View a markdown version of this page

ABAC für DynamoDB Streams aktivieren - Amazon DynamoDB
RichtlinienprüfungIAM-BerechtigungenStreams ABAC aktivieren

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

ABAC für DynamoDB Streams aktivieren

DynamoDB Streams ABAC ist standardmäßig für die meisten aktiviert. AWS-Konten Für Bestandskunden ist Streams ABAC standardmäßig deaktiviert. Sie aktivieren es, nachdem Sie Ihre Richtlinien geprüft haben. Mithilfe der DynamoDB-Konsole können Sie überprüfen, ob Streams ABAC für Ihr Konto aktiviert ist. Öffnen Sie die DynamoDB-Konsole mit einer Rolle, die über die dynamodb:GetAbacStatus entsprechende Berechtigung verfügt. Öffnen Sie dann die Seite Einstellungen der DynamoDB-Konsole.

Die Karte „Attribute-based Zugriffskontrolle für Streams“ wird auf der Seite „Einstellungen“ nur angezeigt, wenn Sie eine DynamoDB-Tabelle in der aktuellen AWS Region haben. Wenn Sie über eine Tabelle verfügen, bedeutet der Status Ein (oder keine Karte), dass Streams ABAC aktiviert ist, und Aus (in der folgenden Abbildung dargestellt) bedeutet, dass dies nicht der Fall ist. Ohne eine Tabelle in der Region gibt das Fehlen der Karte keinen Hinweis auf den Status.

Die Einstellungsseite der DynamoDB-Konsole zeigt die Attribute-based Zugriffskontrolle für die Streams-Karte mit dem Status Aus, was darauf hinweist, dass Streams ABAC für das Konto nicht aktiviert ist.

Um Streams ABAC für Ihr Konto zu aktivieren, empfehlen wir Ihnen, zunächst Ihre Richtlinien wie im Abschnitt beschrieben zu überprüfen. Überprüfen Sie Ihre Richtlinien, bevor Sie Streams ABAC aktivieren Nehmen Sie dann die erforderlichen Berechtigungen für Streams ABAC in Ihre IAM-Richtlinie auf. Führen Sie abschließend die unter Streams ABAC in der Konsole aktivieren So aktivieren Sie Streams ABAC für Ihr Konto in der aktuellen Region beschriebenen Schritte aus. AWS Nachdem Sie Streams ABAC aktiviert haben, können Sie sich innerhalb der nächsten sieben Kalendertage nach der Anmeldung abmelden.

Überprüfen Sie Ihre Richtlinien, bevor Sie Streams ABAC aktivieren

Bevor Sie Streams ABAC aktivieren, überprüfen Sie Ihre Richtlinien. Vergewissern Sie sich, dass alle tagbasierten Bedingungen in Ihren Kontorichtlinien wie vorgesehen für Stream-Ressourcen eingerichtet sind. Durch die Prüfung Ihrer Richtlinien können Sie unerwartete Autorisierungsänderungen in Ihren DynamoDB Streams Streams-Workflows vermeiden, nachdem Sie Streams ABAC aktiviert haben.

Achten Sie bei der Prüfung auf Richtlinien, die:

  • Verwenden Sie aws:ResourceTag Bedingungen für Stream-ARNs (Format:arn:aws:dynamodb:*:*:table/*/stream/*)

  • Verwendung aws:RequestTag oder aws:TagKeys Bedingungen mit dynamodb:TagResource oder dynamodb:UntagResource Aktionen für Stream-Ressourcen

  • Verwenden Sie Platzhalter-Ressourcen-ARNs (arn:aws:dynamodb:*:*:*) mit tagbasierten Bedingungen, die unbeabsichtigt auf Streams zutreffen könnten

Beispiele für die Verwendung von attributbasierten Bedingungen mit Tags sowie das Vorher-Nachher-Verhalten der ABAC-Implementierung finden Sie unter Beispiele für die Verwendung von ABAC mit DynamoDB Streams.

IAM-Berechtigungen sind erforderlich, um Streams ABAC zu aktivieren

Sie benötigen die dynamodb:UpdateAbacStatus Erlaubnis, Streams ABAC für Ihr Konto in der aktuellen Region zu aktivieren. Um zu überprüfen, ob Streams ABAC für Ihr Konto aktiviert ist, benötigen Sie auch die dynamodb:GetAbacStatus entsprechende Genehmigung. Mit dieser Berechtigung können Sie den Status von Streams ABAC für ein Konto in einer beliebigen Region einsehen. Sie benötigen diese Berechtigungen zusätzlich zu den Berechtigungen, die für den Zugriff auf die DynamoDB-Konsole erforderlich sind.

Die folgende IAM-Richtlinie gewährt die Erlaubnis, Streams ABAC zu aktivieren und seinen Status für ein Konto in der aktuellen Region einzusehen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:UpdateAbacStatus",
        "dynamodb:GetAbacStatus"
      ],
      "Resource": "*"
    }
  ]
}

Streams ABAC in der Konsole aktivieren

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die DynamoDB-Konsole unter. https://console.aws.amazon.com/dynamodb/

  2. Wählen Sie im oberen Navigationsbereich die Region aus, für die Sie Streams ABAC aktivieren möchten.

  3. Wählen Sie im linken Navigationsbereich die Option Einstellungen aus.

  4. Führen Sie auf der Seite Settings (Einstellungen) die folgenden Schritte aus:

    1. Wählen Sie auf der Karte „Attribute-based Zugriffskontrolle für Streams“ die Option Aktivieren aus.

    2. Wählen Sie im Einstellungsfeld „Attributbasierte Zugriffskontrolle für Streams bestätigen“ die Option Aktivieren aus, um Ihre Auswahl zu bestätigen.

      Dadurch wird Streams ABAC für die aktuelle Region aktiviert und auf der Karte „Attribute-based Zugriffskontrolle für Streams“ wird der Status Ein angezeigt.

      Wenn Sie sich abmelden möchten, nachdem Sie Streams ABAC auf der Konsole aktiviert haben, können Sie dies innerhalb der nächsten sieben Kalendertage nach der Anmeldung tun. Um sich abzumelden, wählen Sie auf der Karte „Attribute-based Zugriffskontrolle für Streams“ auf der Seite „Einstellungen“ die Option „Deaktivieren“.

      Anmerkung

      Das Aktualisieren des Status von Streams ABAC ist ein asynchroner Vorgang. Wenn DynamoDB die Tags in Ihren Richtlinien nicht sofort auswertet, warten Sie ein paar Minuten und versuchen Sie es erneut. Die Änderungen an der Tag-Evaluierung sind letztendlich konsistent.