Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Berechtigungen für die IAM Rolle, der zugewiesen wurde AWS Config
Mit einer IAM Rolle können Sie eine Reihe von Berechtigungen definieren. AWS Config nimmt die Rolle an, die Sie ihr zuweisen, um in Ihren S3-Bucket zu schreiben, zu Ihrem SNS Thema zu veröffentlichen und Anfragen zu stellen Describe
oder List
API Anfragen zum Abrufen von Konfigurationsdetails für Ihr AWS Ressourcen schätzen. Weitere Informationen zu IAM Rollen finden Sie unter IAMRollen im IAMBenutzerhandbuch.
Wenn Sie das verwenden AWS Config Konsole, um eine IAM Rolle zu erstellen oder zu aktualisieren, AWS Config fügt automatisch die erforderlichen Berechtigungen für Sie hinzu. Weitere Informationen finden Sie unter Einrichten AWS Config mit der Konsole.
Inhalt
Erstellen von IAM-Rollenrichtlinien
Wenn Sie das verwenden AWS Config Konsole, um eine IAM Rolle zu erstellen, AWS Config ordnet der Rolle automatisch die erforderlichen Berechtigungen für Sie zu.
Wenn Sie das verwenden AWS CLI zum Einrichten AWS Config Wenn Sie eine bestehende IAM Rolle aktualisieren, müssen Sie die Richtlinie manuell aktualisieren, um Folgendes zuzulassen AWS Config um auf Ihren S3-Bucket zuzugreifen, in Ihrem SNS Thema zu veröffentlichen und Konfigurationsdetails zu Ihren Ressourcen abzurufen.
Hinzufügen einer IAM Vertrauensrichtlinie zu Ihrer Rolle
Sie können eine IAM Vertrauensrichtlinie erstellen, die Folgendes ermöglicht AWS Config um eine Rolle anzunehmen und sie zur Nachverfolgung Ihrer Ressourcen zu verwenden. Weitere Informationen zu Vertrauensrichtlinien finden Sie im IAMBenutzerhandbuch unter Begriffe und Konzepte für Rollen.
Im Folgenden finden Sie ein Beispiel für eine Vertrauensrichtlinie für AWS Config Rollen:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "config.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "AWS:SourceAccount": "
sourceAccountID
" } } } ] }
Sie können die AWS:SourceAccount
Bedingung in der obigen IAM Rollenvertrauensbeziehung verwenden, um den Config-Dienstprinzipal darauf zu beschränken, nur mit dem zu interagieren AWS
IAMRolle bei der Ausführung von Vorgängen im Namen bestimmter Konten.
AWS Config unterstützt auch die AWS:SourceArn
Bedingung, die den Config-Dienstprinzipal darauf beschränkt, die IAM Rolle nur zu übernehmen, wenn er Operationen im Namen des Eigentümerkontos ausführt. Bei der Verwendung von AWS Config Service Principal: Die AWS:SourceArn
Eigenschaft wird immer auf die Region gesetzt, arn:aws:config:sourceRegion:sourceAccountID:*
in der sourceRegion
sich der Konfigurationsrekorder befindet. Dabei sourceAccountID
handelt es sich um die ID des Kontos, das den Konfigurationsrekorder enthält. Weitere Informationen finden Sie unter AWS Config Configuration Recorder finden Sie unter Verwaltung des Configuration Recorders. Fügen Sie beispielsweise die folgende Bedingung hinzu, beschränken Sie den Config-Dienstprinzipal so, dass er die IAM Rolle nur im Namen eines Konfigurationsrekorders in der us-east-1
Region des Kontos übernimmt123456789012
:"ArnLike":
{"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}
.
IAMRollenrichtlinie für Ihren S3-Bucket
Das folgende Beispiel für Richtlinienzuschüsse AWS Config Erlaubnis, auf Ihren S3-Bucket zuzugreifen:
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":[ "s3:PutObject", "s3:PutObjectAcl" ], "Resource":[ "arn:aws:s3:::
amzn-s3-demo-bucket
/prefix
/AWSLogs/myAccountID
/*" ], "Condition":{ "StringLike":{ "s3:x-amz-acl":"bucket-owner-full-control" } } }, { "Effect":"Allow", "Action":[ "s3:GetBucketAcl" ], "Resource":"arn:aws:s3:::amzn-s3-demo-bucket
" } ] }
IAMRollenrichtlinie für KMS Key
Das folgende Beispiel für Richtlinienzuschüsse AWS Config Erlaubnis zur Verwendung der KMS basierten Verschlüsselung für neue Objekte für die S3-Bucket-Lieferung:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "
myKMSKeyARN
" } ] }
IAMRollenrichtlinie für Amazon SNS Topic
Das folgende Beispiel für eine Richtlinie gewährt AWS Config Erlaubnis, auf Ihr SNS Thema zuzugreifen:
{ "Version": "2012-10-17", "Statement": [ { "Effect":"Allow", "Action":"sns:Publish", "Resource":"
mySNStopicARN
" } ] }
Wenn Ihr SNS Thema verschlüsselt ist, finden Sie weitere Anweisungen zur Einrichtung unter Konfiguration AWS KMS Berechtigungen im Amazon Simple Notification Service Developer Guide.
IAMRollenrichtlinie für das Abrufen von Konfigurationsdetails
Um deine aufzuzeichnen AWS Ressourcenkonfigurationen, AWS Config benötigt IAM Berechtigungen, um die Konfigurationsdetails zu Ihren Ressourcen abzurufen.
Verwenden Sie die AWS verwaltete Richtlinie AWS_ConfigRoleund fügen Sie sie der IAM Rolle hinzu, der Sie sie zuweisen AWS Config. AWS aktualisiert diese Richtlinie jedes Mal AWS Config fügt Unterstützung für ein hinzu AWS Ressourcentyp, was bedeutet AWS Config verfügt weiterhin über die erforderlichen Berechtigungen zum Abrufen von Konfigurationsdetails, solange der Rolle diese verwaltete Richtlinie zugewiesen ist.
Wenn Sie eine Rolle mit der Konsole erstellen oder aktualisieren, AWS Config hängt das AWS_ConfigRolefür Sie an.
Wenn Sie das AWS CLI, verwenden Sie den attach-role-policy
Befehl und geben Sie den Amazon-Ressourcennamen (ARN) an für AWS_ConfigRole:
$
aws iam attach-role-policy --role-name
myConfigRole
--policy-arn arn:aws:iam::aws:policy/service-role/AWS_ConfigRole
Verwaltung von Berechtigungen für die S3-Bucket-Aufzeichnung
AWS Config zeichnet Benachrichtigungen auf und sendet Benachrichtigungen, wenn ein S3-Bucket erstellt, aktualisiert oder gelöscht wird.
Es wird empfohlen, eine der folgenden Optionen zu verwenden AWSServiceRoleForConfig
(siehe Verwenden von dienstverknüpften Rollen für AWS Config) oder eine benutzerdefinierte IAM Rolle, die die AWS_ConfigRole
verwaltete Richtlinie verwendet. Weitere Informationen zu bewährten Methoden für die Konfigurationsaufzeichnung finden Sie unter AWS Config Bewährte Methoden
Wenn Sie Berechtigungen auf Objektebene für Ihre Bucket-Aufzeichnung verwalten müssen, stellen config.amazonaws.com
Sie sicher, dass in der S3-Bucket-Richtlinie Folgendes angegeben ist ( AWS Config Zugriff auf alle S3-bezogenen Berechtigungen aus der AWS_ConfigRole
verwalteten Richtlinie. Weitere Informationen finden Sie unter Berechtigungen für den Amazon-S3-Bucket.