Teilen und Verwenden von kundenverwalteten Berechtigungen für mehrere Konten in AWS RAM

Sie können eine vom Kunden verwaltete Berechtigung, die Ihnen gehört, auf die gleiche Weise teilen, wie Sie andere Ressourcen teilen: Fügen Sie sie einer Ressourcenfreigabe als Ressourcentyp hinzu ram:Permission. Du kannst es mit anderen teilen AWS-Konten, Organisationseinheiten (OUs), Ihre gesamte Organisation oder IAM-Rollen und Benutzer in anderen Konten. Jedes Konto kann dann Ihre vom Kunden verwalteten Berechtigungen für seine eigenen Resource Shares verwenden, anstatt eine eigene Kopie zu erstellen.

Ein Konto, das eine gemeinsame, vom Kunden verwaltete Berechtigung erhält, kann diese einsehen und mit seinen eigenen Ressourcenfreigaben verknüpfen. Es kann die vom Kunden verwaltete Berechtigung nicht ändern, versionieren, verwerfen, löschen, kennzeichnen oder erneut teilen. Nur Sie, der Besitzer, können diese Dinge tun.

Wenn Sie eine parametrisierte verwaltete Berechtigung gemeinsam nutzen, gibt jedes Empfängerkonto seine eigenen Parameterwerte an, wenn es die Berechtigung seinen Ressourcenfreigaben zuordnet. Weitere Informationen finden Sie unter Verwenden parametrisierter verwalteter Berechtigungen in AWS RAM.

Teilen Sie eine vom Kunden verwaltete Berechtigung mit anderen Konten

Um eine vom Kunden verwaltete Berechtigung gemeinsam zu nutzen, erstellen Sie eine Ressourcenfreigabe, die die vom Kunden verwaltete Berechtigung als Ressource enthält, oder fügen Sie die vom Kunden verwaltete Berechtigung zu einer vorhandenen Ressourcenfreigabe hinzu. AWS RAM ordnet die zu AWS verwaltete Erlaubnis AWSRAMDefaultPermissionRAMCustomerManagedPermission mit dem ram:Permission Ressourcentyp. Mit dieser verwalteten Berechtigung können die Empfängerkonten die vom Kunden verwaltete Berechtigung und ihre Versionen einsehen und sie ihren eigenen Ressourcenfreigaben zuordnen.

Wenn Sie einer Ressourcenfreigabe eine vom Kunden verwaltete Berechtigung hinzufügen, AWS RAM aktualisiert die ressourcenbasierte Richtlinie für die vom Kunden verwaltete Erlaubnis in Ihrem Namen. Damit das funktioniert:

• Der Auftraggeber, der die Anfrage stellt, benötigt die Genehmigung für ram:PutCustomerManagedPermissionPolicy und ram:DeleteCustomerManagedPermissionPolicy Aktionen im Rahmen der vom Kunden verwalteten Erlaubnis.

• Bei diesen Aktionen handelt es sich ausschließlich um Genehmigungen. AWS RAM verwendet sie nur, wenn es auf Ihre Anfrage reagiert und Sie sie nicht direkt aufrufen können.

• Wenn der Principal nicht über diese Berechtigungen verfügt, schlägt die Ressourcenzuordnung fehl und es wird eine Statusmeldung angezeigt Association failed because the caller was not authorized.

Console

Um eine vom Kunden verwaltete Berechtigung mit anderen Konten zu teilen

1. Öffnen Sie das Bibliothek für verwaltete Berechtigungen und wählen Sie die vom Kunden verwaltete Berechtigung aus, die Sie teilen möchten. Wählen Sie auf der Detailseite Resource Share erstellen.

   Alternativ öffnen Von mir geteilt: Ressourcen teilen und wähle Ressource erstellen, teilen.

2. Geben Sie einen Namen für den Ressourcenanteil ein.

3. Unter Ressourcen, für Wählen Sie den Ressourcentyp, wählen RAM-Berechtigungen, und wählen Sie dann die vom Kunden verwaltete Berechtigung aus, die Sie teilen möchten.

4. Auf der Verwaltete Berechtigungen zuordnen Seite, behalten AWSRAMDefaultPermissionRAMCustomerManagedPermission für die ram:Permission Ressourcentyp.

5. Unter Schulleiter, füge das hinzu AWS-Konten, OUs, Organisations- oder IAM-Rollen und Benutzer in anderen Konten, für die Sie Daten freigeben möchten.

6. Überprüfen Sie Ihre Konfiguration und wählen Sie Resource Share erstellen.

AWS CLI

Um eine vom Kunden verwaltete Erlaubnis mit anderen Konten zu teilen

• Führen Sie das aus create-resource-share Befehl. Geben Sie den ARN der vom Kunden verwalteten Berechtigung als Ressource an und geben Sie die Principals an, für die sie freigegeben werden soll.

  Das folgende Beispiel teilt eine vom Kunden verwaltete Berechtigung mit einem anderen AWS-Konto.

  $ aws ram create-resource-share \
      --name SharedParameterPermissions \
      --resource-arns arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
      --principals 111122223333
  {
      "resourceShare": {
          "resourceShareArn": "arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
          "name": "SharedParameterPermissions",
          "owningAccountId": "123456789012",
          "allowExternalPrincipals": true,
          "status": "ACTIVE",
          "creationTime": 1763300000.000,
          "lastUpdatedTime": 1763300000.000,
          "featureSet": "STANDARD"
      }
  }

Sie können eine vom Kunden verwaltete Erlaubnis nur mit anderen teilen AWS-Konten, OUs, Ihre Organisation oder IAM-Rollen und Benutzer in anderen Konten. Sie können eine vom Kunden verwaltete Berechtigung nicht mit Service-Principals teilen, und Sie können sie auch nicht teilen AWS verwaltete Berechtigungen.

Entdecken und verwenden Sie gemeinsam verwaltete Berechtigungen, die von Kunden verwaltet werden

Nachdem Sie die Einladung zur gemeinsamen Nutzung von Ressourcen angenommen haben, können Sie eine gemeinsame, vom Kunden verwaltete Berechtigung finden und verwenden. Wenn du derselben Organisation angehörst und Inhalte mit AWS Organizations aktiviert ist, können Sie es sofort verwenden.

Console

Um eine gemeinsame, vom Kunden verwaltete Berechtigung zu ermitteln und zu verwenden

1. Öffnen Sie das Bibliothek für verwaltete Berechtigungen. Vom Kunden verwaltete Berechtigungen, die mit Ihnen geteilt werden, werden angezeigt Mit mir geteilt in der Eigentum Spalte.

2. Wählen Sie eine gemeinsame, vom Kunden verwaltete Berechtigung aus, um deren Richtlinienvorlage, Versionen und alle Vorlagenparameter anzuzeigen.

3. Wenn Sie eine Ihrer Ressourcenfreigaben erstellen oder aktualisieren, wählen Sie die gemeinsam genutzte, vom Kunden verwaltete Berechtigung auf der Verwaltete Berechtigungen zuordnen Seite für den Ressourcentyp.

AWS CLI

Um eine gemeinsame, vom Kunden verwaltete Erlaubnis zu ermitteln und zu verwenden

1. Führen Sie das aus list-permissions Befehl mit --permission-type CUSTOMER_MANAGED und --resource-owner OTHER-ACCOUNTS. In der Antwort sind die vom Kunden verwalteten Berechtigungen aufgeführt, die andere Konten mit Ihnen teilen, mit resourceOwner gesetzt auf OTHER-ACCOUNTS. Die Konto-ID des Besitzers ist Teil der Berechtigungs-ARN.

   $ aws ram list-permissions \
       --permission-type CUSTOMER_MANAGED \
       --resource-owner OTHER-ACCOUNTS
   {
       "permissions": [
           {
               "arn": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
               "version": "2",
               "defaultVersion": true,
               "name": "ParameterReadByTeam",
               "resourceType": "ssm:Parameter",
               "status": "ATTACHABLE",
               "creationTime": 1763400000.000,
               "lastUpdatedTime": 1763400000.000,
               "isResourceTypeDefault": false,
               "permissionType": "CUSTOMER_MANAGED",
               "featureSet": "STANDARD",
               "resourceOwner": "OTHER-ACCOUNTS"
           }
       ]
   }

2. Führen Sie das aus Associate-Resource-Share-Permission Befehl, um die gemeinsam genutzte, vom Kunden verwaltete Berechtigung mit Ihrer Ressourcenfreigabe zu verknüpfen.

   • Wenn die vom Kunden verwaltete Berechtigung Vorlagenparameter deklariert, geben Sie Folgendes ein --permission-template-parameters.

   • Wenn die Ressourcenfreigabe bereits über eine verwaltete Berechtigung für diesen Ressourcentyp verfügt, fügen Sie Folgendes hinzu --replace.

   $ aws ram associate-resource-share-permission \
       --resource-share-arn arn:aws:ram:us-east-1:111122223333:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE33333 \
       --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
       --permission-template-parameters '[{"name":"teams","values":["analytics"]},{"name":"environment","values":["prod"]}]' \
       --replace
   {
       "returnValue": true
   }

Beenden Sie die Weitergabe einer vom Kunden verwalteten Erlaubnis

Wenn Sie die Weitergabe einer vom Kunden verwalteten Berechtigung beenden möchten, entfernen Sie ihn oder die Hauptbenutzer aus der Ressourcenfreigabe oder löschen Sie die Ressourcenfreigabe. Nachdem du aufgehört hast, sie mit einem Konto zu teilen, gilt Folgendes:

• Die vorhandenen Ressourcenfreigaben des Kontos, für die die vom Kunden verwaltete Berechtigung verwendet wird, funktionieren weiterhin.

• Für das Konto ist die vom Kunden verwaltete Berechtigung nicht mehr in list-permissions, und es kann die vom Kunden verwaltete Erlaubnis nicht mit weiteren gemeinsam genutzten Ressourcen verknüpfen.

• Das Konto kann die vom Kunden verwaltete Berechtigung weiterhin von den vorhandenen Ressourcenfreigaben trennen.

Console

Um die Weitergabe einer vom Kunden verwalteten Erlaubnis zu beenden

1. Öffnen Von mir geteilt: Ressourcen werden geteilt.

2. Wählen Sie die Ressourcenfreigabe aus, die die vom Kunden verwaltete Berechtigung enthält, und wählen Sie Ändern.

3. Entfernen Sie die vom Kunden verwalteten Berechtigungen oder die Principals aus der Ressourcenfreigabe, und schließen Sie dann den Assistenten ab. Sie können auch die Ressourcenfreigabe löschen.

AWS CLI

Um die Weitergabe einer vom Kunden verwalteten Erlaubnis zu beenden

• Führen Sie das aus disassociate-resource-share Befehl zum Entfernen der vom Kunden verwalteten Berechtigungen oder der Principals aus der Ressourcenfreigabe.

  $ aws ram disassociate-resource-share \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 \
      --resource-arns arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam
  {
      "resourceShareAssociations": [
          {
              "resourceShareArn": "arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
              "associatedEntity": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
              "associationType": "RESOURCE",
              "status": "DISASSOCIATING",
              "external": false
          }
      ]
  }

Überlegungen zu gemeinsam genutzten, vom Kunden verwalteten Berechtigungen

Erfahren Sie, für welche Ressourcenfreigaben Ihre vom Kunden verwalteten Berechtigungen verwendet werden

Um die Ressourcenfreigaben in anderen Ländern aufzulisten AWS-Konten die Ihre vom Kunden verwaltete Erlaubnis verwenden, führen Sie den aus Zuordnungen mit Berechtigungen auflisten Befehl mit --permission-arn und --resource-owner OTHER-ACCOUNTS. Ohne --resource-owner OTHER-ACCOUNTS, der Befehl listet nur Ihre eigenen Ressourcenanteile auf. In der Konsole werden auf der Seite mit den Berechtigungsdetails dieselben Informationen angezeigt unter Cross-account Verwendungszweck.

$ aws ram list-permission-associations \
    --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
    --resource-owner OTHER-ACCOUNTS

Das Löschen ist gesperrt, solange die vom Kunden verwaltete Erlaubnis verwendet wird

Du kannst eine vom Kunden verwaltete Erlaubnis nicht löschen, solange eine Ressource in einer anderen geteilt wird AWS-Konto verwendet es. Die Anfrage schlägt fehl mit einem OperationNotPermittedException Fehler. So entziehen Sie eine gemeinsam genutzte, vom Kunden verwaltete Erlaubnis:

1. Verwerfen Sie es als veraltet, sodass niemand es mit weiteren Ressourcenfreigaben verknüpfen kann. Weitere Informationen finden Sie unter Eine vom Kunden verwaltete Erlaubnis für ungültig erklären.

2. Bitten Sie die Konten, die sie verwenden, um die Verknüpfung aufzuheben oder sie durch eine andere verwaltete Berechtigung zu ersetzen.

3. Nachdem die letzte Verknüpfung entfernt wurde, löschen Sie sie.

Versionen

Wenn Sie eine neue Version einer gemeinsam genutzten, vom Kunden verwalteten Berechtigung erstellen, wird diese sofort zur Standardversion. Konten, die die vom Kunden verwaltete Berechtigung verwenden, können nur der Standardversion zuordnen. Ihre vorhandenen Ressourcenfreigaben behalten die Version, die sie verwenden, bis sie aktualisiert werden.

Regionaler Geltungsbereich

Eine vom Kunden verwaltete Berechtigung gibt es nur in der AWS-Region wo Sie sie erstellen. Sie können es nur in dieser Region teilen, und die Empfängerkonten können es nur für Ressourcenfreigaben in dieser Region verwenden.