View a markdown version of this page

AWS Health Beispiele für identitätsbasierte Richtlinien - AWS Health
Best Practices für RichtlinienVerwenden der KonsoleGewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für BenutzerZugriff auf AWS Health Dashboard und das AWS Health APIRessourcen- und aktionsbasierte Bedingungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS Health Beispiele für identitätsbasierte Richtlinien

IAM-Benutzer besitzen keine Berechtigungen zum Erstellen oder Ändern von AWS Health -Ressourcen. Sie können auch keine Aufgaben mit dem ausführen AWS-Managementkonsole, AWS CLI, oder AWS API. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern und Rollen die Berechtigung zum Ausführen bestimmter API-Operationen für die angegebenen Ressourcen gewähren, die diese benötigen. Der Administrator muss diese Richtlinien anschließend den IAM-Benutzern oder -Gruppen anfügen, die diese Berechtigungen benötigen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von Richtlinien auf der JSON-Registerkarte im IAM-Benutzerhandbuch.

Best Practices für Richtlinien

Identity-based Richtlinien legen fest, ob jemand etwas erstellen, darauf zugreifen oder löschen kann AWS Health Ressourcen in Ihrem Konto. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn Sie identitätsbasierte Richtlinien erstellen oder bearbeiten, folgen Sie diesen Richtlinien und Empfehlungen:

  • Fangen Sie an mit AWS verwaltete Richtlinien und Umstellung auf Berechtigungen mit geringsten Rechten — Um mit der Vergabe von Berechtigungen für Ihre Benutzer und Workloads zu beginnen, verwenden Sie AWS verwaltete Richtlinien die Berechtigungen für viele gängige Anwendungsfälle gewähren. Sie sind in Ihrem verfügbar AWS-Konto. Wir empfehlen, die Berechtigungen weiter zu reduzieren, indem Sie Folgendes definieren AWS vom Kunden verwaltete Richtlinien, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien oder Von AWS verwaltete Richtlinien für Auftragsfunktionen im IAM-Benutzerhandbuch.

  • Anwendung von Berechtigungen mit den geringsten Rechten – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter Richtlinien und Berechtigungen in IAM im IAM-Benutzerhandbuch.

  • Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese über eine bestimmte Stelle genutzt werden AWS-Service, wie CloudFormation. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.

  • Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter Richtlinienvalidierung mit IAM Access Analyzer im IAM-Benutzerhandbuch.

  • Mehrstufige Authentifizierung (MFA) erforderlich — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem AWS-Konto, schalten Sie MFA für zusätzliche Sicherheit ein. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter Sicherer API-Zugriff mit MFA im IAM-Benutzerhandbuch.

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Best Practices für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Verwendung der AWS Health Konsole

Um auf das zuzugreifen AWS Health Konsole, Sie müssen über ein Minimum an Berechtigungen verfügen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den AWS Health Ressourcen in Ihrem AWS Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (IAM-Benutzer oder -Rollen) mit dieser Richtlinie.

Um sicherzustellen, dass diese Entitäten weiterhin das verwenden können AWS Health Konsole, Sie können Folgendes anhängen AWS verwaltete Richtlinie, AWSHealthFullAccess.

Das AWSHealthFullAccess Die Richtlinie gewährt einer Entität vollen Zugriff auf Folgendes:

  • Aktiviere oder deaktiviere die AWS Health Funktion zur organisatorischen Ansicht für alle Konten in einem AWS Organisation

  • Die AWS Health Armaturenbrett im AWS Health Konsole

  • AWS Health API-Operationen und Benachrichtigungen

  • Sehen Sie sich Informationen zu Konten an, die Teil Ihrer sind AWS Organisation

  • Sehen Sie sich die Organisationseinheiten (OU) des Verwaltungskontos an

Beispiel: AWSHealthFullAccess
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"         
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",    
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "health.amazonaws.com"
                }
            }
        }
    ]
}
Anmerkung

Sie können auch das verwenden Health_OrganizationsServiceRolePolicy AWS verwaltete Richtlinie, sodass AWS Health kann Ereignisse für andere Konten in Ihrer Organisation anzeigen. Weitere Informationen finden Sie unter Verwenden von dienstverknüpften Rollen für AWS Health.

Sie müssen Benutzern, die nur Anrufe tätigen, keine Mindestberechtigungen für die Konsole gewähren AWS CLI oder der AWS API. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die Sie ausführen möchten.

Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen zu einem Benutzer im IAM-Benutzerhandbuch.

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie beinhaltet Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI oder AWS API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Zugriff auf AWS Health Dashboard und das AWS Health API

Das AWS Health Das Dashboard ist für alle verfügbar AWS Konten. Die AWS Health Die API ist nur für Konten mit einer AWS Unterstützung für Unternehmen +, AWS Enterprise Support oder AWS Einheitlicher Betriebsplan. Weitere Informationen finden Sie unter Support.

Sie können IAM verwenden, um Entitäten (Benutzer, Gruppen oder Rollen) zu erstellen und diesen Entitäten dann Berechtigungen für den Zugriff auf AWS Health Dashboard und das AWS Health API.

Standardmäßig haben IAM-Benutzer keinen Zugriff auf AWS Health Dashboard oder AWS Health API. Sie gewähren Benutzern Zugriff auf Ihr Konto AWS Health Informationen, indem Sie IAM-Richtlinien an einen einzelnen Benutzer, eine Benutzergruppe oder eine Rolle anhängen. Weitere Informationen finden Sie unter Identitäten (Benutzer, Gruppen und Rollen) und Übersicht über IAM-Richtlinien.

Nachdem Sie die IAM-Benutzer erstellt haben, können Sie diesen individuelle Passwörter zuordnen. Anschließend können sie sich bei Ihrem Konto anmelden und Folgendes einsehen AWS Health Informationen mithilfe einer kontospezifischen Anmeldeseite. Weitere Informationen finden Sie unter Wie sich Benutzer bei Ihrem Konto anmelden.

Anmerkung

Ein IAM-Benutzer mit Leseberechtigungen AWS Health Das Dashboard hat überall Lesezugriff auf Gesundheitsinformationen AWS Dienste auf dem Konto, die Folgendes beinhalten können, aber nicht darauf beschränkt sind AWS Ressourcen-IDs wie Amazon EC2-Instance-IDs, EC2-Instance-IP-Adressen und allgemeine Sicherheitsbenachrichtigungen.

Zum Beispiel, wenn eine IAM-Richtlinie nur Zugriff gewährt auf AWS Health Dashboard und das AWS Health API, dann kann der Benutzer oder die Rolle, für die die Richtlinie gilt, auf alle Informationen zugreifen, über die gepostet wurde AWS Dienste und zugehörige Ressourcen, auch wenn andere IAM-Richtlinien diesen Zugriff nicht zulassen.

Sie können zwei Gruppen von APIs verwenden für AWS Health.

Weitere Informationen zu den verfügbaren API-Vorgängen finden Sie in der AWS Health API-Referenz.

Individuelle Aktionen

Sie können das einstellen Action Element einer IAM-Richtlinie auf health:Describe*. Dies ermöglicht den Zugriff auf die AWS Health Armaturenbrett und AWS Health. AWS Health unterstützt die Zugriffskontrolle auf Ereignisse auf der Grundlage von eventTypeCode und Service.

Zugriffsbeschreibung

Diese Grundsatzerklärung gewährt Zugriff auf AWS Health Dashboard und eines der Describe* AWS Health API-Operationen. Ein IAM-Benutzer mit dieser Richtlinie kann beispielsweise auf AWS Health Dashboard im AWS-Managementkonsole und rufe den AWS Health DescribeEvents API-Betrieb.

Beispiel: Zugriffsbeschreibung
JSON
{
  "Version":"2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  }]
}

Zugriffsverweigerung

Diese Grundsatzerklärung verweigert den Zugriff auf AWS Health Dashboard und AWS Health API. Ein IAM-Benutzer mit dieser Richtlinie kann das nicht sehen AWS Health Dashboard im AWS-Managementkonsole und kann keinen der anrufen AWS Health API-Operationen.

Beispiel: Zugriffsverweigerung
JSON
{
  "Version":"2012-10-17",
  "Statement": [
  {
    "Effect": "Deny",
    "Action": [
      "health:*"
    ],
    "Resource": "*"
  }]
}

Organisationsansicht

Wenn Sie die Organisationsansicht aktivieren möchten für AWS Health, müssen Sie den Zugriff auf die zulassen AWS Health und AWS Organizations Aktionen.

Die Action Das Element einer IAM-Richtlinie muss die folgenden Berechtigungen enthalten:

  • iam:CreateServiceLinkedRole

  • organizations:EnableAWSServiceAccess

  • organizations:DescribeAccount

  • organizations:DisableAWSServiceAccess

  • organizations:ListAccounts

  • organizations:ListDelegatedAdministrators

  • organizations:ListParents

Informationen zu den genauen Berechtigungen, die für die einzelnen APIs erforderlich sind, finden Sie unter Aktionen, definiert von AWS Health APIs und Benachrichtigungen in der IAM-Benutzerhandbuch.

Anmerkung

Sie müssen die Anmeldeinformationen des Verwaltungskontos einer Organisation verwenden, um auf das zuzugreifen AWS Health APIs für AWS Organizations. Weitere Informationen finden Sie unter Aggregieren AWS Health Ereignisse über Konten hinweg.

Erlauben Sie den Zugriff auf AWS Health Organisationsansicht

Diese Grundsatzerklärung gewährt Zugriff auf alle AWS Health und AWS Organizations Aktionen, die Sie für die Funktion zur Organisationsansicht benötigen.

Beispiel: Erlauben AWS Health Zugriff auf organisatorische Ansicht
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",  
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}

Zugriff verweigern auf AWS Health Organisationsansicht

Diese Grundsatzerklärung verweigert den Zugriff auf AWS Organizations Aktionen, ermöglicht aber den Zugriff auf AWS Health Aktionen für ein einzelnes Konto.

Beispiel: Ablehnen AWS Health Zugriff auf organisatorische Ansicht
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "health:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}
Anmerkung

Wenn der Benutzer oder die Gruppe, der Sie Berechtigungen erteilen möchten, bereits über eine IAM-Richtlinie verfügt, können Sie die hinzufügen AWS Health-spezifische Richtlinienerklärung zu dieser Richtlinie.

Ressourcen- und aktionsbasierte Bedingungen

AWS Health unterstützt IAM-Bedingungen für die DescribeAffectedEntities und DescribeEventDetails API-Operationen. Sie können ressourcen- und aktionsbasierte Bedingungen verwenden, um Ereignisse einzuschränken, die AWS Health Die API sendet an einen Benutzer, eine Gruppe oder eine Rolle.

Aktualisieren Sie dazu das Condition blockieren Sie die IAM-Richtlinie oder legen Sie das fest Resource Element. Du kannst verwenden Zeichenkettenbedingungen um den Zugriff auf bestimmte Kriterien zu beschränken AWS Health Felder für Ereignisse.

Sie können die folgenden Felder verwenden, wenn Sie eine angeben AWS Health Ereignis in Ihrer Police:

  • eventTypeCode

  • service

Hinweise
Beispiel: Action-based Bedingung

Diese Grundsatzerklärung gewährt Zugriff auf AWS Health Dashboard und AWS Health Describe* API-Operationen, verweigert jedoch den Zugriff auf alle AWS Health Ereignisse, die sich auf Amazon EC2 beziehen.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "health:service": "EC2"
                }
            }
        }
    ]
}
Beispiel: Resource-based Bedingung

Die folgende Richtlinie hat den gleichen Effekt, verwendet aber stattdessen das Element Resource.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  },
  {
    "Effect": "Deny",
    "Action": [
      "health:DescribeEventDetails",
      "health:DescribeAffectedEntities"
    ],
    "Resource": "arn:aws:health:*::event/EC2/*/*"
  }]
}
Beispiel: EreignisTypeCode Bedingung

Diese Grundsatzerklärung gewährt Zugriff auf AWS Health Dashboard und AWS Health Describe* API-Operationen, verweigert jedoch den Zugriff auf alle AWS Health Ereignisse mit dem eventTypeCode das passt AWS_EC2_*.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "health:eventTypeCode": "AWS_EC2_*"
                }
            }
        }
    ]
}
Wichtig

Wenn du den anrufst DescribeAffectedEntities und DescribeEventDetails Operationen und haben keine Erlaubnis, auf das zuzugreifen AWS Health Ereignis, das AccessDeniedException ein Fehler wird angezeigt. Weitere Informationen finden Sie unter Fehlerbehebung AWS Health Identität und Zugriff.