AWS verwaltete Richtlinien für AWS Directory Service

Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet wird AWS. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.

Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.

Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.

Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien im IAM-Benutzerhandbuch.

In den folgenden Abschnitten werden die AWS verwalteten Richtlinien beschrieben, die spezifisch für sind AWS Directory Service. Sie können diese Richtlinien Benutzern in Ihrem Konto zuordnen.

Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien im IAM-Benutzerhandbuch.

AWS verwaltete Richtlinie: AWSDirectoryServiceFullAccess

Sie können die AWSDirectoryServiceFullAccess-Richtlinie an Ihre IAM-Identitäten anfügen. Die vollständigen Berechtigungen für diese Richtlinie finden Sie AWSDirectoryServiceFullAccessin der Referenz zu AWS verwalteten Richtlinien.

Diese Richtlinie gewährt Administratorberechtigungen, die einem Prinzipal vollen Zugriff auf alle AWS Directory Service Aktionen gewähren. Prinzipale mit diesen Berechtigungen können Verzeichnisse erstellen, konfigurieren und verwalten, darunter Simple AD, AD Connector und Managed Microsoft AD. Sie können auch die gemeinsame Nutzung von Verzeichnissen, Vertrauensbeziehungen und Überwachungskonfigurationen verwalten. Diese Richtlinie beinhaltet Berechtigungen zur Verwaltung der zugrunde liegenden Netzwerkinfrastruktur, die für Verzeichnisdienste erforderlich ist.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen:

• ds— Ermöglicht Prinzipalen vollen Zugriff auf alle AWS Directory Service Aktionen.

• ec2— Ermöglicht Prinzipalen die Verwaltung von Netzwerkschnittstellen und Sicherheitsgruppen und die Beschreibung von VPC-Ressourcen, die für Verzeichnisoperationen erforderlich sind.

• sns— Ermöglicht Prinzipalen das Erstellen und Verwalten von SNS-Themen für die Verzeichnisüberwachung, insbesondere Themen, deren Namen mit "" beginnen. DirectoryMonitoring

• iam— Ermöglicht Prinzipalen, IAM-Rollen für Verzeichnisdienstoperationen aufzulisten.

• organizations— Ermöglicht Prinzipalen die Verwaltung der AWS Unternehmensintegration und des enable/disable Dienstzugriffs für Verzeichnisdienste.

AWS verwaltete Richtlinie: AWSDirectoryServiceReadOnlyAccess

Sie können die AWSDirectoryServiceReadOnlyAccess-Richtlinie an Ihre IAM-Identitäten anfügen. Die vollständigen Berechtigungen für diese Richtlinie finden Sie AWSDirectoryServiceReadOnlyAccessin der Referenz zu AWS verwalteten Richtlinien.

Diese Richtlinie gewährt nur Leseberechtigungen, mit denen Benutzer Informationen in einsehen können. AWS Directory Service Prinzipale, denen diese Richtlinie zugewiesen ist, können keine Aktualisierungen an Verzeichnissen oder deren Konfigurationen vornehmen. Prinzipale mit diesen Berechtigungen können beispielsweise Verzeichnisdetails, Vertrauensstellungen und Überwachungskonfigurationen einsehen, aber keine neuen Verzeichnisse erstellen oder bestehende ändern. Sie können auch verwandte EC2 Netzwerkressourcen und SNS-Themen im Zusammenhang mit Verzeichnissen einsehen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen:

• ds— Ermöglicht Benutzern, schreibgeschützte Aktionen auszuführen, bei denen Verzeichnisinformationen zurückgegeben werden. Dazu gehören API-Operationen, die mitCheck,, Describe GetList, oder beginnen. Verify

• ec2— Ermöglicht Benutzern die Beschreibung von Netzwerkschnittstellen, Subnetzen und VPCs zugehörigen Verzeichnisdiensten.

• sns— Ermöglicht Benutzern das Auflisten und Abrufen von Informationen zu SNS-Themen und Abonnements, die für die Verzeichnisüberwachung verwendet werden.

• organizations— Ermöglicht Benutzern, AWS Organizations Konten und Dienstzugriffskonfigurationen im Zusammenhang mit Verzeichnisdiensten zu beschreiben.

AWS verwaltete Richtlinie: AWSDirectoryServiceDataFullAccess

Sie können die AWSDirectoryServiceDataFullAccess-Richtlinie an Ihre IAM-Identitäten anfügen. Die vollständigen Berechtigungen für diese Richtlinie finden Sie AWSDirectoryServiceDataFullAccessin der Referenz zu AWS verwalteten Richtlinien.

Diese Richtlinie gewährt Administratorberechtigungen, die einem Prinzipal vollen Zugriff auf Verzeichnisdienstdatenoperationen gewähren. Prinzipale mit diesen Berechtigungen können Active Directory-Benutzer und -Gruppen in verwalteten Verzeichnissen erstellen, aktualisieren und löschen. Sie können Gruppenmitgliedschaften verwalten, Benutzer aktivieren oder deaktivieren und umfassende Benutzer- und Gruppenverwaltungsvorgänge durchführen. Diese Richtlinie richtet sich an Administratoren, die Active Directory-Objekte programmgesteuert verwalten müssen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen:

• ds— Ermöglicht Prinzipalen den Zugriff auf Verzeichnisdaten über die Directory Service Data API.

• ds-data— Ermöglicht Prinzipalen vollen Zugriff auf alle Operationen mit Verzeichnisdienstdaten, einschließlich der Erstellung, Aktualisierung und Löschung von Benutzern und Gruppen, der Verwaltung von Gruppenmitgliedschaften und der Suche nach Verzeichnisobjekten.

AWS -verwaltete Richtlinie: AWSDirectoryServiceDataReadOnlyAccess

Sie können die AWSDirectoryServiceDataReadOnlyAccess-Richtlinie an Ihre IAM-Identitäten anfügen. Die vollständigen Berechtigungen für diese Richtlinie finden Sie AWSDirectoryServiceDataReadOnlyAccessin der Referenz zu AWS verwalteten Richtlinien.

Diese Richtlinie gewährt nur Leseberechtigungen, mit denen Benutzer Active Directory-Objekte in verwalteten Verzeichnissen anzeigen und durchsuchen können. Prinzipale, denen diese Richtlinie zugewiesen ist, können keine Aktualisierungen an Benutzern, Gruppen oder Gruppenmitgliedschaften vornehmen. Prinzipale mit diesen Berechtigungen können beispielsweise nach Benutzern und Gruppen suchen, Benutzer- und Gruppendetails anzeigen und Gruppenmitgliedschaften auflisten, aber keine Verzeichnisobjekte erstellen, ändern oder löschen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen:

• ds— Ermöglicht Prinzipalen den Zugriff auf Verzeichnisdaten über die Directory Service Data API.

• ds-data— Ermöglicht Benutzern, schreibgeschützte Aktionen auszuführen, bei denen Verzeichnisobjektinformationen zurückgegeben werden. Dazu gehören API-Operationen, die mit DescribeList, oder beginnen. Search

AWSDirectoryServiceServiceRolePolicy

Sie können die AWSDirectoryServiceServiceRolePolicy Richtlinie nicht an Ihre IAM-Identitäten anhängen. Diese Richtlinie ist mit einer dienstbezogenen Rolle verknüpft, die es dem AWS Directory Service ermöglicht, Aktionen in Ihrem Namen auszuführen. Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter AWSDirectoryServiceServiceRolePolicy in der Referenz zu von AWS verwalteten Richtlinien.

Diese Richtlinie gewährt Berechtigungen, mit denen AWS Directory Service selbstverwaltete Domänencontroller in hybriden Active Directory-Umgebungen überwacht und bewertet werden können. Der Dienst verwendet diese Berechtigungen, um automatische Integritätsbewertungen durchzuführen, PowerShell Skripts für Kompatibilitätstests auszuführen und Netzwerkkonfigurationsinformationen zu sammeln, um die ordnungsgemäße Hybridkonnektivität und automatische Wiederherstellungsfunktionen sicherzustellen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen:

• ssm— Ermöglicht dem Dienst, PowerShell Befehle an lokale Domänencontroller zu senden und die Ergebnisse der Befehlsausführung zu Überwachungs- und Bewertungszwecken abzurufen.

• ec2— Ermöglicht dem Dienst, Netzwerkressourcen wie Subnetze VPCs, Sicherheitsgruppen und Netzwerkschnittstellen zu beschreiben, um hybride Konnektivitätskonfigurationen zu validieren.

IAM und AWS Directory Service Aktualisierungen verwalteter Richtlinien AWS

Sehen Sie sich Details zu Aktualisierungen von IAM und AWS verwalteten Richtlinien an, seit der Service begonnen hat, diese Änderungen zu verfolgen. Abonnieren Sie den RSS-Feed auf den Seiten IAM und AWS Directory Service Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.

Änderung	Beschreibung	Datum
AWSDirectoryServiceServiceRolePolicy – Neue Richtlinie	AWS Directory Service hat eine neue Richtlinie hinzugefügt, die es ermöglicht AWS , die selbstverwalteten Domain-Controller eines Kunden zu überwachen.	30. Juli 2025
AWS -verwaltete Richtlinie: AWSDirectoryServiceDataReadOnlyAccess – Neue Richtlinie	AWS Directory Service hat eine neue Richtlinie hinzugefügt, die einem Benutzer oder einer Gruppe Zugriff auf das Anzeigen und Suchen von AD-Benutzern, -Mitgliedern und -Gruppen gewährt.	17. September 2024
AWS verwaltete Richtlinie: AWSDirectoryServiceDataFullAccess – Neue Richtlinie	AWS Directory Service hat eine neue Richtlinie hinzugefügt, die einem Benutzer oder einer Gruppe den Zugriff auf die integrierte Objektverwaltung mit Verzeichnisdienstdaten ermöglicht, um AD-Benutzer, -Mitglieder und -Gruppen zu erstellen, zu verwalten und anzuzeigen.	17. September 2024
AWS Directory Service hat begonnen, Änderungen zu verfolgen	AWS Directory Service hat begonnen, Änderungen für die AWS verwalteten Richtlinien zu verfolgen.	17. September 2024