Überblick über die Verwaltung von Zugriffsberechtigungen für Amazon Comprehend Medical Medical-Ressourcen

Berechtigungsrichtlinien regeln den Zugriff auf eine Aktion. Ein Kontoadministrator fügt IAM-Identitäten Berechtigungsrichtlinien zu, um den Zugriff auf Aktionen zu verwalten. IAM-Identitäten umfassen Benutzer, Gruppen und Rollen.

Anmerkung

Ein Kontoadministrator (oder Administratorbenutzer) ist ein Benutzer mit Administratorrechten. Weitere Informationen finden Sie unter Bewährte Methoden für IAM im IAM-Benutzerhandbuch.

Wenn Sie Berechtigungen erteilen, entscheiden Sie, wem und welchen Aktionen die Berechtigungen erteilt werden.

Zugriff auf Aktionen verwalten

Eine Berechtigungsrichtlinie beschreibt, wer Zugriff auf welche Objekte hat. Im folgenden Abschnitt werden die Optionen für Berechtigungsrichtlinien erläutert.

Anmerkung

In diesem Abschnitt wird IAM im Kontext von Amazon Comprehend Medical erklärt. Er enthält keine detaillierten Informationen über den IAM-Service. Weitere Informationen zu IAM finden Sie unter Was ist IAM? im IAM-Benutzerhandbuch. Informationen zur Syntax und Beschreibungen der IAM-Richtlinien finden Sie unter AWS IAM Policy Reference im IAM-Benutzerhandbuch.

Richtlinien, die mit einer IAM-Identität verknüpft sind, sind identitätsbasierte Richtlinien. Richtlinien, die einer Ressource zugeordnet sind, sind ressourcenbasierte Richtlinien. Amazon Comprehend Medical unterstützt nur identitätsbasierte Richtlinien.

Identitätsbasierte Richtlinien (IAM-Richtlinien)

Richtlinien können IAM-Identitäten angefügt werden. Nachfolgend finden Sie zwei Beispiele.

• Fügen Sie einem Benutzer oder einer Gruppe in Ihrem Konto eine Berechtigungsrichtlinie hinzu. Um einem Benutzer oder einer Benutzergruppe zu ermöglichen, eine Amazon Comprehend Medical Medical-Aktion aufzurufen, fügen Sie einem Benutzer eine Berechtigungsrichtlinie hinzu. Hängen Sie eine Richtlinie an eine Gruppe an, zu der der Benutzer gehört.

• Hängen Sie einer Rolle eine Berechtigungsrichtlinie an, um kontoübergreifende Berechtigungen zu gewähren. Um kontoübergreifende Berechtigungen zu gewähren, fügen Sie einer IAM-Rolle eine identitätsbasierte Richtlinie hinzu. Beispielsweise kann der Administrator in Konto A eine Rolle erstellen, um einem anderen Konto kontenübergreifende Berechtigungen zu gewähren. Nennen Sie es in diesem Beispiel Konto B, was auch ein AWS-Service sein könnte.

  1. Der Administrator von Konto A erstellt eine IAM-Rolle und fügt der Rolle eine Richtlinie hinzu, die Berechtigungen für Ressourcen in Konto A gewährt.

  2. Der Administrator von Konto A weist der Rolle eine Vertrauensrichtlinie zu. Die Richtlinie identifiziert Konto B als den Principal, der die Rolle übernehmen kann.

  3. Der Administrator von Konto B kann dann die Berechtigungen zur Übernahme der Rolle an alle Benutzer in Konto B delegieren. Dadurch können Benutzer in Konto B Ressourcen in Konto A erstellen oder darauf zugreifen. Wenn Sie einem AWS-Service die Berechtigungen zur Übernahme der Rolle gewähren möchten, kann der Principal in der Vertrauensrichtlinie auch ein AWS-Serviceprinzipal sein.

  Weitere Informationen zum Delegieren von Berechtigungen mithilfe von IAM finden Sie unter Zugriffsverwaltung im IAM-Benutzerhandbuch.

Weitere Informationen zur Verwendung identitätsbasierter Richtlinien mit Amazon Comprehend Medical finden Sie unter. Verwenden von identitätsbasierten Richtlinien (IAM-Richtlinien) für Amazon Comprehend Medical Weitere Informationen zu Benutzern, Gruppen, Rollen und Berechtigungen finden Sie im Thema Identitäten (Benutzer, Gruppen und Rollen) im IAM-Benutzerhandbuch.

Ressourcenbasierte Richtlinien

Andere Dienste, wie z. B., unterstützen ressourcenbasierte AWS Lambda Berechtigungsrichtlinien. Beispielsweise können Sie einem S3 Bucket eine Richtlinie zuweisen, um die Zugriffsberechtigungen für diesen Bucket zu verwalten. Amazon Comprehend Medical unterstützt keine ressourcenbasierten Richtlinien.

Festlegen der Richtlinienelemente: Aktionen, Effekte und Prinzipale

Amazon Comprehend Medical definiert eine Reihe von API-Operationen. Um Berechtigungen für diese API-Operationen zu gewähren, definiert Amazon Comprehend Medical eine Reihe von Aktionen, die Sie in einer Richtlinie angeben können.

Die vier Punkte hier sind die grundlegendsten politischen Elemente.

• Ressource — Verwenden Sie in einer Richtlinie einen Amazon-Ressourcennamen (ARN), um die Ressource zu identifizieren, für die die Richtlinie gilt. Für Amazon Comprehend Medical ist die Ressource immer. "*"

• Aktion — Verwenden Sie Aktionsschlüsselwörter, um Vorgänge zu identifizieren, die Sie zulassen oder verweigern möchten. Je nach dem angegebenen Effekt wird dem Benutzer beispielsweise die Erlaubnis zur Durchführung des Amazon Comprehend Medical Medical-Vorgangs gewährt oder verweigert. comprehendmedical:DetectEntities DetectEntities

• Wirkung — Geben Sie die Wirkung der Aktion an, die eintritt, wenn der Benutzer die bestimmte Aktion anfordert — entweder zulassen oder ablehnen. Wenn Sie den Zugriff auf eine Ressource nicht ausdrücklich gestatten („Allow“), wird er automatisch verweigert. Sie können den Zugriff auf eine Ressource auch explizit verweigern. So können Sie zum Beispiel sicherstellen, dass ein Benutzer nicht auf die Ressource zugreifen kann, auch wenn der Zugriff durch eine andere Richtlinie gestattet wird.

• Principal — In identitätsbasierten Richtlinien ist der Benutzer, dem die Richtlinie zugeordnet ist, der implizite Prinzipal.

Weitere Informationen zur Syntax und Beschreibung der IAM-Richtlinien finden Sie unter AWS IAM-Richtlinienreferenz im IAM-Benutzerhandbuch.

Eine Tabelle mit allen Amazon Comprehend Medical API-Aktionen finden Sie unter. Amazon Comprehend Medical API-Berechtigungen: Referenz zu Aktionen, Ressourcen und Bedingungen

Angeben von Bedingungen in einer Richtlinie

Wenn Sie Berechtigungen gewähren, verwenden Sie die Sprache der IAM-Richtlinie, um die Bedingungen festzulegen, unter denen eine Richtlinie wirksam werden soll. Beispielsweise kann festgelegt werden, dass eine Richtlinie erst ab einem bestimmten Datum gilt. Weitere Informationen zum Angeben von Bedingungen in einer Richtliniensyntax finden Sie im Thema Bedingung im IAM Benutzerhandbuch.

AWS stellt eine Reihe vordefinierter Bedingungsschlüssel für alle AWS-Services bereit, die IAM für die Zugriffskontrolle unterstützen. Sie können beispielsweise die Bedingung aws:userid verwenden, um eine bestimmte AWS-Kennung anzufordern, wenn eine Aktion angefragt wird. Weitere Informationen und eine vollständige Liste der AWS-Schlüssel finden Sie unter Verfügbare Schlüssel für Bedingungen im IAM-Benutzerhandbuch.

Amazon Comprehend Medical stellt keine zusätzlichen Zustandsschlüssel zur Verfügung.