Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
IAM-Richtlinienstruktur
In den folgenden Themen wird die Struktur einer IAM-Richtlinie erläutert.
Themen
Richtliniensyntax
Eine IAM-Richtlinie ist ein JSON-Dokument, das eine oder mehrere Anweisungen enthält. Jede Anweisung ist folgendermaßen strukturiert.
{ "Statement":[{ "Effect":"effect", "Action":"action", "Resource":"arn", "Condition":{ "condition":{ "key":"value" } } } ] }
Es gibt vier Hauptelemente, aus denen sich eine Aussage zusammensetzt:
-
Effect: Der effect-Wert kann
AllowoderDenylauten. Standardmäßig sind Benutzer nicht berechtigt, Ressourcen und API-Aktionen zu verwenden. Daher werden alle Anfragen abgelehnt. Dieser Standardwert kann durch eine explizite Zugriffserlaubnis überschrieben werden. Eine explizite Zugriffsverweigerung überschreibt jedwede Zugriffserlaubnis. -
Aktion: Die Aktion ist die spezifische API-Aktion, für die Sie die Erlaubnis erteilen oder verweigern. Für Anweisungen zur Angabe der Aktion, siehe API-Aktionen für AWS Batch.
-
Resource: Die von einer Aktion betroffene Ressource. Mit einigen AWS Batch API-Aktionen: Sie können bestimmte Ressourcen in Ihre Richtlinie aufnehmen, die durch die Aktion erstellt oder geändert werden können. Um eine Ressource in der Anweisung anzugeben, verwenden Sie deren Amazon-Ressourcennamen (ARN). Weitere Informationen erhalten Sie unter Unterstützte Berechtigungen auf Ressourcenebene für AWS Batch API-Aktionen und Amazon-Ressourcennamen für AWS Batch. Wenn der AWS Batch Der API-Betrieb unterstützt derzeit keine Berechtigungen auf Ressourcenebene. Verwenden Sie einen Platzhalter (*), um anzugeben, dass alle Ressourcen von der Aktion betroffen sein können.
-
Condition: Bedingungen sind optional. Mit ihrer Hilfe können Sie bestimmen, wann Ihre Richtlinie wirksam ist.
Weitere Informationen zu Beispiel-IAM-Richtlinienanweisungen für AWS Batch, siehe Ressource: Beispielrichtlinien für AWS Batch.
API-Aktionen für AWS Batch
In einer IAM-Richtlinienanweisung können Sie jede API-Aktion von jedem Service, der IAM unterstützt, angeben. Für AWS Batch, verwenden Sie das folgende Präfix mit dem Namen der API-Aktion: batch: (zum Beispiel batch:SubmitJob und batch:CreateComputeEnvironment).
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie jede Aktion durch ein Komma.
"Action": ["batch:action1", "batch:action2"]
Sie können auch mehrere Aktionen angeben, indem Sie einen Platzhalter (*) verwenden. Sie können beispielsweise alle Aktionen mit einem Namen angeben, der mit dem Wort „Beschreiben“ beginnt.
"Action": "batch:Describe*"
Um alle zu spezifizieren AWS Batch API-Aktionen müssen einen Platzhalter (*) enthalten.
"Action": "batch:*"
Für eine Liste von AWS Batch Aktionen finden Sie unter Aktionen in der AWS Batch API-Referenz.
Amazon-Ressourcennamen für AWS Batch
Jede IAM-Richtlinienerklärung gilt für die Ressourcen, die Sie mithilfe ihrer Amazon-Ressourcennamen (ARNs) angeben.
Ein Amazon-Ressourcenname (ARN) hat die folgende allgemeine Syntax:
arn:aws:[service]:[region]:[account]:resourceType/resourcePath- Service nicht zulässig
-
Der Service (z. B.
batch) - Region
-
Der AWS-Region für die Ressource (zum Beispiel
us-east-2). - Konto
-
Das AWS-Konto ID, ohne Bindestriche (zum Beispiel
123456789012). - RessourcenTyp
-
Der Typ der Ressource (z. B.
compute-environment) - resourcePath
-
Ein Pfad zur Identifizierung der Ressource. Sie können einen Platzhalter (*) in Ihren Pfaden verwenden.
AWS Batch API-Operationen unterstützen derzeit Berechtigungen auf Ressourcenebene für mehrere API-Operationen. Weitere Informationen finden Sie unter Unterstützte Berechtigungen auf Ressourcenebene für AWS Batch API-Aktionen. Um alle Ressourcen anzugeben oder wenn eine bestimmte API-Aktion keine ARNs unterstützt, fügen Sie einen Platzhalter (*) in das Feld ein Resource Element.
"Resource": "*"
Vergewissern Sie sich, dass Benutzer über die erforderlichen Berechtigungen verfügen
Bevor Sie eine IAM-Richtlinie in die Praxis umsetzen, stellen Sie sicher, dass sie Benutzern die Berechtigungen zur Nutzung der spezifischen API-Aktionen und Ressourcen gewährt, die sie benötigen.
Erstellen Sie dazu zunächst einen Benutzer zu Testzwecken und hängen Sie die IAM-Richtlinie an den Testbenutzer an. Anschließend initiieren Sie mit dem Testbenutzer eine Anforderung. Anforderungen erfolgen über die Konsole oder die AWS CLI.
Anmerkung
Sie können Ihre Richtlinien auch testen, indem Sie die IAM-Richtlinien-Simulator
Falls die Richtlinie dem Benutzer nicht die erwarteten Berechtigungen erteilt oder zu viele Berechtigungen gewährt, können Sie die Richtlinie entsprechend anpassen. Testen Sie so lange, bis Sie die gewünschten Ergebnisse erhalten.
Wichtig
Es kann einige Minuten dauern, bis Richtlinienänderungen wirksam werden. Daher empfehlen wir, dass Sie mindestens fünf Minuten verstreichen lassen, bevor Sie Ihre Richtlinienaktualisierungen testen.
Bei einer fehlgeschlagenen Autorisierungsprüfung gibt die Anforderung eine codierte Nachricht mit Diagnoseinformationen zurück. Sie können die Nachricht mit der Aktion DecodeAuthorizationMessage decodieren. Weitere Informationen finden Sie unter DecodeAuthorizationMessage in der AWS -Security-Token-Service API-Referenz, und Autorisierungsnachricht dekodieren in der AWS CLI Befehlsreferenz.
