktions-Richtlinie unterstützt die Möglichkeit, Rollen an AWS-Services zu übergeben. Die Richtlinie gewährt die iam:PassRole-Aktion ausschließlich für die in der folgenden Tabelle genannten Rollen. Weitere Informationen finden Sie unter Erstellen von Rollen und Anfügen von Richtlinien (Konsole) an späterer Stelle in diesem Thema.
| Anwendungsfall | Rollenname (* ist ein Platzhalter) | Auszuwählender Servicerollentyp | Auswahl dieser von AWS verwalteten Richtlinie |
|---|---|---|---|
| Der Benutzer kann RDS-Datenbanken überwachen | rds-monitoring-role | Amazon RDS Role for Enhanced Monitoring | AmazonRDSEnhancedMonitoringRole |
| AWS Lambda kann Ihre Datenbank überwachen und auf externe Datenbanken zugreifen | rdbms-lambda-access |
Amazon EC2 | AWSLambda_FullAccess |
| Lambda das Hochladen von Dateien in Amazon S3 und in Amazon Redshift Cluster mit DynamoDB ermöglichen | lambda_exec_role |
AWS Lambda | Erstellen einer neuen verwalteten Richtlinie, wie im AWS Big Data Blog |
| Erlauben Sie Lambda-Funktionen, als Trigger für Ihre DynamoDB-Tabellen zu fungieren | lambda-dynamodb-* | AWS Lambda | AWSLambdaDynamoDBExecutionRole |
| Erlauben Sie Lambda-Funktionen den Zugriff auf Amazon RDS in einer VPC | lambda-vpc-execution-role | Erstellen einer Rolle mit einer Vertrauensrichtlinie, wie im AWS LambdaDeveloper Guide definiert | AWSLambdaVPCAccessExecutionRole |
| AWS Data Pipeline kann auf Ihre AWS-Ressourcen zugreifen | DataPipelineDefaultRole | Erstellen einer Rolle mit einer Vertrauensrichtlinie, wie im AWS Data PipelineDeveloper Guide definiert | Die AWS Data Pipeline-Dokumentation listet die erforderlichen Berechtigungen für diesen Anwendungsfall auf. Siehe IAM-Rollen für AWS Data Pipeline |
| Anwendungen, die auf Amazon EC2-Instances ausgeführt werden, können auf Ihre AWS-Ressourcen zugreifen | DataPipelineDefaultResourceRole | Erstellen einer Rolle mit einer Vertrauensrichtlinie, wie im AWS Data PipelineDeveloper Guide definiert | AmazonEC2RoleforDataPipelineRole |
Auftragsfunktion für Data Scientist
Name der von AWS verwalteten Richtlinie: DataScientist
Anwendungsfall: Dieser Benutzer führt Hadoop-Aufträge und -Abfragen. Der Benutzer greift auch auf Informationen für Datenanalysen und Business Intelligence zu und analysiert diese.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Diese Richtlinie erteilt Berechtigungen zum Erstellen, Verwalten und Ausführen von Abfragen auf einem Amazon EMR-Cluster und zum Durchführen von Datenanalysen mit Tools wie Amazon QuickSight. Die Richtlinie umfasst den Zugriff auf zusätzliche Services für Datenwissenschaftler, wie etwa AWS Data Pipeline, Amazon EC2, Amazon Kinesis, Amazon Machine Learning und SageMaker KI. Zeigen Sie die Richtlinie für die vollständige Liste der Data Scientist-Services an, die von dieser Richtlinie unterstützt werden. Weitere Informationen zur verwalteten Richtlinie finden Sie unter DataScientist im Referenzhandbuch für von AWS verwaltete Richtlinien.
Diese Auftragsfunktions-Richtlinie unterstützt die Möglichkeit, Rollen an AWS-Services zu übergeben. Mit einer Anweisung können Sie jede beliebige Rolle an SageMaker AI übergeben. Eine weitere Anweisung gewährt die iam:PassRole-Aktion ausschließlich für die in der folgenden Tabelle genannten Rollen. Weitere Informationen finden Sie unter Erstellen von Rollen und Anfügen von Richtlinien (Konsole) an späterer Stelle in diesem Thema.
| Anwendungsfall | Rollenname (* ist ein Platzhalter) | Auszuwählender Servicerollentyp | Auszuwählende von AWS verwaltete Richtlinie |
|---|---|---|---|
| Ermöglichen Sie Amazon EC2-Instances den Zugriff auf für Cluster geeignete Dienste und Ressourcen | EMR-EC2_DefaultRole | Amazon EMR für EC2 | AmazonElasticMapReduceforEC2Role |
| Amazon EMR-Zugriff für den Zugriff auf den Amazon EC2-Service und die Ressourcen für Cluster erlauben | EMR_DefaultRole | Amazon EMR | AmazonEMRServicePolicy_v2 |
| Kinesis Managed Service für Apache Flink den Zugriff auf Streaming-Datenquellen erlauben | kinesis-* |
Erstellen einer Rolle mit einer Vertrauensrichtlinie, wie im AWS Big Data Blog |
Weitere Informationen finden Sie im AWS Big Data Blog |
| AWS Data Pipeline kann auf Ihre AWS-Ressourcen zugreifen | DataPipelineDefaultRole | Erstellen einer Rolle mit einer Vertrauensrichtlinie, wie im AWS Data PipelineDeveloper Guide definiert | Die AWS Data Pipeline-Dokumentation listet die erforderlichen Berechtigungen für diesen Anwendungsfall auf. Siehe IAM-Rollen für AWS Data Pipeline |
| Anwendungen, die auf Amazon EC2-Instances ausgeführt werden, können auf Ihre AWS-Ressourcen zugreifen | DataPipelineDefaultResourceRole | Erstellen einer Rolle mit einer Vertrauensrichtlinie, wie im AWS Data PipelineDeveloper Guide definiert | AmazonEC2RoleforDataPipelineRole |
Auftragsfunktion Developer Power User
Name der von AWS verwalteten Richtlinie: PowerUserAccess
Anwendungsfall: Dieser Benutzer führt Aufgaben zur Anwendungsentwicklung durch und kann Ressourcen und Services erstellen und konfigurieren, die eine AWS-bewusste Anwendungsentwicklung unterstützen.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Die erste Anweisung dieser Richtlinie verwendet das NotAction-Element, um alle Aktionen für alle AWS-Services und für alle Ressourcen mit Ausnahme von AWS Identity and Access Management, AWS Organizations, und AWS Account Management zu erlauben. Die zweite Anweisung erteilt IAM-Berechtigungen zum Erstellen einer serviceverknüpften Rolle. Dies wird von einigen Services benötigt, die auf Ressourcen in einem anderen Service zugreifen müssen, z. B. ein Amazon S3-Bucket. Außerdem erhalten Organisationen die Berechtigung, Informationen über die Organisation des Benutzers anzuzeigen, einschließlich der E-Mail des Verwaltungskontos und der Organisationsbeschränkungen. Obwohl diese Richtlinie den Zugriff von IAM und Organisationen einschränkt, erlaubt sie dem Benutzer alle IAM Identity Center-Aktionen auszuführen, wenn IAM Identity Center aktiviert ist. Außerdem erhält die Kontoverwaltung Berechtigungen, zum Anzeigen, welche AWS-Regionen für das Konto aktiviert oder deaktiviert sind.
Netzwerkadministrator-Auftragsfunktion
Name der von AWS verwalteten Richtlinie: NetworkAdministrator
Anwendungsfall: Dieser Benutzer hat die Aufgabe, AWS-Netzwerkressourcen einzurichten und zu verwalten.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Beschreibung der Richtlinie: Diese Richtlinie erteilt Berechtigungen zum Erstellen und Verwalten von Netzwerkressourcen in Auto Scaling, Amazon EC2,AWS Direct Connect, Route 53, Amazon CloudFront, Elastic Load Balancing,AWS Elastic Beanstalk, Amazon SNS, CloudWatch, CloudWatch Logs, Amazon S3, IAM und Amazon Virtual Private Cloud. Weitere Informationen zur verwalteten Richtlinie finden Sie unter NetworkAdministrator im Referenzhandbuch für von AWS verwaltete Richtlinien.
Diese Auftragsfunktion erfordert die Möglichkeit, Rollen an AWS-Services zu übergeben. Die Richtlinie gewährt iam:GetRole und iam:PassRole ausschließlich für die in der folgenden Tabelle genannten Rollen. Weitere Informationen finden Sie unter Erstellen von Rollen und Anfügen von Richtlinien (Konsole) an späterer Stelle in diesem Thema.
| Anwendungsfall | Rollenname (* ist ein Platzhalter) | Auszuwählender Servicerollentyp | Auszuwählende von AWS verwaltete Richtlinie |
|---|---|---|---|
| Ermöglicht Amazon VPC das Erstellen und Verwalten von Protokollen in CloudWatch Logs im Namen des Benutzers, um den IP-Verkehr in und aus Ihrer VPC zu überwachen | flow-logs-* | Erstellen einer Rolle mit einer Vertrauensrichtlinie, wie im Amazon VPC User Guide definiert | Dieser Anwendungsfall verfügt nicht über eine vorhandene von AWS verwaltete Richtlinie, die Dokumentation enthält aber die erforderlichen Berechtigungen. Siehe Amazon VPC-Leitfaden. |
Schreibgeschützter Zugriff
Name der von AWS verwalteten Richtlinie: ReadOnlyAccess
Anwendungsfall Dieser Benutzer benötigt Nur-Lese-Zugriff auf alle Ressourcen eines AWS-Konto.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Beschreibung der Richtlinie: Diese Richtlinie gewährt Berechtigungen zum Auflisten, Abrufen, Beschreiben und anderweitigen Anzeigen von Ressourcen und deren Attributen. Es enthält keine mutierenden Funktionen wie Erstellen oder Löschen. Diese Richtlinie umfasst auch den Nur-Lese-Zugang zu sicherheitsrelevanten AWS-Diensten wie AWS Identity and Access Management und AWS Billing and Cost Management. Zeigen Sie die Richtlinie für die vollständige Liste der Datenbank-Services an, die von dieser Richtlinie unterstützt werden.
Auftragsfunktion Sicherheitsprüfer
Name der von AWS verwalteten Richtlinie: SecurityAudit
Anwendungsfall: Dieser Benutzer überwacht Konten auf die Einhaltung der Sicherheitsanforderungen. Dieser Benutzer kann auf Protokolle und Ereignisse zugreifen, um potenzielle Sicherheitsverstöße oder mögliche bösartige Aktivitäten zu untersuchen.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Diese Richtlinie erteilt Berechtigungen zum Anzeigen von Konfigurationsdaten für viele AWS-Services und zum Überprüfen der Protokolle. Weitere Informationen zur verwalteten Richtlinie finden Sie unter SecurityAudit im Referenzhandbuch für von AWS verwaltete Richtlinien.
Auftragsfunktion Support Benutzer
Name der von AWS verwalteten Richtlinie: SupportUser
Anwendungsfall: Dieser Benutzer kontaktiert den AWS-Support, erstellt Support-Vorgänge und zeigt den Status vorhandener Fälle.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Diese Richtlinie gewährt Berechtigungen zum Erstellen und Aktualisieren von AWS Support-Fällen. Weitere Informationen zur verwalteten Richtlinie finden Sie unter SupportUser im Referenzhandbuch für von AWS verwaltete Richtlinien.
Funktion des Systemadministrators
Name der von AWS verwalteten Richtlinie: SystemAdministrator
Anwendungsfall: Dieser Benutzer richtet Ressourcen für Entwicklungsvorgänge ein und verwaltet diese.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Beschreibung der Richtlinie: Diese Richtlinie erteilt Berechtigungen zum Erstellen und Verwalten von -Ressourcen in einer Vielzahl von AWS-Diensten, einschließlich AWS CloudTrail, Amazon CloudWatch, AWS CodeCommit, AWS CodeDeploy, AWS Config, AWS Directory Service, Amazon EC2, AWS Identity and Access Management, AWS Key Management Service, AWS Lambda, Amazon RDS, Route 53, Amazon S3, Amazon SES, Amazon SQS, AWS Trusted Advisor und Amazon VPC. Weitere Informationen zur verwalteten Richtlinie finden Sie unter SystemAdministrator im Referenzhandbuch für von AWS verwaltete Richtlinien.
Diese Auftragsfunktion erfordert die Möglichkeit, Rollen an AWS-Services zu übergeben. Die Richtlinie gewährt iam:GetRole und iam:PassRole ausschließlich für die in der folgenden Tabelle genannten Rollen. Weitere Informationen finden Sie unter Erstellen von Rollen und Anfügen von Richtlinien (Konsole) an späterer Stelle in diesem Thema. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
| Anwendungsfall | Rollenname (* ist ein Platzhalter) | Auszuwählender Servicerollentyp | Auszuwählende von AWS verwaltete Richtlinie |
|---|---|---|---|
| Apps, die in EC2-Instances in einem Amazon ECS-Cluster ausgeführt werden, können auf Amazon ECS zuzugreifen | ecr-sysadmin-* | Amazon EC2-Rolle für EC2 Container Service | AmazonEC2ContainerServiceforEC2Role |
| Ein Benutzer kann Datenbanken überwachen | rds-monitoring-role | Amazon RDS Role for Enhanced Monitoring | AmazonRDSEnhancedMonitoringRole |
| Apps, die in EC2-Instances ausgeführt werden, können auf AWS-Ressourcen zugreifen. | ec2-sysadmin-* | Amazon EC2 | Beispielrichtlinie für eine Rolle, die Zugriff auf einen S3-Bucket gewährt, wie im Amazon-EC2-Benutzerhandbuch beschrieben. Ist bei Bedarf anpassbar |
| Lambda kann DynamoDB Streams lesen und in CloudWatch Logs schreiben | lambda-sysadmin-* | AWS Lambda | AWSLambdaDynamoDBExecutionRole |
Auftragsfunktion für Benutzer mit Lesezugriff
Name der von AWS verwalteten Richtlinie: ViewOnlyAccess
Anwendungsfall: Dieser Benutzer kann eine Liste der AWS-Ressourcen und grundlegenden Metadaten im Konto für alle Services anzeigen. Der Benutzer kann Ressourceninhalt oder Metadaten, die über das Kontingent hinausgehen, nicht lesen und keine Informationen für Ressourcen auflisten.
Richtlinienaktualisierungen: AWS verwaltet und aktualisiert diese Richtlinie. Eine Historie der Änderungen für diese Richtlinie finden Sie in der IAM-Konsole, und wählen Sie dann die Versionen der Datenlinien-Registerkarte. Weitere Informationen zu Auftragsfunktions-Richtlinienaktualisierungen finden Sie unter Von AWS verwaltete Richtlinien für Auftragsfunktionen.
Richtlinienbeschreibung: Diese Richtlinie gewährt List*, Describe*, Get*, View* und Lookup*-Zugriff auf Ressourcen für die meisten AWS-Services. Informationen dazu, welche Aktionen diese Richtlinie für die einzelnen Services enthält, finden Sie unter ViewOnlyAccess
Von AWS verwaltete Richtlinien für Auftragsfunktionen
Diese Richtlinien werden alle von AWS gepflegt und auf dem neuesten Stand gehalten, damit Unterstützung für neue Services und Funktionen, die von AWS hinzugefügt werden, geboten werden kann. Diese Richtlinien können nicht von den Kunden geändert werden. Sie können eine Kopie der Richtlinie erstellen und diese dann ändern. Die Kopie wird jedoch nicht automatisch aktualisiert, wenn AWS neue Services und APIs-Operationen einführt.
Für eine Auftragsfunktionsrichtlinie können Sie den Versionsverlauf sowie die Uhrzeit und das Datum jedes Updates in der IAM-Konsole anzeigen. Verwenden Sie dazu die Links auf dieser Seite, um die Richtliniendetails anzuzeigen. Wählen Sie dann die Versionen der Datenlinien, um die Versionen anzuzeigen. Auf dieser Seite werden die letzten 25 Versionen einer Richtlinie angezeigt. Um alle Versionen für eine Richtlinie anzuzeigen, rufen Sie den Befehl get-policy-version AWS CLI oder den API-Vorgang GetPolicyVersion auf.
Anmerkung
Sie können bis zu fünf Versionen einer vom Kunden verwalteten Richtlinie haben, aber AWS speichert den gesamten Versionsverlauf der von AWS verwalteten Richtlinien.
