Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # IAM-Rollen für das Senden von Ereignissen an Ziele in Amazon EventBridge Um Ereignisse an Ziele weiterzuleiten, EventBridge ist eine IAM-Rolle erforderlich. **Um eine IAM-Rolle für das Senden von Ereignissen an zu erstellen EventBridge** 1. Öffnen Sie unter [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) die IAM-Konsole. 1. Um eine IAM-Rolle zu erstellen, folgen Sie den Schritten unter [ Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS Dienst ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im * IAM-Benutzerhandbuch. * Beachten Sie Folgendes, während Sie die Schritte ausführen: + Geben Sie unter **Rollenname** einen Namen ein, der innerhalb Ihres Kontos eindeutig ist. + **Wählen Sie unter Select Role Type ** die Option **AWS Service Roles und ** dann Amazon aus. ** EventBridge ** Dadurch werden die EventBridge Berechtigungen erteilt, die Rolle zu übernehmen. + Wählen ** Sie unter Attach Policy ** die Option aus ** AmazonEventBridgeFullAccess**. Sie können auch Ihre eigenen benutzerdefinierten IAM-Richtlinien erstellen, um Berechtigungen für EventBridge Aktionen und Ressourcen zu gewähren. Die benutzerdefinierten Richtlinien können Sie dann den IAM-Benutzern oder -Gruppen zuweisen, die diese Berechtigungen benötigen. Weitere Informationen zu IAM-Richtlinien finden Sie unter [Übersicht über IAM-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*. Weitere Informationen zum Verwalten und Erstellen von benutzerdefinierten IAM-Richtlinien finden Sie unter [Verwalten von IAM-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/ManagingPolicies.html) im *IAM-Benutzerhandbuch*. ## Berechtigungen, die für den Zugriff EventBridge auf Ziele mithilfe von IAM-Rollen erforderlich sind EventBridge Ziele benötigen in der Regel IAM-Rollen, die die Berechtigung EventBridge zum Aufrufen des Ziels gewähren. Im Folgenden finden Sie einige Beispiele für verschiedene AWS Dienste und Ziele. Für andere Benutzer verwenden Sie die EventBridge Konsole, um eine Regel zu erstellen und eine neue Rolle zu erstellen, die mit einer Richtlinie mit vorkonfigurierten Berechtigungen für einen bestimmten Bereich erstellt wird. Amazon SQS-, Amazon SNS- und Lambda-Ziele unterstützen sowohl IAM-Ausführungsrollen als auch ressourcenbasierte Richtlinien. CloudWatch Für Protokolle und EventBridge Busziele werden keine Rollen verwendet, und die entsprechenden Berechtigungen EventBridge müssen über eine Ressourcenrichtlinie erteilt werden. API-Gateway-Ziele können entweder Ressourcenrichtlinien oder IAM-Rollen verwenden. ### API-Ziele Wenn das Ziel ein API-Ziel ist, muss die von Ihnen angegebene Rolle eine Richtlinie mit der folgenden Anweisung enthalten: + **Effekt**: `Allow` + **Aktion:** `events:InvokeApiDestination` + **Ressource:** `arn:aws:events:*:*:api-destination/*` ### Kinesis-Streams Wenn das Ziel ein Kinesis-Stream ist, muss die Rolle, die zum Senden von Ereignisdaten an dieses Ziel verwendet wird, eine Richtlinie mit der folgenden Anweisung enthalten: + **Effekt**: `Allow` + **Aktion:** `kinesis:PutRecord` + **Ressource:** `*` ### Befehle im Systems Manager ausführen Wenn das Ziel der Befehl Systems Manager run ist und Sie einen oder mehrere `InstanceIds` Werte für den Befehl angeben, muss die angegebene Rolle eine Richtlinie mit der folgenden Anweisung enthalten: + **Wirkung**: `Allow` + **Aktion:** `ssm:SendCommand` + **Ressourcen:** + `arn:aws:ec2:{{region}}:{{accountId}}:instance/{{instanceId1}}` + `arn:aws:ec2:{{region}}:{{accountId}}:instance/{{instanceId2}}` + `arn:aws:ssm:{{region}}:*:document/{{documentName}}` Wenn das Ziel der Befehl Run Command von Systems Manager ist und Sie ein oder mehrere Tags für Zielinstanzen angeben, muss die Rolle die folgende Anweisung enthalten: + **Wirkung**: `Allow` + **Aktion:** `ssm:SendCommand` + **Ressourcen:** + `arn:aws:ec2:{{region}}:{{accountId}}:instance/*` + `arn:aws:ssm:{{region}}:{{accountId}}:managed-instance/*` + **Zustand**: ``` "StringEquals": { "aws:ResourceTag/{{tagKey}}": ["{{tagValues}}"] } ``` Der `aws:ResourceTag` Bedingungsschlüssel funktioniert sowohl für EC2-Instances als auch für hybride verwaltete Instances (lokale Knoten, die bei Systems Manager registriert sind). Der `ssm:resourceTag/{{tagKey}}` Bedingungsschlüssel wird auch für die `SendCommand` Aktion unterstützt. Die Rolle muss außerdem die folgende Anweisung enthalten, um Zugriff auf das Systems Manager-Dokument zu gewähren: + **Wirkung**: `Allow` + **Aktion:** `ssm:SendCommand` + **Ressource:** `arn:aws:ssm:{{region}}:*:document/{{documentName}}` ### Step Functions Zustandsautomaten Handelt es sich bei dem Ziel um eine AWS Step Functions Zustandsmaschine, muss die von Ihnen angegebene Rolle eine Richtlinie mit den folgenden Angaben enthalten: + **Effekt**: `Allow` + **Aktion:** `states:StartExecution` + **Ressource:** `arn:aws:states:*:*:stateMachine:*` ### Amazon-ECS-Aufgaben Wenn das Ziel eine Amazon-ECS-Aufgabe ist, muss die Rolle, die Sie angeben, die folgende Richtlinie enthalten. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ecs:RunTask" ], "Resource": [ "arn:aws:ecs:*:{{111122223333}}:task-definition/{{task-definition-name}}" ], "Condition": { "ArnLike": { "ecs:cluster": "arn:aws:ecs:*:{{111122223333}}:cluster/{{cluster-name}}" } } }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": [ "*" ], "Condition": { "StringLike": { "iam:PassedToService": "ecs-tasks.amazonaws.com" } } } ] } ``` ------ Die folgende Richtlinie ermöglicht es integrierten Zielen EventBridge , Amazon EC2-Aktionen in Ihrem Namen auszuführen. Sie müssen die verwenden, AWS-Managementkonsole um Regeln mit integrierten Zielen zu erstellen. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "TargetInvocationAccess", "Effect": "Allow", "Action": [ "ec2:Describe*", "ec2:RebootInstances", "ec2:StopInstances", "ec2:TerminateInstances", "ec2:CreateSnapshot" ], "Resource": "*" } ] } ``` ------ Die folgende Richtlinie ermöglicht es EventBridge , Ereignisse an die Kinesis-Streams in Ihrem Konto weiterzuleiten. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "KinesisAccess", "Effect": "Allow", "Action": [ "kinesis:PutRecord" ], "Resource": "*" } ] } ``` ------ ## Customer-managed Beispiel für eine Richtlinie: Verwendung von Tagging zur Steuerung des Zugriffs auf Regeln Das folgende Beispiel zeigt eine Benutzerrichtlinie, die Berechtigungen für EventBridge Aktionen gewährt. Diese Richtlinie funktioniert, wenn Sie die EventBridge API, AWS SDKs oder die AWS CLI verwenden. Sie können Benutzern Zugriff auf bestimmte EventBridge Regeln gewähren und sie gleichzeitig daran hindern, auf andere Regeln zuzugreifen. Hierzu markieren Sie beide Regelsätze mit Tags und verwenden dann IAM-Richtlinien, die auf diese Tags verweisen. Weitere Informationen zum Taggen von EventBridge Ressourcen finden Sie unter[Ressourcen in Amazon taggen EventBridge](eb-tagging.md). Sie können einem Benutzer eine IAM-Richtlinie zuweisen, die ausschließlich den Zugriff auf Regeln mit einem bestimmten Tag zulässt. Sie wählen aus, auf welche Regeln Sie Zugriff gewähren möchten, indem Sie sie mit diesem bestimmten Tag markieren. Beispielweise gewährt die folgende Richtlinie einem Benutzer nur den Zugriff auf Regeln mit dem Wert `Prod` für den Tag-Schlüssel `Stack`. ``` { "Statement": [ { "Effect": "Allow", "Action": "events:*", "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/Stack": "Prod" } } } ] } ``` Weitere Informationen zur Verwendung von IAM-Richtlinienanweisungen finden Sie unter [Steuern des Zugriffs mithilfe von Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_controlling.html) im *IAM-Benutzerhandbuch*.