AWS Identity and Access Management und AWS Organizations

AWS Identity and Access Management ist ein Webservice zur sicheren Steuerung des Zugriffs auf AWS Dienste.

Mithilfe der Daten zum letzten Servicezugriff in IAM können Sie die AWS -Aktivitäten in Ihrer Organisation besser verstehen. Sie können diese Daten verwenden, um Richtlinien zur Dienststeuerung (SCPs) zu erstellen und zu aktualisieren, die den Zugriff nur auf die AWS Dienste beschränken, die von den Konten Ihrer Organisation verwendet werden.

Ein Beispiel finden Sie unter Verwenden von Daten zum Optimieren von Berechtigungen für eine Organisationseinheit im IAM-Benutzerhandbuch

Mit IAM können Sie Root-Benutzeranmeldedaten zentral verwalten und privilegierte Aufgaben für Mitgliedskonten ausführen. Nachdem Sie die Root-Zugriffsverwaltung aktiviert haben, die vertrauenswürdigen Zugriff für IAM in ermöglicht AWS Organizations, können Sie die Root-Benutzeranmeldedaten von Mitgliedskonten zentral sichern. Mitgliedskonten können sich nicht bei ihrem Root-Benutzer anmelden oder eine Passwortwiederherstellung für ihren Root-Benutzer durchführen. Das Verwaltungskonto oder ein delegiertes Administratorkonto für IAM kann mithilfe des kurzfristigen Root-Zugriffs auch einige privilegierte Aufgaben für Mitgliedskonten ausführen. Durch kurzfristige privilegierte Sitzungen erhalten Sie temporäre Anmeldeinformationen, mit denen Sie privilegierte Aktionen für ein Mitgliedskonto in Ihrer Organisation durchführen können.

Weitere Informationen finden Sie unter Zentrales Verwalten des Root-Zugriffs für Mitgliedskonten im IAM-Benutzerhandbuch.

Verwenden Sie die folgenden Informationen zur Unterstützung bei der Integration AWS Identity and Access Management mit AWS Organizations.

Aktivieren des vertrauenswürdigen Zugriffs mit IAM

Wenn Sie die Root-Zugriffsverwaltung aktivieren, wird der vertrauenswürdige Zugriff für IAM in aktiviert. AWS Organizations

Deaktivierung des vertrauenswürdigen Zugriffs mit IAM

Informationen zu den Berechtigungen zum Deaktivieren des vertrauenswürdigen Zugriffs finden Sie unter Erforderliche Berechtigungen für das Deaktivieren des vertrauenswürdigen Zugriffs.

Nur ein Administrator im AWS Organizations Verwaltungskonto kann den vertrauenswürdigen Zugriff mit deaktivieren. AWS Identity and Access Management

Sie können den vertrauenswürdigen Zugriff nur mit den Tools für Organizations deaktivieren.

Sie können den vertrauenswürdigen Zugriff deaktivieren, indem Sie entweder die AWS Organizations Konsole verwenden, einen AWS CLI Organizations-Befehl ausführen oder einen Organizations-API-Vorgang in einem der AWS SDKs.

AWS Management Console

So deaktivieren Sie den vertrauenswürdigen Service-Zugriff über die Organizations-Konsole

1. Melden Sie sich an der AWS Organizations -Konsole an. Sie müssen sich im Verwaltungskonto der Organisation als IAM-Benutzer anmelden, eine IAM-Rolle annehmen oder als Root-Benutzer anmelden (nicht empfohlen).

2. Wählen Sie im Navigationsbereich Services.

3. Wählen Sie AWS Identity and Access Managementin der Liste der Dienste aus.

4. Wählen Sie Vertrauenswürdigen Zugriff deaktivieren.

5. Geben Sie im AWS Identity and Access Management Dialogfeld „Vertrauenswürdigen Zugriff deaktivieren für“ zur Bestätigung „Deaktivieren“ ein, und wählen Sie dann Vertrauenswürdigen Zugriff deaktivieren aus.

6. Wenn Sie der Administrator von Only sind AWS Organizations, teilen Sie dem Administrator mit AWS Identity and Access Management , dass er diesen Dienst jetzt AWS Organizations mithilfe der Servicekonsole oder der Tools deaktivieren kann.

AWS CLI, AWS API

So deaktivieren Sie den vertrauenswürdigen Servicezugriff mithilfe der Organizations-CLI/SDK

Sie können die folgenden AWS CLI Befehle oder API-Operationen verwenden, um den vertrauenswürdigen Dienstzugriff zu deaktivieren:

• AWS CLI: disable-aws-service-access

  Führen Sie den folgenden Befehl aus, um ihn AWS Identity and Access Management als vertrauenswürdigen Dienst bei Organizations zu deaktivieren.

  $ aws organizations disable-aws-service-access \
      --service-principal iam.amazonaws.com

  Dieser Befehl erzeugt keine Ausgabe, wenn er erfolgreich ist.

• AWS API: AWSServiceZugriff deaktivieren

Aktivieren eines delegierten Administratorkontos für IAM

Wenn Sie ein Mitgliedskonto als delegierten Administrator für die Organisation festlegen, können Benutzer und Rollen dieses Kontos privilegierte Aufgaben für Mitgliedskonten ausführen, die ansonsten nur von Benutzern oder Rollen im Verwaltungskonto der Organisation ausgeführt werden können. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Ausführen einer privilegierten Aufgabe für ein Mitgliedskonto einer Organizations.

Nur ein Administrator im Organisationsverwaltungskonto kann einen delegierten Administrator für IAM konfigurieren.

Sie können ein delegiertes Administratorkonto über die IAM-Konsole oder API oder mithilfe der CLI oder des SDK-Vorgangs Organizations angeben.

Einen delegierten Administrator für IAM deaktivieren

Nur ein Administrator im Organisationsverwaltungskonto oder im delegierten IAM-Administratorkonto kann ein delegiertes Administratorkonto aus der Organisation entfernen. Sie können die delegierte Administration mithilfe des DeregisterDelegatedAdministrator CLI- oder SDK-Vorgangs von Organizations deaktivieren.