Zugriff verwalten auf AWS Trusted Advisor

Sie können von der AWS Trusted Advisor aus darauf zugreifen. AWS Management Console Alle AWS-Konten haben Zugriff auf ausgewählte Trusted Advisor Kernprüfungen. Wenn Sie einen Business-, Enterprise-On-Ramp- oder Enterprise-Supportplan haben, können Sie auf alle Prüfungen zugreifen. Weitere Informationen finden Sie unter AWS Trusted Advisor Referenz überprüfen.

Sie können AWS Identity and Access Management (IAM) verwenden, um den Zugriff auf zu Trusted Advisor kontrollieren.

Berechtigungen für die Trusted Advisor Konsole

Um auf die Trusted Advisor Konsole zugreifen zu können, muss ein Benutzer über Mindestberechtigungen verfügen. Diese Berechtigungen müssen es dem Benutzer ermöglichen, Informationen zu den Trusted Advisor Ressourcen in Ihrem Verzeichnis aufzulisten und einzusehen AWS-Konto.

Sie können die folgenden Optionen zum Steuern des Zugriffs auf Trusted Advisor verwenden:

• Verwenden Sie die Tag-Filterfunktion der Trusted Advisor Konsole. Der Benutzer oder die Rolle muss über Berechtigungen verfügen, die mit den Tags verknüpft sind.

  Sie können AWS verwaltete oder benutzerdefinierte Richtlinien verwenden, um Berechtigungen anhand von Tags zuzuweisen. Weitere Informationen finden Sie unter Controlling access to and for IAM users and roles using tags (Steuern des Zugriffs auf und für IAM-Benutzer und -Rollen mithilfe von Ressourcen-Tags).

• Erstellen Sie eine IAM-Richtlinie mit dem trustedadvisor-Namespace. Sie können diese Richtlinie verwenden, um Berechtigungen für Aktionen und Ressourcen anzugeben.

Wenn Sie eine Richtlinie erstellen, können Sie den Namespace des Dienstes angeben, um eine Aktion zuzulassen oder zu verweigern. Der Namespace für Trusted Advisor isttrustedadvisor. Sie können den trustedadvisor Namespace jedoch nicht verwenden, um Trusted Advisor API-Operationen in der AWS Support API zuzulassen oder abzulehnen. Sie müssen stattdessen den support-Namespace für AWS Support verwenden.

Anmerkung

Wenn Sie über Berechtigungen für die AWS SupportAPI verfügen, AWS Management Console zeigt das Trusted Advisor Widget in der eine Übersichtsansicht Ihrer Trusted Advisor Ergebnisse. Um Ihre Ergebnisse in der Trusted Advisor Konsole anzeigen zu können, benötigen Sie Berechtigungen für den trustedadvisor Namespace.

Trusted Advisor Aktionen

Sie können die folgenden Trusted Advisor Aktionen in der Konsole ausführen. Sie können diese Trusted Advisor Aktionen auch in einer IAM-Richtlinie angeben, um bestimmte Aktionen zuzulassen oder abzulehnen.

Aktion	Beschreibung
DescribeAccount	Erteilt die Erlaubnis, den AWS Support Plan und verschiedene Trusted Advisor Einstellungen einzusehen.
DescribeAccountAccess	Erlaubt die Anzeige, ob der aktiviert oder deaktiviert AWS-Konto wurde Trusted Advisor.
DescribeCheckItems	Erteilt die Berechtigung zum Anzeigen von Details für die Prüfelemente
DescribeCheckRefreshStatuses	Erteilt die Erlaubnis, die Aktualisierungsstatus der Trusted Advisor Prüfungen einzusehen.
DescribeCheckSummaries	Erteilt die Berechtigung zum Anzeigen von Trusted Advisor Scheckzusammenfassungen.
DescribeChecks	Erteilt die Erlaubnis, Details zu Trusted Advisor Schecks einzusehen.
DescribeNotificationPreferences	Erteilt die Berechtigung zum Anzeigen der Benachrichtigungseinstellungen für das AWS -Konto.
ExcludeCheckItems	Erteilt die Berechtigung zum Ausschließen von Empfehlungen für Trusted Advisor -Prüfungen.
IncludeCheckItems	Erteilt die Berechtigung zum Einschließen von Empfehlungen für Trusted Advisor -Prüfungen.
RefreshCheck	Erteilt die Erlaubnis, einen Trusted Advisor Scheck zu aktualisieren.
SetAccountAccess	Erteilt die Erlaubnis, das Konto zu aktivieren oder zu deaktivieren Trusted Advisor .
UpdateNotificationPreferences	Erteilt die Berechtigung zum Aktualisieren der Benachrichtigungseinstellungen für Trusted Advisor.
DescribeCheckStatusHistoryChanges	Gewährt die Berechtigung zum Anzeigen von Ergebnissen und geänderten Status für Überprüfungen der letzten 30 Tage.

Trusted Advisor Aktionen für die organisatorische Ansicht

Die folgenden Trusted Advisor Aktionen beziehen sich auf die Funktion „Organisatorische Ansicht“. Weitere Informationen finden Sie unter Organisationsansicht für AWS Trusted Advisor.

Aktion	Beschreibung
DescribeOrganization	Erteilt die Berechtigung zur Anzeige, ob die AWS-Konto Anforderungen für die Aktivierung der Funktion „Organisationsansicht“ erfüllt sind.
DescribeOrganizationAccounts	Erteilt die Berechtigung zum Anzeigen der verknüpften AWS Konten in der Organisation.
DescribeReports	Erteilt die Berechtigung zum Anzeigen von Details für Organisationsansichtsberichte, z. B. Berichtsname, Laufzeit, Erstellungsdatum, Status und Format.
DescribeServiceMetadata	Erteilt die Berechtigung zum Anzeigen von Informationen zu Berichten mit organisatorischen Ansichten, wie z. B. Check-Kategorien, Schecknamen und Ressourcenstatus. AWS-Regionen
GenerateReport	Erteilt die Berechtigung, einen Bericht für Trusted Advisor Schecks in Ihrer Organisation zu erstellen.
ListAccountsForParent	Erteilt die Berechtigung, in der Trusted Advisor Konsole alle Konten einer AWS Organisation anzuzeigen, die zu einem Stamm oder einer Organisationseinheit (OU) gehören.
ListOrganizationalUnitsForParent	Erteilt die Berechtigung, in der Trusted Advisor Konsole alle Organisationseinheiten (OUs) einer übergeordneten Organisationseinheit oder einem Stamm anzuzeigen.
ListRoots	Erteilt die Berechtigung, in der Trusted Advisor Konsole alle Stammverzeichnisse anzuzeigen, die in einer AWS Organisation definiert sind.
SetOrganizationAccess	Erteilt die Berechtigung, die Funktion zur Organisationsansicht für zu aktivieren Trusted Advisor.

Trusted Advisor Vorrangige Aktionen

Wenn Sie Trusted Advisor Priority für Ihr Konto aktiviert haben, können Sie die folgenden Trusted Advisor Aktionen in der Konsole ausführen. Sie können diese Trusted Advisor -Aktionen auch in einer IAM-Richtlinie hinzufügen, um bestimmte Aktionen zuzulassen oder zu verweigern. Weitere Informationen finden Sie unter Beispiel-IAM-Richtlinien für Trusted Advisor -Priorität..

Anmerkung

Bei den unter Trusted Advisor Priorität aufgeführten Risiken handelt es sich um Empfehlungen, die Ihr Technical Account Manager (TAM) für Ihr Konto identifiziert hat. Empfehlungen von einem Dienst, z. B. ein Trusted Advisor Scheck, werden automatisch für Sie erstellt. Empfehlungen von Ihrem TAM werden manuell für Sie erstellt. Als Nächstes sendet Ihr TAM diese Empfehlungen, sodass sie in Ihrem Konto als Trusted Advisor Priorität angezeigt werden.

Weitere Informationen finden Sie unter Erste Schritte mit der AWS Trusted Advisor-Priorität.

Aktion	Beschreibung
DescribeRisks	Erteilt die Erlaubnis, Risiken mit Trusted Advisor Priorität anzuzeigen.
DescribeRisk	Erteilt die Erlaubnis, Risikodetails in Trusted Advisor Priority anzuzeigen.
DescribeRiskResources	Gewährt die Berechtigung zum Anzeigen von betroffener Ressourcen für ein Risiko in der Trusted Advisor -Priorität.
DownloadRisk	Erteilt die Erlaubnis, eine Datei herunterzuladen, die Details zum Risiko in Trusted Advisor Priority enthält.
UpdateRiskStatus	Gewährt die Berechtigung zum Aktualisieren des Risikostatus in der Trusted Advisor -Priorität.
DescribeNotificationConfigurations	Erteilt die Erlaubnis, Ihre E-Mail-Benachrichtigungseinstellungen für Trusted Advisor Priority abzurufen.
UpdateNotificationConfigurations	Gewährt die Berechtigung zum Erstellen oder Aktualisieren Ihrer E-Mail-Benachrichtigungseinstellungen für die Trusted Advisor -Priorität.
DeleteNotificationConfigurationForDelegatedAdmin	Erteilt dem Organisationsverwaltungskonto die Berechtigung, E-Mail-Benachrichtigungseinstellungen aus einem delegierten Administratorkonto für Trusted Advisor Priority zu löschen.

Trusted Advisor Aktionen einleiten

Wenn Sie Trusted Advisor Engage für Ihr Konto aktiviert haben, können Sie die folgenden Trusted Advisor Aktionen in der Konsole ausführen. Sie können diese Trusted Advisor Aktionen auch zu einer IAM-Richtlinie hinzufügen, um bestimmte Aktionen zuzulassen oder abzulehnen. Weitere Informationen finden Sie unter Beispiel-IAM-Richtlinien für Trusted Advisor Engage.

Weitere Informationen finden Sie unter Erste Schritte mit AWS Trusted Advisor Engage (Vorschau).

Aktion	Beschreibung
CreateEngagement	Erteilt die Erlaubnis, ein Engagement in Trusted Advisor Engage zu erstellen.
CreateEngagementAttachment	Erteilt die Erlaubnis, einen Engagement-Anhang in Trusted Advisor Engage zu erstellen.
CreateEngagementCommunication	Erteilt die Erlaubnis, eine Interaktionsmitteilung in Trusted Advisor Engage zu erstellen.
GetEngagement	Erteilt die Erlaubnis, ein Engagement in Trusted Advisor Engage anzusehen.
GetEngagementAttachment	Erteilt die Erlaubnis, einen Verlobungsanhang in Trusted Advisor Engage anzusehen.
GetEngagementType	Erteilt die Erlaubnis, einen bestimmten Interaktionstyp in Trusted Advisor Engage anzuzeigen.
ListEngagementCommunications	Gewährt die Berechtigung zum Anzeigen aller Mitteilungen für ein Engagement in Trusted Advisor Engage.
ListEngagements	Erteilt die Erlaubnis, alle Interaktionen in Trusted Advisor Engage einzusehen.
ListEngagementTypes	Erteilt die Erlaubnis, alle Arten von Interaktionen in Trusted Advisor Engage anzuzeigen.
UpdateEngagement	Erteilt die Erlaubnis, die Details eines Engagements in Trusted Advisor Engage zu aktualisieren.
UpdateEngagementStatus	Erteilt die Erlaubnis, den Status eines Engagements in Trusted Advisor Engage zu aktualisieren.

Beispiele für IAM-Richtlinien

Die folgenden Richtlinien zeigen Ihnen, wie Sie den Zugriff auf Trusted Advisor zulassen und verweigern können. Sie können eine der folgenden Richtlinien verwenden, um eine vom Kunden verwaltete Richtlinie in der IAM-Konsole zu erstellen. Sie können z. B. eine Beispielrichtlinie kopieren und sie dann in die Registerkarte JSON der IAM-Konsole einfügen. Anschließend verknüpfen Sie die Richtlinie mit Ihrem IAM-Benutzer, Ihrer Gruppe oder Ihrer Rolle.

Weitere Informationen über die Erstellung einer IAM-Richtlinie finden Sie unter Erstellen von IAM-Richtlinien (Konsole) im IAM-Benutzerhandbuch.

Beispiele

• Voller Zugriff auf Trusted Advisor
• Schreibgeschützter Zugriff auf Trusted Advisor
• Verweigern Sie den Zugriff auf Trusted Advisor
• Zulassen und Verweigern bestimmter Aktionen
• Steuern Sie den Zugriff auf die AWS Support API-Operationen für Trusted Advisor
• Beispiel-IAM-Richtlinien für Trusted Advisor -Priorität.
• Beispiel-IAM-Richtlinien für Trusted Advisor Engage

Voller Zugriff auf Trusted Advisor

Die folgende Richtlinie ermöglicht es Benutzern, alle Trusted Advisor Prüfungen in der Trusted Advisor Konsole einzusehen und alle Aktionen auszuführen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

Schreibgeschützter Zugriff auf Trusted Advisor

Die folgende Richtlinie gewährt Benutzern nur Lesezugriff auf die Trusted Advisor Konsole. Benutzer können keine Änderungen vornehmen, bspw. Prüfungen aktualisieren oder Benachrichtigungseinstellungen ändern.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:Describe*",
                "trustedadvisor:Get*",
                "trustedadvisor:List*"
            ],
            "Resource": "*"
        }
    ]
}

Verweigern Sie den Zugriff auf Trusted Advisor

Die folgende Richtlinie erlaubt es Benutzern nicht, Trusted Advisor Schecks in der Trusted Advisor Konsole einzusehen oder Aktionen für diese zu ergreifen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

Zulassen und Verweigern bestimmter Aktionen

Mit der folgenden Richtlinie können Benutzer alle Trusted Advisor Schecks in der Trusted Advisor Konsole anzeigen, sie können jedoch keine Schecks aktualisieren.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:RefreshCheck",
            "Resource": "*"
        }
    ]
}

Steuern Sie den Zugriff auf die AWS Support API-Operationen für Trusted Advisor

In der AWS Management Console steuert ein separater trustedadvisor IAM-Namespace den Zugriff auf. Trusted Advisor Sie können den trustedadvisor Namespace nicht verwenden, um Trusted Advisor API-Operationen in der API zuzulassen oder abzulehnen. AWS Support Verwenden Sie stattdessen den support-Namespace. Sie müssen über Berechtigungen für die AWS Support API verfügen, um sie Trusted Advisor programmgesteuert aufrufen zu können.

Wenn Sie den RefreshTrustedAdvisorCheckVorgang beispielsweise aufrufen möchten, müssen Sie in der Richtlinie über Berechtigungen für diese Aktion verfügen.

Beispiel : Nur Trusted Advisor API-Operationen zulassen

Die folgende Richtlinie ermöglicht Benutzern den Zugriff auf die AWS Support API-Operationen für Trusted Advisor, jedoch nicht auf die übrigen AWS Support API-Operationen. Zum Beispiel können die Nutzer die API nutzen, um Prüfungen einzusehen und zu aktualisieren. Sie können keine AWS Support Fälle erstellen, anzeigen, aktualisieren oder lösen.

Sie können diese Richtlinie verwenden, um die Trusted Advisor API-Operationen programmgesteuert aufzurufen, aber Sie können diese Richtlinie nicht verwenden, um Prüfungen in der Trusted Advisor Konsole anzuzeigen oder zu aktualisieren.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "support:DescribeTrustedAdvisorCheckRefreshStatuses",
                "support:DescribeTrustedAdvisorCheckResult",
                "support:DescribeTrustedAdvisorChecks",
                "support:DescribeTrustedAdvisorCheckSummaries",
                "support:RefreshTrustedAdvisorCheck",
                "trustedadvisor:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:CreateCase",
                "support:DescribeAttachment",
                "support:DescribeCases",
                "support:DescribeCommunications",
                "support:DescribeServices",
                "support:DescribeSeverityLevels",
                "support:ResolveCase"
            ],
            "Resource": "*"
        }
    ]
}

Weitere Informationen darüber, wie IAM mit AWS Support und Trusted Advisor arbeitet, finden Sie unter. Aktionen

Beispiel-IAM-Richtlinien für Trusted Advisor -Priorität.

Sie können die folgenden AWS verwalteten Richtlinien verwenden, um den Zugriff auf Trusted Advisor Priority zu steuern. Weitere Informationen finden Sie unter AWS verwaltete Richtlinien für AWS Trusted Advisor und Erste Schritte mit der AWS Trusted Advisor-Priorität.

Beispiel-IAM-Richtlinien für Trusted Advisor Engage

Anmerkung

Trusted Advisor Engage befindet sich in der Vorschauversion und hat derzeit keine AWS verwalteten Richtlinien. Sie können eine der folgenden Richtlinien verwenden, um eine vom Kunden verwaltete Richtlinie in der IAM-Konsole zu erstellen.

Eine Beispielrichtlinie, die Lese- und Schreibzugriff in Trusted Advisor Engage gewährt:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Eine Beispielrichtlinie, die nur Lesezugriff in Trusted Advisor Engage gewährt:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Eine Beispielrichtlinie, die Lese- und Schreibzugriff in Trusted Advisor Engage gewährt und die Möglichkeit bietet, vertrauenswürdigen Zugriff zu ermöglichen auf: Trusted Advisor

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAWSServiceAccessForOrganization",
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:DescribeOrganization",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:SetOrganizationAccess",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": [
                        "reporting.trustedadvisor.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/reporting.trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisorReporting",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "reporting.trustedadvisor.amazonaws.com"
                }
            }
        }
    ]
}

Weitere Informationen finden Sie auch unter

Weitere Informationen zu Trusted Advisor Berechtigungen finden Sie in den folgenden Ressourcen:

• Im IAM-Benutzerhandbuch durch AWS Trusted Advisor definierte Aktionen.

• Steuern des Zugriffs auf die Trusted Advisor -Konsole