View a markdown version of this page

Multi-factor Authentifizierung (MFA) im Toolkit für Visual Studio - AWS Toolkit mit Amazon Q
Schritt 1: Erstellen einer IAM-Rolle, um den Zugriff an IAM-Benutzer zu delegierenSchritt 2: Einen IAM-Benutzer erstellen, der die Berechtigungen der Rolle übernimmtSchritt 3: Hinzufügen einer Richtlinie, die es dem IAM-Benutzer ermöglicht, die Rolle zu übernehmenSchritt 4: Verwaltung eines virtuellen MFA-Geräts für den IAM-BenutzerSchritt 5: Profile erstellen, um MFA zuzulassen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Multi-factor Authentifizierung (MFA) im Toolkit für Visual Studio

Multi-factor Die Authentifizierung (MFA) bietet zusätzliche Sicherheit für Ihre Konten. AWS Bei MFA müssen Benutzer beim Zugriff AWS auf Websites oder Dienste Anmeldeinformationen und eine eindeutige Authentifizierung über einen AWS unterstützten MFA-Mechanismus angeben.

AWS unterstützt eine Reihe von virtuellen Geräten und Hardwaregeräten für die MFA-Authentifizierung. Das Folgende ist ein Beispiel für ein virtuelles MFA-Gerät, das über eine Smartphone-Anwendung aktiviert wird. Weitere Informationen zu MFA-Geräteoptionen finden Sie im AWS IAM-Benutzerhandbuch unter Verwenden der Multifaktor-Authentifizierung (MFA).

Schritt 1: Erstellen einer IAM-Rolle, um den Zugriff an IAM-Benutzer zu delegieren

Das folgende Verfahren beschreibt, wie Sie die Rollendelegation für die Zuweisung von Berechtigungen an einen IAM-Benutzer einrichten. Ausführliche Informationen zur Rollendelegierung finden Sie im Thema Erstellen einer Rolle zum Delegieren von Berechtigungen an einen IAM-Benutzer im Benutzerhandbuch. AWS Identity and Access Management

  1. Gehen Sie zur IAM-Konsole unter. https://console.aws.amazon.com/iam

  2. Wählen Sie in der Navigationsleiste Rollen und dann Rolle erstellen aus.

  3. Wählen Sie auf der Seite „Rolle erstellen“ die Option „Anderes AWS Konto“ aus.

  4. Geben Sie Ihre erforderliche Konto-ID ein und markieren Sie das Kontrollkästchen MFA erforderlich.

    Anmerkung

    Um Ihre 12-stellige Kontonummer (ID) zu finden, gehen Sie zur Navigationsleiste in der Konsole und wählen Sie dann Support, Support Center.

  5. Wählen Sie Weiter: Berechtigungen aus.

  6. Hängen Sie Ihrer Rolle vorhandene Richtlinien an oder erstellen Sie eine neue Richtlinie für sie. Die Richtlinien, die Sie auf dieser Seite auswählen, bestimmen, auf welche AWS Dienste der IAM-Benutzer mit dem Toolkit zugreifen kann.

  7. Nachdem Sie Richtlinien angehängt haben, wählen Sie Weiter: Tags, um Ihrer Rolle IAM-Tags hinzuzufügen. Wählen Sie dann Weiter: Überprüfen, um fortzufahren.

  8. Geben Sie auf der Seite „Überprüfen“ einen erforderlichen Rollennamen ein (z. B. toolkit-role). Sie können auch eine optionale Rollenbeschreibung hinzufügen.

  9. Wählen Sie Rolle erstellen aus.

  10. Wenn die Bestätigungsmeldung angezeigt wird (z. B. „Die Rollen-Toolkit-Rolle wurde erstellt“), wählen Sie den Namen der Rolle in der Nachricht aus.

  11. Wählen Sie auf der Übersichtsseite das Kopiersymbol, um den Rollen-ARN zu kopieren und in eine Datei einzufügen. (Sie benötigen diesen ARN, wenn Sie den IAM-Benutzer so konfigurieren, dass er die Rolle übernimmt.).

Schritt 2: Einen IAM-Benutzer erstellen, der die Berechtigungen der Rolle übernimmt

In diesem Schritt wird ein IAM-Benutzer ohne Berechtigungen erstellt, sodass eine Inline-Richtlinie hinzugefügt werden kann.

  1. Gehen Sie zur IAM-Konsole unter. https://console.aws.amazon.com/iam

  2. Wählen Sie in der Navigationsleiste Benutzer und dann Benutzer hinzufügen aus.

  3. Geben Sie auf der Seite „Benutzer hinzufügen“ einen erforderlichen Benutzernamen ein (z. B. toolkit-user) und markieren Sie das Kontrollkästchen Programmgesteuerter Zugriff.

  4. Wählen Sie Weiter: Berechtigungen, Weiter: Schlagworte und Weiter: Überprüfen, um die nächsten Seiten durchzugehen. Sie fügen zu diesem Zeitpunkt keine Berechtigungen hinzu, da der Benutzer die Berechtigungen der Rolle übernehmen wird.

  5. Auf der Seite „Überprüfen“ werden Sie darüber informiert, dass dieser Benutzer keine Berechtigungen hat. Wählen Sie Create user (Benutzer erstellen) aus.

  6. Wählen Sie auf der Seite „Erfolg“ die Option „.csv herunterladen“ aus, um die Datei mit der Zugriffsschlüssel-ID und dem geheimen Zugriffsschlüssel herunterzuladen. (Sie benötigen beide, wenn Sie das Benutzerprofil in der Datei mit den Anmeldeinformationen definieren.)

  7. Klicken Sie auf Schließen.

Schritt 3: Hinzufügen einer Richtlinie, die es dem IAM-Benutzer ermöglicht, die Rolle zu übernehmen

Mit dem folgenden Verfahren wird eine Inline-Richtlinie erstellt, die es dem Benutzer ermöglicht, die Rolle (und die Berechtigungen dieser Rolle) zu übernehmen.

  1. Wählen Sie auf der Seite „Benutzer“ der IAM-Konsole den IAM-Benutzer aus, den Sie gerade erstellt haben (z. B. toolkit-user).

  2. Wählen Sie auf der Seite „Zusammenfassung“ auf der Registerkarte „Berechtigungen“ die Option Inline-Richtlinie hinzufügen aus.

  3. Wählen Sie auf der Seite „Richtlinie erstellen“ die Option „Dienst auswählen“ aus, geben Sie STS in „Service suchen“ ein und wählen Sie dann STS aus den Ergebnissen aus.

  4. Beginnen Sie bei Aktionen mit der Eingabe des Begriffs AssumeRole. Markieren AssumeRole Sie das Kontrollkästchen, wenn es angezeigt wird.

  5. Vergewissern Sie sich, dass im Abschnitt Ressource die Option Spezifisch ausgewählt ist, und klicken Sie auf ARN hinzufügen, um den Zugriff einzuschränken.

  6. Fügen Sie im Dialogfeld ARN (s) hinzufügen für die Rolle ARN für Rolle angeben den ARN der Rolle hinzu, die Sie in Schritt 1 erstellt haben.

    Nachdem Sie den ARN der Rolle hinzugefügt haben, werden das vertrauenswürdige Konto und der Rollenname, die dieser Rolle zugeordnet sind, unter Konto - und Rollenname mit Pfad angezeigt.

  7. Wählen Sie Hinzufügen aus.

  8. Klicken Sie auf der Seite „Richtlinie erstellen“ auf „Anforderungsbedingungen angeben“ (optional), markieren Sie das Kontrollkästchen „MFA erforderlich“ und klicken Sie dann zur Bestätigung auf „Schließen“.

  9. Wählen Sie Review policy (Richtlinie überprüfen) aus.

  10. Geben Sie auf der Seite „Richtlinie überprüfen“ einen Namen für die Richtlinie ein und wählen Sie dann „Richtlinie erstellen“ aus.

    Auf der Registerkarte „Berechtigungen“ wird die neue Inline-Richtlinie angezeigt, die direkt dem IAM-Benutzer zugeordnet ist.

Schritt 4: Verwaltung eines virtuellen MFA-Geräts für den IAM-Benutzer

  1. Laden Sie eine virtuelle MFA-Anwendung herunter und installieren Sie sie auf Ihrem Smartphone.

    Eine Liste der unterstützten Anwendungen finden Sie auf der Ressourcenseite Multi-factor zur Authentifizierung.

  2. Wählen Sie in der IAM-Konsole in der Navigationsleiste Benutzer aus und wählen Sie dann den Benutzer aus, der eine Rolle übernimmt (in diesem Fall toolkit-user).

  3. Wählen Sie auf der Seite „Zusammenfassung“ die Registerkarte „Sicherheitsanmeldeinformationen“ und wählen Sie für „Zugewiesenes MFA-Gerät“ die Option „Verwalten“.

  4. Wählen Sie im Bereich MFA-Gerät verwalten die Option Virtuelles MFA-Gerät und dann Weiter aus.

  5. Wählen Sie im Bereich Virtuelles MFA-Gerät einrichten die Option QR-Code anzeigen aus und scannen Sie dann den Code mit der virtuellen MFA-Anwendung, die Sie auf Ihrem Smartphone installiert haben.

  6. Nachdem Sie den QR-Code gescannt haben, generiert die virtuelle MFA-Anwendung einmalige MFA-Codes. Geben Sie zwei aufeinanderfolgende MFA-Codes in MFA-Code 1 und MFA-Code 2 ein.

  7. Klicken Sie auf Assign MFA (MFA zuordnen).

  8. Kopieren Sie den ARN des neuen zugewiesenen MFA-Geräts wieder auf der Registerkarte „Sicherheitsanmeldeinformationen“ für den Benutzer.

    Der ARN enthält Ihre 12-stellige Konto-ID und das Format ähnelt dem folgenden:. arn:aws:iam::123456789012:mfa/toolkit-user Sie benötigen diesen ARN, wenn Sie im nächsten Schritt das MFA-Profil definieren.

Schritt 5: Profile erstellen, um MFA zuzulassen

Mit dem folgenden Verfahren werden die Profile erstellt, die MFA beim Zugriff auf AWS Dienste aus dem Toolkit für Visual Studio zulassen.

Die Profile, die Sie erstellen, enthalten drei Informationen, die Sie in den vorherigen Schritten kopiert und gespeichert haben:

  • Zugriffsschlüssel (Zugriffsschlüssel-ID und geheimer Zugriffsschlüssel) für den IAM-Benutzer

  • ARN der Rolle, die Berechtigungen an den IAM-Benutzer delegiert

  • ARN des virtuellen MFA-Geräts, das dem IAM-Benutzer zugewiesen ist

Fügen Sie in der Datei AWS mit den gemeinsam genutzten Anmeldeinformationen oder dem SDK Store, die Ihre AWS Anmeldeinformationen enthalten, die folgenden Einträge hinzu:

[toolkit-user]
aws_access_key_id = AKIAIOSFODNN7EXAMPLE
aws_secret_access_key = wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

[mfa]
source_profile = toolkit-user
role_arn = arn:aws:iam::111111111111:role/toolkit-role
mfa_serial = arn:aws:iam::111111111111:mfa/toolkit-user

In dem bereitgestellten Beispiel sind zwei Profile definiert:

  • [toolkit-user]Das Profil enthält den Zugriffsschlüssel und den geheimen Zugriffsschlüssel, die generiert und gespeichert wurden, als Sie den IAM-Benutzer in Schritt 2 erstellt haben.

  • [mfa]Das Profil definiert, wie die Multifaktor-Authentifizierung unterstützt wird. Es gibt drei Einträge:

    ◦source_profile: Gibt das Profil an, dessen Anmeldeinformationen verwendet werden, um die durch diese role_arn Einstellung in diesem Profil angegebene Rolle zu übernehmen. In diesem Fall ist es das toolkit-user Profil.

    ◦role_arn: Gibt den Amazon-Ressourcennamen (ARN) der IAM-Rolle an, die Sie zur Ausführung von Vorgängen verwenden möchten, die mit diesem Profil angefordert wurden. In diesem Fall ist es der ARN für die Rolle, die Sie in Schritt 1 erstellt haben.

    ◦mfa_serial: Gibt die Identifikations- oder Seriennummer des MFA-Geräts an, das der Benutzer verwenden muss, wenn er eine Rolle übernimmt. In diesem Fall ist es der ARN des virtuellen Geräts, das Sie in Schritt 3 eingerichtet haben.