AWS IoT SiteWise Beispiele für identitätsbasierte Richtlinien

Standardmäßig sind Entitäten (Benutzer und Rollen) nicht berechtigt, AWS IoT SiteWise Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mit AWS Management Console, AWS Command Line Interface (AWS CLI) oder ausführen AWS API. Um Berechtigungen anzupassen, muss ein AWS Identity and Access Management (IAM) -Administrator wie folgt vorgehen:

1. Erstellen Sie IAM Richtlinien, die Benutzern und Rollen die Erlaubnis gewähren, bestimmte API Operationen mit Ressourcen auszuführen, die sie benötigen.

2. Ordnen Sie diese Richtlinien den Benutzern oder Gruppen zu, für die diese Berechtigungen erforderlich sind.

Informationen zum Erstellen einer IAM identitätsbasierten Richtlinie anhand dieser JSON Beispieldokumente finden Sie unter Richtlinien erstellen auf der JSON Registerkarte im IAMBenutzerhandbuch.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand AWS IoT SiteWise Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

• Beginnen Sie mit AWS verwalteten Richtlinien und wechseln Sie zu Berechtigungen mit den geringsten Rechten — Verwenden Sie die AWS verwalteten Richtlinien, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um Ihren Benutzern und Workloads zunächst Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie AWS im IAMBenutzerhandbuch unter AWS Verwaltete Richtlinien oder Verwaltete Richtlinien für Jobfunktionen.

• Berechtigungen mit den geringsten Rechten anwenden — Wenn Sie Berechtigungen mit IAM Richtlinien festlegen, gewähren Sie nur die Berechtigungen, die für die Ausführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung IAM zum Anwenden von Berechtigungen finden Sie IAMim Benutzerhandbuch unter Richtlinien und Berechtigungen. IAM

• Verwenden Sie Bedingungen in IAM Richtlinien, um den Zugriff weiter einzuschränken — Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen einzuschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um anzugeben, dass alle Anfragen mit gesendet werden müssenSSL. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese über einen bestimmten Zweck verwendet werden AWS-Service, z. AWS CloudFormation B. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter IAMJSONRichtlinienelemente: Bedingung.

• Verwenden Sie IAM Access Analyzer, um Ihre IAM Richtlinien zu validieren, um sichere und funktionale Berechtigungen zu gewährleisten. IAM Access Analyzer validiert neue und bestehende Richtlinien, sodass die Richtlinien der IAM Richtliniensprache (JSON) und den IAM bewährten Methoden entsprechen. IAMAccess Analyzer bietet mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen, um Sie bei der Erstellung sicherer und funktionaler Richtlinien zu unterstützen. Weitere Informationen finden Sie unter IAMAccess Analyzer-Richtlinienvalidierung im IAMBenutzerhandbuch.

• Multi-Faktor-Authentifizierung erforderlich (MFA) — Wenn Sie ein Szenario haben, in dem IAM Benutzer oder ein Root-Benutzer erforderlich sind AWS-Konto, aktivieren Sie die Option MFA für zusätzliche Sicherheit. Wenn Sie festlegen möchten, MFA wann API Operationen aufgerufen werden, fügen Sie MFA Bedingungen zu Ihren Richtlinien hinzu. Weitere Informationen finden Sie unter Konfiguration des MFA -geschützten API Zugriffs im IAMBenutzerhandbuch.

Weitere Informationen zu bewährten Methoden finden Sie unter Bewährte Sicherheitsmethoden IAM im IAM Benutzerhandbuch. IAM

Verwendung der AWS IoT SiteWise -Konsole

Für den Zugriff auf die AWS IoT SiteWise Konsole benötigen Sie grundlegende Berechtigungen. Mit diesen Berechtigungen können Sie Details zu den AWS IoT SiteWise Ressourcen in Ihrem anzeigen und verwalten AWS-Konto.

Wenn Sie eine zu restriktive Richtlinie festlegen, funktioniert die Konsole für Benutzer oder Rollen (Entitäten) mit dieser Richtlinie möglicherweise nicht wie erwartet. Um sicherzustellen, dass diese Entitäten die AWS IoT SiteWise Konsole weiterhin verwenden können, fügen Sie ihnen die AWSIoTSiteWiseConsoleFullAccessverwaltete Richtlinie bei oder definieren Sie entsprechende Berechtigungen für diese Entitäten. Weitere Informationen finden Sie im Benutzerhandbuch unter Hinzufügen von Berechtigungen für einen IAM Benutzer.

Wenn Entitäten nur die AWS Command Line Interface (CLI) oder die AWS IoT SiteWise API und nicht die Konsole verwenden, benötigen sie diese Mindestberechtigungen nicht. Geben Sie ihnen in diesem Fall einfach Zugriff auf die spezifischen Aktionen, die sie für ihre API Aufgaben benötigen.

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen könnten, die es IAM Benutzern ermöglicht, die internen und verwalteten Richtlinien einzusehen, die mit ihrer Benutzeridentität verknüpft sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe von oder. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Erlaubt es Benutzern, Daten in Assets in einer Hierarchie aufzunehmen

In diesem Beispiel möchten Sie einem Benutzer AWS-Konto Zugriff auf das Schreiben von Daten für alle Asset-Eigenschaften in einer bestimmten Asset-Hierarchie gewähren, beginnend mit dem Stammobjekt. a1b2c3d4-5678-90ab-cdef-22222EXAMPLE Die Richtlinie erteilt dem Benutzer die iotsitewise:BatchPutAssetPropertyValue-Berechtigung. Diese Richtlinie verwendet den iotsitewise:assetHierarchyPath-Bedingungsschlüssel, um den Zugriff auf Komponenten einzuschränken, deren Hierarchiepfad mit der Komponenten oder ihren abhängigen Elementen übereinstimmt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PutAssetPropertyValuesForHierarchy",
      "Effect": "Allow",
      "Action": "iotsitewise:BatchPutAssetPropertyValue",
      "Resource": "arn:aws:iotsitewise:*:*:asset/*",
      "Condition": {
        "StringLike": {
          "iotsitewise:assetHierarchyPath": [
            "/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE",
            "/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE/*"
          ]
        }
      }
    }
  ]
}

Auf Tags basierende AWS IoT SiteWise Assets anzeigen

Verwenden Sie Bedingungen in Ihrer identitätsbasierten Richtlinie, um den Zugriff auf AWS IoT SiteWise Ressourcen anhand von Tags zu steuern. Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen, die das Anzeigen von Assets ermöglicht. Die Berechtigung wird jedoch nur erteilt, wenn das Tag der Komponente Owner den Wert des Benutzernamens dieses Benutzers hat. Diese Richtlinie gewährt auch die Erlaubnis, diese Aktion auf der Konsole abzuschließen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListAllAssets",
      "Effect": "Allow",
      "Action": [
        "iotsitewise:ListAssets",
        "iotsitewise:ListAssociatedAssets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "DescribeAssetIfOwner",
      "Effect": "Allow",
      "Action": "iotsitewise:DescribeAsset",
      "Resource": "arn:aws:iotsitewise:*:*:asset/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Owner": "${aws:username}"
        }
      }
    }
  ]
}

Hängen Sie diese Richtlinie den Benutzern in Ihrem Konto an. Wenn ein benannter Benutzer richard-roe versucht, ein AWS IoT SiteWise Asset aufzurufen, muss das Asset mit Owner=richard-roe oder markiert werdenowner=richard-roe. Andernfalls wird Richard der Zugriff verweigert. Bei den Schlüsselnamen der Bedingungstags wird nicht zwischen Groß- und Kleinschreibung unterschieden. OwnerEntspricht also sowohl als Owner auchowner. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter IAMJSONPolicy Elements: Condition.