Verfügbare Schlüssel für IAM Verfügbare Schlüssel für den AWS OIDC-Verbund Serviceübergreifende AWS OIDC-Verbundkontextschlüssel Verfügbare Schlüssel für SAML-basierten AWS STS -Verbund Serviceübergreifende SAML-basierte AWS STS Verbundkontextschlüssel Verfügbare Schlüssel für AWS STS

IAM- und - AWS STS Bedingungskontextschlüssel

Sie können das -ConditionElement in einer JSON-Richtlinie verwenden, um den Wert von Schlüsseln zu testen, die im Anforderungskontext aller AWS Anforderungen enthalten sind. Diese Schlüssel enthalten Informationen zu der Anforderung selbst oder zu den Ressourcen, die die Anforderung referenziert. Sie können die Schlüssel auf bestimmte Werte überprüfen, bevor Sie die angeforderte Aktion zulassen. So können Sie genau steuern, wann Ihre JSON-Richtlinienanweisungen mit einer eingehenden Anforderung übereinstimmen. Weitere Informationen zur Verwendung des Elements Condition in JSON-Richtlinien finden Sie unter IAM-JSON-Richtlinienelemente: Condition.

In diesem Thema werden die Schlüssel beschrieben, die vom IAM-Service (mit einem -iam:Präfix) und dem AWS Security Token Service (AWS STS)-Service (mit einem sts:-Präfix) definiert und bereitgestellt werden. Mehrere andere - AWS Services stellen auch servicespezifische Schlüssel bereit, die für die von diesem Service definierten Aktionen und Ressourcen relevant sind. Weitere Informationen finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für - AWS Services. Weitere Informationen zu den unterstützten Bedingungsschlüsseln können Sie meist der Dokumentation des jeweiligen Service entnehmen. Weitere Informationen zu Schlüsseln, die Sie in Richtlinien für Amazon-S3-Ressourcen verwenden können, finden Sie beispielsweise unter Amazon-S3-Richtlinienschlüssel im Benutzerhandbuch für Amazon Simple Storage Service.

Themen

Verfügbare Schlüssel für IAM
Verfügbare Schlüssel für den AWS OIDC-Verbund
Serviceübergreifende AWS OIDC-Verbundkontextschlüssel
Verfügbare Schlüssel für SAML-basierten AWS STS -Verbund
Serviceübergreifende SAML-basierte AWS STS Verbundkontextschlüssel
Verfügbare Schlüssel für AWS STS

Verfügbare Schlüssel für IAM

Sie können die folgenden Bedingungsschlüssel in Richtlinien verwenden, die zur Zugriffssteuerung auf IAM-Ressourcen genutzt werden:

iam:AssociatedResourceArn

Funktioniert mit ARN-Operatoren.

Gibt den ARN der Ressource an, der diese Rolle beim Zielservice zugeordnet wird. Die Ressource gehört normalerweise zu dem Service, an den der Auftraggeber die Rolle übergibt. Manchmal kann die Ressource zu einem dritten Service gehören. Sie können beispielsweise eine Rolle an Amazon EC2 Auto Scaling übergeben, die sie auf einer Amazon EC2-Instance verwenden. In diesem Fall würde die Bedingung mit dem ARN der Amazon EC2-Instance übereinstimmen.

Dieser Bedingungsschlüssel gilt nur für die PassRole Aktion in einer Richtlinie. Er kann nicht verwendet werden, um eine andere Aktion zu beschränken.

Verwenden Sie diesen Bedingungsschlüssel in einer Richtlinie, um einer Entität das Übergeben einer Rolle zu ermöglichen, jedoch nur, wenn diese Rolle der angegebenen Ressource zugeordnet ist. Sie können Platzhalter (*) verwenden, um Vorgänge zu ermöglichen, die für einen bestimmten Ressourcentyp ausgeführt werden, ohne die Regions- oder Ressourcen-ID einzuschränken. Beispielsweise können Sie einem IAM-Benutzerus-east-1 oder einer entsprechenden Rolle erlauben, eine beliebige Rolle an den Amazon EC2-Service zu übergeben, die mit Instances in der Region oder us-west-1 verwendet werden soll. Der IAM-Benutzer oder die IAM-Rolle wäre nicht berechtigt, Rollen an andere Services zu übergeben. Darüber hinaus ermöglicht Amazon EC2 nicht, die Rolle mit Instances in anderen Regionen zu verwenden.


{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "*",
    "Condition": {
        "StringEquals": {"iam:PassedToService": "ec2.amazonaws.com"},
        "ArnLike": {
            "iam:AssociatedResourceARN": [
                "arn:aws:ec2:us-east-1:111122223333:instance/*",
                "arn:aws:ec2:us-west-1:111122223333:instance/*"
            ]
        }
    }
}

Anmerkung

AWS -Services, die iam unterstützen:PassedToService unterstützen auch diesen Bedingungsschlüssel.

iam:AWSServiceName

Funktioniert mit Zeichenfolgenoperatoren.

Gibt den AWS Service an, an den diese Rolle angefügt ist.

In diesem Beispiel erlauben Sie einer Entität das Erstellen einer serviceverknüpften Rolle, wenn der Servicename access-analyzer.amazonaws.com. lautet.


{
   "Version": "2012-10-17",
   "Statement": [{
       "Effect": "Allow",
       "Action": "iam:CreateServiceLinkedRole",
       "Resource": "*",
       "Condition": {
         "StringLike": {
           "iam:AWSServiceName": "access-analyzer.amazonaws.com"
         }
       }
     }]
 }

iam:FIDO-certification

Funktioniert mit Zeichenfolgenoperatoren.

Überprüft die FIDO-Zertifizierungsstufe des MFA-Geräts zum Zeitpunkt der Registrierung eines FIDO-Sicherheitsschlüssels. Die Gerätezertifizierung wird vom FIDO Alliance Metadata Service (MDS) abgerufen. Wenn sich der Zertifizierungsstatus oder die Stufe Ihres FIDO-Sicherheitsschlüssels ändert, wird dieser nicht aktualisiert, es sei denn, das Gerät wird deregistriert und erneut registriert, um die aktualisierten Zertifizierungsinformationen abzurufen.

Mögliche Werte von L1, L1plus, L2, L2plus, L3, L3plus

In diesem Beispiel registrieren Sie einen Sicherheitsschlüssel und erhalten die FIDO Level 1 Plus-Zertifizierung für Ihr Gerät.


{
      "Version": "2012-10-17",
      "Statement": [{
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Create"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Activate",
                    "iam:FIDO-certification": "L1plus"
                }
            }
        }
    ]
                  
 }

iam:FIDO-FIPS-140-2-certification

Funktioniert mit Zeichenfolgenoperatoren.

Überprüft die FIPS-140-2-Validierungszertifizierungsstufe des MFA-Geräts zum Zeitpunkt der Registrierung eines FIDO-Sicherheitsschlüssels. Die Gerätezertifizierung wird vom FIDO Alliance Metadata Service (MDS) abgerufen. Wenn sich der Zertifizierungsstatus oder die Stufe Ihres FIDO-Sicherheitsschlüssels ändert, wird dieser nicht aktualisiert, es sei denn, das Gerät wird deregistriert und erneut registriert, um die aktualisierten Zertifizierungsinformationen abzurufen.

Mögliche Werte von L1, L2, L3, L4

In diesem Beispiel registrieren Sie einen Sicherheitsschlüssel und erhalten die Zertifizierung FIPS-140-2 Level 2 für Ihr Gerät.


{
      "Version": "2012-10-17",
      "Statement": [{
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Create"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Activate",
                    "iam:FIDO-FIPS-140-2-certification": "L2"
                }
            }
        }
    ]
                  
 }

iam:FIDO-FIPS-140-3-certification

Funktioniert mit Zeichenfolgenoperatoren.

Überprüft die FIPS-140-3-Validierungszertifizierungsstufe des MFA-Geräts zum Zeitpunkt der Registrierung eines FIDO-Sicherheitsschlüssels. Die Gerätezertifizierung wird vom FIDO Alliance Metadata Service (MDS) abgerufen. Wenn sich der Zertifizierungsstatus oder die Stufe Ihres FIDO-Sicherheitsschlüssels ändert, wird dieser nicht aktualisiert, es sei denn, das Gerät wird deregistriert und erneut registriert, um die aktualisierten Zertifizierungsinformationen abzurufen.

Mögliche Werte von L1, L2, L3, L4

In diesem Beispiel registrieren Sie einen Sicherheitsschlüssel und erhalten die Zertifizierung FIPS-140-3 Level 3 für Ihr Gerät.


{
      "Version": "2012-10-17",
      "Statement": [{
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Create"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Activate",
                    "iam:FIDO-FIPS-140-3-certification": "L3"
                }
            }
        }
    ]
                  
 }

iam:RegisterSecurityKey

Funktioniert mit Zeichenfolgenoperatoren.

Prüft den aktuellen Status der MFA-Geräteaktivierung.

Mögliche Werte von Create oder Activate.

In diesem Beispiel registrieren Sie einen Sicherheitsschlüssel und erhalten die Zertifizierung FIPS-140-3 Level 1 für Ihr Gerät.


{
      "Version": "2012-10-17",
      "Statement": [{
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Create"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:EnableMFADevice",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:RegisterSecurityKey" : "Activate",
                    "iam:FIDO-FIPS-140-3-certification": "L1"
                }
            }
        }
    ]
                  
 }

iam:OrganizationsPolicyId

Funktioniert mit Zeichenfolgenoperatoren.

Prüft, ob die Richtlinie mit der angegebenen AWS Organizations ID mit der in der Anforderung verwendeten Richtlinie übereinstimmt. Informationen zum Anzeigen einer IAM-Beispielrichtlinie, die diesen Bedingungsschlüssel verwendet, finden Sie unter IAM: Anzeigen von Informationen zum letzten Zugriff auf einen Service für eine Organizations-Richtlinie.

iam:PassedToService

Funktioniert mit Zeichenfolgenoperatoren.

Gibt den ServiceAuftraggeber des Services an, an den eine Rolle übergeben werden kann. Dieser Bedingungsschlüssel gilt nur für die PassRole Aktion in einer Richtlinie. Er kann nicht verwendet werden, um eine andere Aktion zu beschränken.

Wenn Sie diesen Bedingungsschlüssel in einer Richtlinie verwenden, geben Sie den Service über einen Dienstauftraggeber an. Ein ServiceAuftraggeber ist der Name eines Services, der im Element Principal einer Richtlinie angegeben werden kann. Standardformat: SERVICE_NAME_URL.amazonaws.com.

Sie können iam:PassedToService verwenden, um die Benutzer einzuschränken, damit sie Rollen nur an bestimmte Services übergeben können. Beispielsweise kann ein Benutzer eine Servicerolle erstellen, die darauf vertraut CloudWatch , Protokolldaten in seinem Namen in einen Amazon S3-Bucket zu schreiben. Der Benutzer muss dann eine Berechtigungsrichtlinie und eine Vertrauensrichtlinie an die neue Servicerolle anfügen. In diesem Fall muss die Vertrauensrichtlinie cloudwatch.amazonaws.com im Element Principal angeben. Informationen zum Anzeigen einer Richtlinie, die es dem Benutzer ermöglicht, die Rolle an zu übergeben CloudWatch, finden Sie unter IAM: Übergeben einer IAM-Rolle an einen bestimmten AWS-Service.

Mit diesem Bedingungsschlüssel können Sie sicherstellen, dass Benutzer Servicerollen nur für die von Ihnen angegebenen Services erstellen. Wenn beispielsweise ein Benutzer mit der vorherigen Richtlinie versucht, eine Servicerolle für Amazon EC2 zu erstellen, schlägt der Vorgang fehl. Der Fehlschlag tritt auf, weil der Benutzer nicht über die Berechtigung verfügt, die Rolle an Amazon EC2 zu übergeben.

Manchmal übergeben Sie eine Rolle an einen Service, der die Rolle dann an einen anderen Service übergibt. iam:PassedToService enthält nur den endgültigen Dienst, der die Rolle übernimmt, nicht den Zwischendienst, der die Rolle übergibt.

Anmerkung

Einige Services unterstützen diesen Bedingungsschlüssel nicht.

iam:PermissionsBoundary

Funktioniert mit ARN-Operatoren.

Überprüft, ob die angegebene Richtlinie als Berechtigungsgrenze an die IAM-Auftraggeber-Ressource angefügt. Weitere Informationen finden Sie unter Berechtigungsgrenzen für IAM-Entitäten

iam:PolicyARN

Funktioniert mit ARN-Operatoren.

Prüft den Amazon-Ressourcennamen (ARN) einer verwalteten Richtlinie in Anforderungen mit Beteiligung einer verwalteten Richtlinie. Weitere Informationen finden Sie unter Steuern des Zugriffs auf Richtlinien.

iam:ResourceTag/key-name

Funktioniert mit Zeichenfolgenoperatoren.

Überprüft, ob das an die Identitätsressource (Benutzer oder Rolle) angefügte Tag mit dem angegebenen Schlüsselnamen und Wert übereinstimmt.

Anmerkung

IAM und AWS STS unterstützen sowohl den iam:ResourceTag IAM-Bedingungsschlüssel als auch den aws:ResourceTag globalen Bedingungsschlüssel.

Sie können IAM-Ressourcen benutzerdefinierte Attribute in Form eines Schlüssel-Wert-Paares hinzufügen. Weitere Informationen zum Markieren von IAM-Ressourcen finden Sie unter Markieren von IAM-Ressourcen. Sie können ResourceTag verwenden, um den Zugriff auf AWS -Ressourcen, einschließlich IAM-Ressourcen, zu steuern. IAM unterstützt jedoch keine Tags für Gruppen. Daher können Sie Tags nicht verwenden, um den Zugriff auf Gruppen zu steuern.

Dieses Beispiel zeigt, wie Sie eine identitätsbasierte Richtlinie erstellen könnten, die das Löschen von Benutzern mit dem status=terminated-Tag erlaubt. Um diese Richtlinie zu verwenden, ersetzen Sie den kursiv gedruckten Platzhaltertext in der Beispielrichtlinie durch Ihre eigenen Informationen. Befolgen Sie dann die Anweisungen unter Erstellen einer Richtlinie oder Bearbeiten einer Richtlinie.


{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": "iam:DeleteUser",
        "Resource": "*",
        "Condition": {"StringEquals": {"iam:ResourceTag/status": "terminated"}}
    }]
}

Verfügbare Schlüssel für den AWS OIDC-Verbund

Sie können den OIDC-Verbund verwenden, um Benutzern, die über einen OpenID Connect-konformen OpenID Provider (OP) authentifiziert wurden, temporäre Sicherheitsanmeldeinformationen an einen IAM OpenID Connect (OIDC)-Identitätsanbieter in Ihrem AWS Konto zu geben. Beispiele für solche Anbieter sind Login with Amazon, Amazon Cognito, Google oder Facebook. Identitätstoken (id_tokens) aus Ihrem eigenen OpenID-OP können ebenso verwendet werden wie ID-Token, die an Servicekonten von Clustern von Amazon Elastic Kubernetes Service ausgegeben wurden. In diesem Fall sind zusätzliche Bedingungsschlüssel verfügbar, wenn für die Anforderung temporäre Sicherheitsanmeldeinformationen verwendet werden. Sie können diese Schlüssel verwenden, um Richtlinien zu schreiben, die sicherstellen, dass Verbundbenutzer nur auf Ressourcen von bestimmten Anbietern, Apps oder Benutzern Zugriff erhalten. Diese Schlüssel werden in der Regel in der Vertrauensrichtlinie für eine Rolle verwendet. Definieren Sie Bedingungsschlüssel, indem Sie den Namen des OIDC-Anbieters verwenden, gefolgt von der Forderung (:aud, :azp, :amr, :sub). Für Rollen, die von Amazon Cognito verwendet werden, werden Schlüssel definiert mit cognito-identity.amazonaws.com, gefolgt von der Forderung.

amr

Funktioniert mit Zeichenfolgenoperatoren.

Beispiel: cognito-identity.amazonaws.com:amr

Wenn Sie Amazon Cognito für den OIDC-Verbund verwenden, enthält der cognito-identity.amazonaws.com:amr Schlüssel (Referenz zu Authentifizierungsmethoden) Anmeldeinformationen über den Benutzer. Der Schlüssel enthält mehrere Werte, d. h. Sie überprüfen ihn in einer Richtlinie mithilfe von Bedingungsmengenoperatoren. Der Schlüssel kann die folgenden Werte enthalten:

Wenn der Benutzer nicht authentifiziert wurde, enthält der Schlüssel nur unauthenticated.
Wenn der Benutzer authentifiziert wurde, enthält der Schlüssel den Wert authenticated sowie den Namen des Identitätsanbieters, der in dem Aufruf verwendet wurde (graph.facebook.com, accounts.google.com oder www.amazon.com).

Mithilfe der folgenden Bedingung in der Vertrauensrichtlinie für eine Amazon Cognito-Rolle wird beispielsweise überprüft, ob ein Benutzer authentifiziert ist:


"Condition": {
  "StringEquals": 
    { "cognito-identity.amazonaws.com:aud": "us-east-2:identity-pool-id" },
  "ForAnyValue:StringLike": 
    { "cognito-identity.amazonaws.com:amr": "unauthenticated" }
}

aud

Funktioniert mit Zeichenfolgenoperatoren.

Verwenden Sie den aud-Bedingungsschlüssel, um zu überprüfen, ob die Google-Client-ID oder die Amazon Cognito Identitätspool-ID mit der in der Richtlinie angegebenen übereinstimmt. Sie können den aud-Schlüssel mit dem sub-Schlüssel für denselben Identitätsanbieter verwenden.

Beispiele:

graph.facebook.com:app_id
accounts.google.com:aud
cognito-identity.amazonaws.com:aud

Das Feld graph.facebook.com:app_id stellt den Zielgruppenkontext bereit, der dem Feld „aud“ entspricht, das von anderen Identitätsanbietern verwendet wird.

Der accounts.google.com:aud-Bedingungsschlüssel stimmt mit den folgenden Google-ID-Token-Feldern überein.

aud for OAuth 2.0-Google-Client-IDs Ihrer Anwendung, wenn das Feld azp nicht festgelegt ist. Wenn das azp-Feld festgelegt ist, stimmt das aud-Feld mit dem Bedingungsschlüssel accounts.google.com:oaud überein.
azp, wenn das Feld azp festgelegt ist. Dies kann bei hybriden Anwendungen passieren, bei denen eine Webanwendung und eine Android-Anwendung eine unterschiedliche OAuth 2.0 Google-Client-ID haben, aber dasselbe Google-APIs-Projekt verwenden.

Weitere Informationen zu den Google-Feldern aud und azp finden Sie im Google Identity Platform OpenID Connect-Leitfaden.

Wenn Sie eine Richtlinie mit dem accounts.google.com:aud-Bedingungsschlüssel schreiben, müssen Sie wissen, ob die Anwendung eine Hybridanwendung ist, die das Feld azp festlegt.

azp-Feld nicht festgelegt

Die folgende Beispielrichtlinie funktioniert für nicht-hybride Anwendungen, die das Feld azp nicht festlegen. In diesem Fall stimmt der Wert des Google-ID-Token aud-Felds mit dem accounts.google.com:aud- und dem accounts.google.com:oaud-Bedingungsschlüsselwert überein.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"Federated": "accounts.google.com"},
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "accounts.google.com:aud": "aud-value",
                    "accounts.google.com:oaud": "aud-value",
                    "accounts.google.com:sub": "sub-value"
                }
            }
        }
    ]
}

azp-Feld festgelegt

Die folgende Beispielrichtlinie funktioniert für hybride Anwendungen, die das Feld azp festlegen. In diesem Fall stimmt der Wert des Google-ID-Token aud-Felds nur mit dem Wert des Bedingungsschlüssels accounts.google.com:oaud überein. Der Wert des Feldes azp entspricht dem Wert des accounts.google.com:aud-Bedingungsschlüssels.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"Federated": "accounts.google.com"},
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "accounts.google.com:aud": "azp-value",
                    "accounts.google.com:oaud": "aud-value",
                    "accounts.google.com:sub": "sub-value"
                }
            }
        }
    ]
}

id

Funktioniert mit Zeichenfolgenoperatoren.

Beispiele:

graph.facebook.com:id
www.amazon.com:app_id
www.amazon.com:user_id

Verwenden Sie diese Schlüssel, um zu überprüfen, ob die ID der Anwendung (oder Website) oder die Benutzer-ID mit der übereinstimmt, die Sie in der Richtlinie angeben. Dies funktioniert für Facebook oder Login with Amazon. Sie können den app_id-Schlüssel mit dem id-Schlüssel für denselben Identitätsanbieter verwenden.

oaud

Funktioniert mit Zeichenfolgenoperatoren.

Beispiel: accounts.google.com:oaud

Wenn Sie Google für den OIDC-Verbund verwenden, gibt dieser Schlüssel die Google-Zielgruppe (aud) an, für die dieses ID-Token vorgesehen ist. Es muss eine der OAuth 2.0-Client-IDs Ihrer Anwendung sein.

sub

Funktioniert mit Zeichenfolgenoperatoren.

Beispiele:

accounts.google.com:sub
cognito-identity.amazonaws.com:sub

Verwenden Sie diese Schlüssel, um zu überprüfen, ob die Benutzer-ID mit der ID übereinstimmt, die Sie in der Richtlinie angeben. Sie können den sub-Schlüssel mit dem aud-Schlüssel für denselben Identitätsanbieter verwenden.


{
    "Version": "2012-10-17",
    "Statement": [
        "Condition": {
              "StringEquals": {
                  "oidc.eks.us-east-1.amazonaws.com/id/111122223333:aud": "sts.amazonaws.com",
                  "oidc.eks.us-east-1.amazonaws.com/id/111122223333:sub": "system:serviceaccount:default:assumer"
               }
            }
    ]
      }

Weitere Informationen zum OIDC-Verbund

Weitere Informationen zum OIDC-Verbund finden Sie hier:

Serviceübergreifende AWS OIDC-Verbundkontextschlüssel

Einige OIDC-Verbundbedingungsschlüssel können in Rollenvertrauensrichtlinien verwendet werden, um zu definieren, auf welche Benutzer in anderen AWS Services zugreifen dürfen. Dies sind die folgenden Bedingungsschlüssel, die in Rollenvertrauensrichtlinien verwendet werden können, wenn Verbundprinzipale eine andere Rolle übernehmen, und in Ressourcenrichtlinien von anderen - AWS Services, um den Ressourcenzugriff durch Verbundprinzipale zu autorisieren. Wenn Sie Amazon Cognito für den OIDC-Verbund verwenden, sind diese Schlüssel verfügbar, wenn der Benutzer authentifiziert wird.

Wählen Sie einen Bedingungsschlüssel aus, um die Beschreibung zu sehen.

Anmerkung

Nach der Authentifizierung und Autorisierung des externen Identitätsanbieters (IdP) für den ersten AssumeRoleWithWebIdentity Vorgang stehen keine anderen Bedingungsschlüssel für den Web-Identitätsverbund zur Verfügung.

Verfügbare Schlüssel für SAML-basierten AWS STS -Verbund

Wenn Sie mit dem SAML-basierten Verbund unter Verwendung von AWS Security Token Service (AWS STS) arbeiten, können Sie zusätzliche Bedingungsschlüssel in die Richtlinie aufnehmen.

Vertrauensrichtlinien der SAML-Rolle

Sie können in der Vertrauensrichtlinie einer Rolle die folgenden Schlüssel verwenden, um festzustellen, ob der Aufrufer die Rolle übernehmen darf. Abgesehen von saml:doc werden alle Werte aus der SAML-Zusicherung abgeleitet. Alle Elemente in der Liste sind im visuellen Editor der IAM-Konsole verfügbar, wenn Sie eine Richtlinie mit Bedingungen erstellen oder bearbeiten. Elemente, die mit [] gekennzeichnet sind, können einen Wert enthalten, der eine Liste des angegebenen Typs ist.

saml:aud

Funktioniert mit Zeichenfolgenoperatoren.

Eine Endpunkt-URL, für die SAML-Zusicherungen bereitgestellt werden. Der Wert dieses Schlüssels stammt aus dem Feld SAML Recipient der Zusicherung, nicht aus dem Feld Audience.

saml:commonName[]

Funktioniert mit Zeichenfolgenoperatoren.

Dies ist ein commonName-Attribut.

saml:cn[]

Funktioniert mit Zeichenfolgenoperatoren.

Hierbei handelt es sich um ein eduOrg-Attribut.

saml:doc

Funktioniert mit Zeichenfolgenoperatoren.

Dieser Schlüssel steht für den Auftraggeber, der zum Übernehmen der Rolle verwendet wurde. Das Format ist account-ID /provider-friendly-name, z. B. 123456789012/SAMLProviderName. Der Wert Konto-ID bezieht sich auf das Konto, zu dem der SAML-Anbieter gehört.

saml:edupersonaffiliation[]

Funktioniert mit Zeichenfolgenoperatoren.