Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von IAM-Richtlinienbedingungen für die differenzierte Zugriffskontrolle

In Route 53 können Sie Bedingungen angeben, wenn Sie Berechtigungen mithilfe einer IAM-Richtlinie erteilen (siehe Zugriffskontrolle). Beispielsweise ist Folgendes möglich:

Sie können auch Berechtigungen erstellen, die eine der detaillierten Berechtigungen kombinieren.

Normalisieren der Schlüsselwerte der Route 53-Bedingung

Die Werte, die Sie für die Richtlinienbedingungen eingeben, müssen wie folgt formatiert oder normalisiert sein:

Für route53:ChangeResourceRecordSetsNormalizedRecordNames:

Für route53:ChangeResourceRecordSetsActions kann der Wert einer der folgenden Möglichkeiten sein und muss in Großbuchstaben sein:

Für route53:ChangeResourceRecordSetsRecordTypes:

Für route53:VPCs:

Bei route53profiles:ResourceTypes dem Wert kann es sich um einen der folgenden Werte handeln, wobei Groß- und Kleinschreibung beachtet wird:

Für route53profiles:ResourceArns:

Für route53profiles:HostedZoneDomains:

Für route53profiles:ResolverRuleDomains:

Für route53profiles:FirewallRuleGroupPriority:

Für route53profiles:ResourceIds:

Sie können den Access Analyzer oder Richtliniensimulator im IAM-Benutzerhandbuch nutzen, um zu überprüfen, ob Ihre Richtlinie die Berechtigungen wie erwartet gewährt oder einschränkt. Sie können die Berechtigungen auch überprüfen, indem Sie eine IAM-Richtlinie auf einen Testbenutzer oder eine Testrolle anwenden, um Route 53-Vorgänge auszuführen.

Festlegung von Bedingungen: Verwenden von Bedingungsschlüsseln

AWS stellt einen Satz vordefinierter Bedingungsschlüssel (AWS-weite Bedingungsschlüssel) für alle AWS Dienste bereit, die IAM für die Zugriffskontrolle unterstützen. Sie können beispielsweise den aws:SourceIp-Bedingungsschlüssel verwenden, um die IP-Adresse des Anforderers zu prüfen, bevor eine Aktion durchgeführt werden darf. Weiter Informationen und eine Liste von AWS-weiten Schlüsseln finden Sie unter Verfügbare Schlüssel für Bedingungen im IAM-Benutzerhandbuch.

In der folgenden Tabelle sind die dienstspezifischen Bedingungsschlüssel für Route 53 aufgeführt, die für Route 53 gelten.

Beispielrichtlinien: Verwenden von Bedingungen für differenzierten Zugriff

Jedes der Beispiele im folgenden Abschnitt legt die Effektklausel auf „erlauben“ fest und gibt nur die Aktionen, Ressourcen und Parameter an, die erlaubt sind. Zugriff hat lediglich das, was in der IAM-Richtlinie aufgeführt ist.

In einigen Fällen ist es möglich, diese Richtlinien umzuschreiben, damit sie auf Verweigerung basieren (dies bedeutet, die Effektklausel auf „verweigern“ festzulegen und die gesamte Logik in der Richtlinie umzukehren). Allerdings empfehlen wir, dass Sie die Nutzung von Richtlinien, die auf Verweigerung basieren vermeiden, weil es verglichen mit Richtlinien, die auf Berechtigung basieren, schwierig ist, sie korrekt zu schreiben. Dies gilt insbesondere für Route 53 aufgrund der erforderlichen Textnormalisierung.

Berechtigungen erteilen, die den Zugriff auf DNS-Einträge mit bestimmten Namen beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen, die ChangeResourceRecordSets-Aktionen in der gehosteten Zone Z12345 für example.com and marketing.example.com erlauben. Sie benutzt den route53:ChangeResourceRecordSetsNormalizedRecordNames-Bedingungsschlüssel, um Benutzeraktionen nur auf die Datensätze zu beschränken, die den angegebenen Namen entsprechen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                    "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["example.com", "marketing.example.com"]
                }
            }
          }
        ]
}

ForAllValues:StringEquals ist ein IAM-Bedingungsoperator, der für mehrwertige Schlüssel gilt. Die Bedingung in der obigen Richtlinie erlaubt den Vorgang nur, wenn alle Änderungen in ChangeResourceRecordSets den DNS-Namen example.com haben. Weitere Informationen finden Sie unter IAM-Bedingungsoperatoren undIAM-Bedingung mit mehreren Schlüsseln oder Werten im IAM-Benutzerhandbuch.

Um die Berechtigung zu implementieren, die Namen mit bestimmten Suffixen abgleicht, können Sie den IAM-Platzhalter (*) in der Richtlinie mit Bedingungsoperator StringLike oder StringNotLike verwenden. Die folgende Richtlinie erlaubt den Vorgang, wenn alle Änderungen in der Operation ChangeResourceRecordSets DNS-Namen haben, die mit „-beta.example.com“ enden.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringLike":{
                     "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["*-beta.example.com"]
                }
            }
          }
        ]
}

Gewähren Sie Berechtigungen, die den Zugriff auf DNS-Einträge einschränken, die mit einem Domänennamen mit Platzhalter übereinstimmen

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen, die ChangeResourceRecordSets-Aktionen in der gehosteten Zone Z12345 für example.com erlauben. Er benutzt den Bedingungsschlüssel route53:ChangeResourceRecordSetsNormalizedRecordNames, um Benutzeraktionen nur auf die Datensätze zu beschränken, die mit *.example.com übereinstimmen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                     "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["\\052.example.com"]
                }
            }
          }
        ]
}

\052 ist der Oktalcode für das Zeichen * im DNS-Namen und \ in \052 ist entkommen, um \\ zu sein, um JSON-Syntax zu folgen.

Berechtigungen erteilen, die den Zugriff auf bestimmte DNS-Einträge beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen, die ChangeResourceRecordSets-Aktionen in der gehosteten Zone Z12345 für example.com erlauben. Verwendet die Kombination von drei Bedingungsschlüsseln, um Benutzeraktionen so zu beschränken, dass nur DNS-Einträge mit einem bestimmten DNS-Namen und -Typ erstellt oder bearbeitet werden können.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                     "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["example.com"],
                     "route53:ChangeResourceRecordSetsRecordTypes": ["MX"],
                     "route53:ChangeResourceRecordSetsActions": ["CREATE", "UPSERT"]
                }
            }
          }
        ]
}

Berechtigungen erteilen, die den Zugriff auf die Erstellung und Bearbeitung nur der angegebenen Typen von DNS-Einträgen beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen, die ChangeResourceRecordSets-Aktionen in der gehosteten Zone Z12345 für example.com erlauben. Sie benutzt den Bedingungsschlüssel route53:ChangeResourceRecordSetsRecordTypes, um Benutzeraktionen nur auf die Datensätze zu beschränken, die den angegebenen Typen (A und AAAA) entsprechen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                     "route53:ChangeResourceRecordSetsRecordTypes": ["A", "AAAA"]
                }
            }
          }
        ]
}

Gewähren Sie Berechtigungen, die die VPC angeben, in der der IAM-Prinzipal arbeiten kann

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen,AssociateVPCWithHostedZone,DisassociateVPCFromHostedZone, ListHostedZonesByVPC CreateHostedZoneCreateVPCAssociationAuthorization, und DeleteVPCAssociationAuthorization Aktionen auf der durch die VPC-ID angegebenen VPC.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "route53:*"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringLike": {
                    "route53:VPCs": [
                        "VPCId=<vpc-id>,VPCRegion=<region>"
                    ]
                }
            }
        },
        {
            "Sid": "Statement2",
            "Effect": "Allow",
            "Action": "ec2:DescribeVpcs",
            "Resource": "*"
        }
    ]
}

Gewähren Sie Berechtigungen, die die Ressourcenzuweisung auf bestimmte Ressourcentypen in Route 53-Profilen beschränken

Die folgende Berechtigungsrichtlinie gewährt nur dann Berechtigungen AssociateResourceToProfile und DisassociateResourceFromProfile Aktionen, wenn es sich bei dem Ressourcentyp um eine gehostete Zone handelt. Sie verwendet den route53profiles:ResourceTypes Bedingungsschlüssel, um die Ressourcentypen einzuschränken, die einem Profil zugeordnet werden können.

{
    "Effect": "Allow",
    "Action": [
        "route53profiles:AssociateResourceToProfile",
        "route53profiles:DisassociateResourceFromProfile"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "route53profiles:ResourceTypes": "HostedZone"
        }
    }
}

Gewähren Sie Berechtigungen, die die Ressourcenzuweisung auf bestimmte Ressourcen ARNs in Route 53-Profilen beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen AssociateResourceToProfile und DisassociateResourceFromProfile Aktionen nur für den angegebenen Ressourcen-ARN. Sie verwendet den route53profiles:ResourceArns Bedingungsschlüssel, um einzuschränken, welche Ressourcen einem Profil zugeordnet werden können.

{
    "Effect": "Allow",
    "Action": [
        "route53profiles:AssociateResourceToProfile",
        "route53profiles:DisassociateResourceFromProfile"
    ],
    "Resource": "*",
    "Condition": {
        "ArnEquals": {
            "route53profiles:ResourceArns": "arn:aws:route53:::hostedzone/Z12345"
        }
    }
}

Gewähren Sie Berechtigungen, die die Ressourcenzuweisung auf bestimmte Domänen in gehosteten Zonen in Route 53-Profilen beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen, die UpdateProfileResourceAssociation Aktionen zulassen AssociateResourceToProfileDisassociateResourceFromProfile, und nur dann, wenn die Domäne der gehosteten Zone dem angegebenen Wert entspricht. Sie verwendet den route53profiles:HostedZoneDomains Bedingungsschlüssel, um einzuschränken, welche Hosting-Zonendomänen einem Profil zugeordnet werden können.

{
    "Effect": "Allow",
    "Action": [
        "route53profiles:AssociateResourceToProfile",
        "route53profiles:DisassociateResourceFromProfile",
        "route53profiles:UpdateProfileResourceAssociation"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "route53profiles:HostedZoneDomains": "example.com"
        }
    }
}

Gewähren Sie Berechtigungen, die die Ressourcenzuweisung auf bestimmte Resolver-Regeldomänen in Route 53-Profilen beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen, die UpdateProfileResourceAssociation Aktionen zulassen AssociateResourceToProfileDisassociateResourceFromProfile, und nur dann, wenn die Resolver-Regeldomäne dem angegebenen Wert entspricht. Sie verwendet den route53profiles:ResolverRuleDomains Bedingungsschlüssel, um einzuschränken, welche Resolver-Regeldomänen einem Profil zugeordnet werden können.

{
    "Effect": "Allow",
    "Action": [
        "route53profiles:AssociateResourceToProfile",
        "route53profiles:DisassociateResourceFromProfile",
        "route53profiles:UpdateProfileResourceAssociation"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "route53profiles:ResolverRuleDomains": "example.com"
        }
    }
}

Gewähren Sie Berechtigungen, die die Zuordnung von Firewall-Regelgruppen auf einen bestimmten Prioritätsbereich in Route 53-Profilen beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen, die UpdateProfileResourceAssociation Aktionen zulassen AssociateResourceToProfileDisassociateResourceFromProfile, und nur dann, wenn die Priorität der Firewall-Regelgruppe innerhalb des angegebenen Bereichs liegt. Sie verwendet den route53profiles:FirewallRuleGroupPriority Bedingungsschlüssel, um die Prioritätswerte einzuschränken, die verwendet werden können.

{
    "Effect": "Allow",
    "Action": [
        "route53profiles:AssociateResourceToProfile",
        "route53profiles:DisassociateResourceFromProfile",
        "route53profiles:UpdateProfileResourceAssociation"
    ],
    "Resource": "*",
    "Condition": {
        "NumericGreaterThanEquals": {
            "route53profiles:FirewallRuleGroupPriority": "100"
        }
    }
}

Erteilen Sie Berechtigungen, die die Profilzuweisung auf bestimmte Profile VPCs in Route 53 beschränken

Die folgende Berechtigungsrichtlinie gewährt Berechtigungen AssociateProfile und DisassociateProfile Aktionen nur für die angegebene VPC. Sie verwendet den route53profiles:ResourceIds Bedingungsschlüssel, um einzuschränken, VPCs wem ein Profil zugeordnet werden kann.

{
    "Effect": "Allow",
    "Action": [
        "route53profiles:AssociateProfile",
        "route53profiles:DisassociateProfile"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "route53profiles:ResourceIds": "vpc-1a2b3c4d5e6f"
        }
    }
}