Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Zugriffskontrolle mit IAM-Richtlinien
<a name="id_roles_providers_outbound_policies"></a>

IAM bietet mehrere Richtlinientypen zur Steuerung des Zugriffs auf die Funktion zum Identitätsverbund für ausgehende Verbindungen. Mithilfe [ identitätsbasierter Richtlinien können Sie steuern](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_identity-vs-resource.html), welche IAM-Prinzipale Token anfordern können, und bestimmte Token-Eigenschaften wie Zielgruppen, Gültigkeitsdauer und Signaturalgorithmen durchsetzen. [Mithilfe von Service Control Policies ](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) (SCPs) können Sie unternehmensweite Einschränkungen bei der Token-Generierung für alle Konten in Ihren Organisationen durchsetzen. AWS [Resource Control Policies ](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) (RCPs) steuern den Zugriff auf Ressourcenebene. Sie können auch [ VPC-Endpunktrichtlinien verwenden](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html), um einzuschränken, welche Principals über Ihre VPC-Endpoints auf die AWS STS `GetWebIdentityToken` API zugreifen können, und so Ihre Sicherheitslage um Kontrollen auf Netzwerkebene erweitern. In diesem Abschnitt wird erläutert, wie Sie mithilfe dieser Richtlinientypen und Bedingungsschlüssel detaillierte Zugriffskontrollen implementieren.

Um Identitätstoken anzufordern, muss ein IAM-Principal über die entsprechende Berechtigung verfügen. `sts:GetWebIdentityToken` Erteilen Sie diese Berechtigung mithilfe von Identitätsrichtlinien, die IAM-Benutzern oder -Rollen zugeordnet sind. Damit Tags (Schlüssel, Wertepaare) an den GetWebIdentityToken Anruf übergeben werden können, muss der IAM-Principal über die `sts:TagGetWebIdentityToken` entsprechende Berechtigung verfügen.
+ Verwenden Sie den IdentityTokenAudience [ Bedingungsschlüssel ](reference_policies_iam-condition-keys.md#ck_identitytokenaudience) sts:, um einzuschränken, welche externen Dienste Token empfangen können.
+ Verwenden Sie den DurationSeconds [ Bedingungsschlüssel ](reference_policies_iam-condition-keys.md#ck_durationseconds) sts:, um die maximale Lebensdauer der Token durchzusetzen.
+ Verwenden Sie den SigningAlgorithm [ Bedingungsschlüssel ](reference_policies_iam-condition-keys.md#ck_signingalgorithm) sts:, um bestimmte kryptografische Algorithmen zu benötigen.
+ Verwenden Sie den RequestTag [ Bedingungsschlüssel ](reference_policies_condition-keys.md#condition-keys-requesttag) aws: und vergleichen Sie das Tag-Schlüssel-Wert-Paar, das in der Anfrage übergeben wurde, mit dem Tag-Paar, das Sie in der Richtlinie angeben.
+ Verwenden Sie den Schlüssel [ aws: TagKeys ](reference_policies_condition-keys.md#condition-keys-tagkeys) condition, um die Tag-Schlüssel in einer Anfrage mit den Schlüsseln zu vergleichen, die Sie in der Richtlinie angeben.

Weitere Informationen zu den in [ IAM-Richtlinien verfügbaren AWS STS](reference_policies_iam-condition-keys.md) Bedingungsschlüsseln finden Sie unter IAM- und Bedingungsschlüssel.

Dieses Beispiel für eine Identitätsrichtlinie kombiniert mehrere Bedingungsschlüssel:

```
{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowTokenGenerationWithRestrictions",
            "Effect": "Allow",
            "Action": "sts:GetWebIdentityToken",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "https://api1.example.com",
                        "https://api2.example.com"
                    ]
                },
                "NumericLessThanEquals": {
                    "sts:DurationSeconds": 300
                },
                "StringEquals": {
                    "sts:SigningAlgorithm": "ES384"
                }
            }
        }
    ]
}
```

## Bewährte Methoden
<a name="outbound-best-practices"></a>

Folgen Sie diesen Empfehlungen, um Ihre AWS Identitäten sicher mit externen Diensten zu verbinden.
+ **Verwenden Sie kurze Token-Lebenszeiten: ** Fordern Sie Token mit der kürzesten Lebensdauer an, die Ihren betrieblichen Anforderungen entspricht.
+ **Implementieren Sie den Zugriff mit den geringsten Rechten und schränken Sie die Token-Eigenschaften mithilfe von IAM-Richtlinien ein: ** Erteilen Sie die `sts:GetWebIdentityToken` Genehmigung nur IAM-Prinzipalen, die sie benötigen. Verwenden Sie Bedingungsschlüssel, um Signaturalgorithmen, zulässige Token-Zielgruppen und die maximale Token-Lebensdauer nach Bedarf festzulegen.
+ **Bestätigen Sie Ansprüche in externen Diensten: Überprüfen Sie aus ** Sicherheitsgründen stets relevante Behauptungen wie Betreff („Sub“), Zielgruppe („aud“) usw., um sicherzustellen, dass sie Ihren erwarteten Werten entsprechen. Validieren Sie benutzerdefinierte Ansprüche, wenn möglich, um detaillierte Autorisierungsentscheidungen in externen Diensten zu treffen.