Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Best Practices für Root-Benutzer für Ihre AWS-Konto

Wenn Sie zum ersten Mal ein erstellen AWS-Konto, Sie beginnen mit einem Standardsatz von Anmeldeinformationen mit vollständigem Zugriff auf alle AWS Ressourcen in Ihrem Konto. Diese Identität wird als AWS-Konto -Root-Benutzer bezeichnet. Wir empfehlen Ihnen dringend, nicht auf die zuzugreifen AWS-Konto Root-Benutzer, es sei denn, Sie haben einen Aufgabe, für die Root-Benutzeranmeldedaten erforderlich sind. Sie müssen Ihre Root-Benutzeranmeldedaten und Ihre Kontowiederherstellungsmechanismen sichern, um sicherzustellen, dass Sie Ihre hochprivilegierten Anmeldeinformationen nicht für unbefugte Zwecke zugänglich machen.

Für mehrere AWS-Konten verwaltet durch AWS Organizations, wir empfehlen, die Root-Benutzeranmeldedaten von Mitgliedskonten zu entfernen, um eine unbefugte Nutzung zu verhindern. Sie können das Root-Benutzerpasswort, Zugriffsschlüssel und Signaturzertifikate entfernen sowie die Multi-Faktor-Authentifizierung (MFA) deaktivieren und löschen. Mitgliedskonten können sich nicht bei ihrem Root-Benutzer anmelden oder eine Passwortwiederherstellung für ihren Root-Benutzer durchführen. Weitere Informationen finden Sie unter Root-Zugriff für Mitgliedskonten zentral verwalten.

Anstatt auf den Root-Benutzer zuzugreifen, erstellen Sie einen Administratorbenutzer für alltägliche Aufgaben.

Mit Ihrem administrativen Benutzer können Sie dann zusätzliche Identitäten für Benutzer erstellen, die Zugriff auf Ressourcen in Ihrem AWS-Konto benötigen. Wir empfehlen dringend, dass Benutzer sich beim Zugriff mit temporären Anmeldeinformationen authentifizieren AWS.

Schützen Sie Ihre Root-Benutzer-Anmeldedaten, um eine unbefugte Nutzung zu verhindern

Schützen Sie Ihre Root-Benutzeranmeldeinformationen und verwenden Sie sie nur für die Aufgaben, die sie erfordern. Um eine unbefugte Nutzung zu verhindern, geben Sie Ihr Root-Benutzerpasswort, Ihre MFA und Ihre Zugangsschlüssel nicht weiter. CloudFront Schlüsselpaare oder das Signieren von Zertifikaten mit anderen Personen, außer denen, die aus geschäftlichen Gründen auf den Root-Benutzer zugreifen müssen.

Speichern Sie das Root-Benutzerkennwort nicht zusammen mit Tools, die darauf angewiesen sind AWS-Services in einem Konto, auf das mit demselben Passwort zugegriffen wird. Wenn Sie Ihr Root-Benutzer-Passwort verlieren oder vergessen, können Sie nicht auf diese Tools zugreifen. Wir empfehlen Ihnen, der Ausfallsicherheit Priorität einzuräumen und zu erwägen, dass zwei oder mehr Personen den Zugriff auf den Speicherort autorisieren müssen. Der Zugriff auf das Passwort oder dessen Speicherort sollten protokolliert und überwacht werden.

Verwenden eines sicheren Root-Benutzerpassworts zum Schutz des Zugriffs

Es empfiehlt sich, ein sicheres und eindeutiges Passwort zu verwenden. Tools wie Passwort-Manager mit starken Algorithmen zur Passwortgenerierung können Ihnen dabei helfen, diese Ziele zu erreichen. AWS setzt voraus, dass Ihr Passwort die folgenden Bedingungen erfüllt:

Weitere Informationen finden Sie unter Ändern Sie das Passwort für den Root-Benutzer des AWS-Kontos.

Sichern Ihren Stammbenutzeranmeldung mit Multi-Faktor-Authentifizierung (MFA)

Da ein Root-Benutzer privilegierte Aktionen ausführen kann, ist es wichtig, zusätzlich zur E-Mail-Adresse und dem Passwort als Anmeldedaten, dem Root-Benutzer MFA als zweiten Authentifizierungsfaktor hinzuzufügen. Sie können bis zu acht MFA-Geräte mit einer beliebigen Kombination der derzeit unterstützten MFA-Typen bei Ihrem registrieren AWS-Konto Root-Benutzer.

Wir empfehlen ausdrücklich, mehrere MFA-Geräte für Ihre Root-Benutzer-Anmeldedaten zu aktivieren, um Ihrer Sicherheitsstrategie zusätzliche Flexibilität und Stabilität zu verleihen. Alle AWS-Konto -Typen (eigenständige Konten, Verwaltungs- und Mitgliedskonten) erfordern die Konfiguration von MFA für ihren Root-Benutzer. Benutzer müssen MFA innerhalb von 14 Tagen nach ihrem ersten Anmeldeversuch registrieren, um auf den AWS-Managementkonsole wenn MFA nicht bereits aktiviert ist.

Keine Zugriffsschlüssel für den Root-Benutzer erstellen

Mit den Zugriffstasten können Sie Befehle in der AWS Befehlszeilenschnittstelle (AWS CLI) oder verwenden Sie API-Operationen von einem der AWS SDKs. Wir empfehlen dringend, keine Zugriffsschlüssel für Ihren Root-Benutzer zu erstellen, da der Root-Benutzer vollen Zugriff auf alle hat AWS-Services und Ressourcen im Konto, einschließlich Rechnungsinformationen.

Da nur für wenige Aufgaben der Root-Benutzer erforderlich ist und Sie diese Aufgaben in der Regel selten ausführen, empfehlen wir, sich bei der AWS-Managementkonsole um Root-Benutzeraufgaben auszuführen. Für programmgesteuerten Zugriff verwenden Sie statt Zugriffsschlüssel für den Root-Benutzer zu erstellen aws login Befehl mit Ihren Root-Anmeldeinformationen zur Authentifizierung bei AWS CLI und SDKs. Dieser Ansatz bietet temporäre, automatisch rotierte Anmeldeinformationen, die Ihre Sicherheitslage verbessern und gleichzeitig die Verwaltung von langfristigen Zugriffsschlüsseln überflüssig machen. Bevor Sie Zugriffsschlüssel erstellen, prüfen Sie die Alternativen zu Langzeit-Zugriffsschlüsseln.

Verwenden Sie nach Möglichkeit die Genehmigung mehrerer Personen für die Anmeldung als Root-Benutzer

Erwägen Sie die Verwendung einer Genehmigung durch mehrere Personen, um sicherzustellen, dass keine Person sowohl auf die MFA als auch auf das Passwort für den Root-Benutzer zugreifen kann. Einige Unternehmen fügen eine zusätzliche Sicherheitsebene hinzu, indem sie eine Gruppe von Administratoren mit Zugriff auf das Passwort und eine weitere Gruppe von Administratoren mit Zugriff auf MFA einrichten. Ein Mitglied aus jeder Gruppe muss sich als Root-Benutzer anmelden.

Verwenden einer Gruppen-E-Mail-Adresse für Root-Benutzer-Anmeldeinformationen

Verwenden Sie eine E-Mail-Adresse, die von Ihrem Unternehmen verwaltet wird und empfangene Nachrichten direkt an eine Gruppe von Benutzern weiterleitet. Wenn AWS muss sich mit dem Kontoinhaber in Verbindung setzen, reduziert diese Vorgehensweise das Risiko von Verzögerungen bei der Beantwortung, selbst wenn Personen im Urlaub sind, krank sind oder das Unternehmen verlassen haben. Die E-Mail-Adresse, die für den Root-Benutzer verwendet wird, sollte nicht für andere Zwecke verwendet werden.

Einschränken des Zugriffs auf Mechanismen zur Kontowiederherstellung

Stellen Sie sicher, dass Sie einen Prozess zur Verwaltung der Mechanismen zur Wiederherstellung der Anmeldedaten von Root-Benutzern entwickeln, falls Sie in einem Notfall, z. B. bei der Übernahme Ihres Administratorkontos, Zugriff darauf benötigen.

Niemand sollte Zugriff sowohl auf den E-Mail-Posteingang sowie auf die Telefonnummer haben, da es sich bei beiden um Bestätigungskanäle handelt, mit denen Sie Ihr Root-Benutzer-Passwort wiederherstellen können. Es ist wichtig, dass zwei Personengruppen diese Kanäle verwalten. Eine Gruppe sollte Zugriff auf Ihre primäre E-Mail-Adresse haben und eine andere Gruppe sollte Zugriff auf die primäre Telefonnummer haben, um den Zugriff auf Ihr Konto als Root-Benutzer wiederherzustellen.

Sichern Sie Ihre AWS Organizations Anmeldedaten für Root-Benutzer

Wenn Sie zu einer Strategie mit mehreren Konten übergehen AWS Organizations, jeder deiner AWS-Konten hat seine eigenen Root-Benutzeranmeldeinformationen, die Sie sichern müssen. Das Konto, mit dem Sie Ihre Organisation erstellen, ist das Verwaltungskonto, und die übrigen Konten in Ihrer Organisation sind Mitgliedskonten.

Sichern von Root-Benutzer-Anmeldeinformationen für Verwaltungskonten

AWS erfordert, dass Sie MFA für den Root-Benutzer des Verwaltungskontos Ihrer Organisation registrieren. Die MFA-Registrierung muss beim ersten Anmeldeversuch oder innerhalb der 14-tägigen Nachfrist abgeschlossen werden. Wenn MFA innerhalb dieser Zeit nicht aktiviert ist, ist eine Registrierung erforderlich, bevor Sie auf die AWS-Managementkonsole zugreifen können. Weitere Informationen finden Sie unter Multi-factor Authentifizierung für Root-Benutzer des AWS-Kontos.

Sichern von Root-Benutzer-Anmeldeinformationen für Mitgliedskonten

Wenn Sie verwenden AWS Organizations Um mehrere Konten zu verwalten, gibt es zwei Strategien, mit denen Sie den Root-Benutzerzugriff in Ihrem Konto sichern können AWS Organizations.

Einzelheiten finden Sie unter Zugreifen auf Mitgliedskonten in Ihrer Organisation im AWS Organizations -Benutzerhandbuch.

Richten Sie präventive Sicherheitskontrollen ein AWS Organizations mithilfe einer Service Control Policy (SCP)

Wenn für die Mitgliedskonten in Ihrer Organisation Root-Benutzer-Anmeldeinformationen aktiviert sind, können Sie eine SCP anwenden, um den Zugriff auf den Root-Benutzer des Mitgliedskontos einzuschränken. Das Verweigern aller Root-Benutzeraktionen in Ihren Mitgliedskonten, mit Ausnahme bestimmter Root-Aktionen, trägt dazu bei, unbefugten Zugriff zu verhindern. Einzelheiten finden Sie unter Verwenden eines SCP zum Einschränken der Aktionen des Root-Benutzers in Ihren Mitgliedskonten.

Überwachung von Zugang und Nutzung

Wir empfehlen Ihnen, Ihre derzeitigen Nachverfolgungsmechanismen zu verwenden, um die Anmeldung und Nutzung von Anmeldeinformationen von Root-Benutzern zu überwachen, zu warnen und zu melden, einschließlich Warnungen, die die Anmeldung und Nutzung von Root-Benutzern ankündigen. Mithilfe der folgenden Dienste können Sie sicherstellen, dass die Verwendung der Anmeldedaten von Root-Benutzern nachverfolgt wird, und Sicherheitsüberprüfungen durchführen, um eine unbefugte Verwendung zu verhindern.

Die Warnmeldungen sollten unter anderem die E-Mail-Adresse des Root-Benutzers enthalten. Halten Sie Verfahren für die Reaktion auf Warnungen bereit, damit Mitarbeiter, die eine Warnung zum Root-Benutzerzugriff erhalten, verstehen, wie sie überprüfen können, ob Root-Benutzerzugriff erwartet wird, und wie sie eskalieren können, wenn sie glauben, dass ein Sicherheitsvorfall vorliegt. Ein Beispiel für die Konfiguration von Benachrichtigungen finden Sie unter Überwachen und benachrichtigen am AWS-Konto Aktivität des Root-Benutzers.

Auswertung der MFA-Compliance von Root-Benutzern

Die folgenden Services können bei der Bewertung der MFA-Compliance für Root-Benutzer-Anmeldeinformationen helfen.

Wenn Sie ein Sicherheitsproblem in Ihrem Konto melden möchten, lesen Sie Verdächtige E-Mails melden oder Meldung von Schwachstellen. Alternativ können Sie sich an AWS wenden, um Unterstützung und zusätzliche Hilfestellung zu erhalten.