Markieren von OpenID-Connect(OIDC)-Identitätsanbietern

Sie können -Tag-Schlüsselwertpaare verwenden, um IAM-OpenID-Connect(OIDC)-Identitätsanbietern benutzerdefinierte Attribute hinzuzufügen. Um beispielsweise einen IAM-OIDC-Identitätsanbieter zu identifizieren, können Sie den Tag-Schlüssel google und den Tag-Wert oidc hinzufügen. Sie können Tags verwenden, um den Zugriff auf Ressourcen zu steuern oder zu kontrollieren, welche Tags mit einem Objekt verknüpft werden können. Weitere Informationen über die Verwendung von Tags zur Zugriffskontrolle finden Sie unter Steuerung des Zugriffs auf und für IAM-Benutzer und IAM-Rollen mithilfe von Tags.

Erforderliche Berechtigungen zum Markieren von IAM-OIDC-Identitätsanbietern

Sie müssen Berechtigungen konfigurieren, damit eine IAM-Entität (Benutzer oder Rolle) andere IAM-OIDC-Identitätsanbieter markieren kann. Sie können eine oder alle der folgenden IAM-Tag-Aktionen in einer IAM-Richtlinien angeben:

• iam:ListOpenIDConnectProviderTags

• iam:TagOpenIDConnectProvider

• iam:UntagOpenIDConnectProvider

So gestatten Sie einer IAM-Entität (Benutzer oder Rolle), ein Tag für einen IAM-OIDC-Identitätsanbieter hinzuzufügen, aufzulisten oder zu entfernen

Fügen Sie die folgende Anweisung der Berechtigungsrichtlinie für die IAM-Entität hinzu, die Tags verwalten soll. Verwenden Sie Ihre Kontonummer und ersetzen Sie <OIDCProviderName> durch den Namen des OIDC-Anbieters, dessen Tags verwaltet werden müssen. Informationen zum Erstellen einer Richtlinie mit diesem Beispiel-JSON-Richtliniendokument finden Sie unter Erstellen von Richtlinien mit dem JSON-Editor.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListOpenIDConnectProviderTags",
        "iam:TagOpenIDConnectProvider",
        "iam:UntagOpenIDConnectProvider"
    ],
    "Resource": "arn:aws:iam::<account-number>:oidc-provider/<OIDCProviderName>"
}

So gestatten Sie einer IAM-Entität (Benutzer oder Rolle), einem bestimmten IAM-OIDC-Identitätsanbieter ein Tag hinzuzufügen

Fügen Sie die folgende Anweisung der Berechtigungsrichtlinie für die IAM-Entität hinzu, die Tags für einen bestimmten Identitätsanbieter hinzufügen, jedoch nicht entfernen soll.

Anmerkung

Die iam:TagOpenIDConnectProvider-Aktion erfordert, dass Sie auch die iam:ListOpenIDConnectProviderTags-Aktion einbeziehen.

Um diese Richtlinie zu verwenden, ersetzen Sie <OIDCProviderName> durch den Namen des OIDC-Anbieters, dessen Tags verwaltet werden müssen. Informationen zum Erstellen einer Richtlinie mit diesem Beispiel-JSON-Richtliniendokument finden Sie unter Erstellen von Richtlinien mit dem JSON-Editor.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListOpenIDConnectProviderTags",
        "iam:TagOpenIDConnectProvider"
    ],
    "Resource": "arn:aws:iam::<account-number>:oidc-provider/<OIDCProviderName>"
}

Alternativ können Sie mit einer verwalteten AWS-Richtlinie wie IAMFullAccess Vollzugriff auf IAM gewähren.

Verwalten von Tags auf IAM-OIDC-Identitätsanbietern (Konsole)

Sie können Tags für IAM-OIDC-Identitätsanbieter über AWS Management Console verwalten.

Anmerkung

Sie können Tags nur mit der neuen Identitätsanbieter-Konsolenerfahrung verwalten.

Verwalten der Tags auf OIDC-Identitätsanbietern (Konsole)

1. Melden Sie sich bei der AWS Management Console an, und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich der Konsole Identitätsanbieter und anschließend den Namen des Identitätsanbieters aus, den Sie bearbeiten möchten.

3. Wählen Sie im Abschnitt Tags Managing Tags (Tags verwalten) aus und schließen Sie eine der folgenden Aktionen ab:

   • Wählen Sie Add Tag (Tag hinzufügen), wenn der OIDC-Identitätsanbieter noch keine Tags hat oder um ein neues Tag hinzuzufügen.

   • Bearbeiten Sie vorhandene Tag-Schlüssel und -Werte.

   • Klicken Sie zum Entfernen eines Tags auf Remove tag (Tag entfernen).

4. Wählen Sie dann Save changes (Änderungen speichern).

Verwalten von Tags auf IAM-OIDC-Identitätsanbietern (AWS CLI- oder AWS-API)

Sie können Tags für IAM-OIDC-Identitätsanbieter auflisten, anfügen oder entfernen. Sie können die AWS CLI- oder die AWS-API verwenden, um Tags für IAM-OIDC-Identitätsanbieter zu verwalten.

Auflisten von Tags, die derzeit an einen IAM-OIDC-Identitätsanbieter (AWS CLI- oder AWS-API) angehängt sind

• AWS CLI: aws iam list-open-id-connect-provider-tags

• AWS API: ListOpenIDConnectProviderTags

Anfügen von Tags an einen IAM-OIDC-Identitätsanbieter (AWS CLI- oder AWS-API)

• AWS CLI: aws iam tag-open-id-connect-provider

• AWS API: TagOpenIDConnectProvider

Entfernen von Tags von einem IAM-OIDC-Identitätsanbieter (AWS CLI- oder AWS-API)

• AWS CLI: aws iam untag-open-id-connect-provider

• AWS API: UntagOpenIDConnectProvider

Informationen über das Anfügen von Tags an Ressourcen für andere AWS-Services finden Sie in der Dokumentation für diese Services.

Weitere Informationen über die Verwendung von Tags, um präzisere Berechtigungen mit IAM-Berechtigungsrichtlinien festzulegen, finden Sie unter IAM-Richtlinienelemente: Variablen und Tags.