Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

So arbeitet Connect Customer mit IAM

Bevor Sie IAM verwenden, um den Zugriff auf Connect Customer zu verwalten, sollten Sie sich darüber im Klaren sein, welche IAM-Funktionen für Connect Customer verfügbar sind. Einen allgemeinen Überblick darüber, wie Connect Customer und andere AWS Dienste mit IAM funktionieren, finden Sie im IAM-Benutzerhandbuch unter AWS Dienste, die mit IAM funktionieren.

Connect-Richtlinien, die auf der Kundenidentität basieren

Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Connect Customer unterstützt bestimmte Aktionen, Ressourcen und Bedingungsschlüssel. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der IAM-Referenz für JSON-Richtlinienelemente im IAM-Benutzerhandbuch.

Aktionen

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Element Action einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu gewähren.

Bei Richtlinienaktionen in Connect Customer wird vor der Aktion das folgende Präfix verwendet:connect:. Richtlinienanweisungen müssen entweder ein – Actionoder ein NotAction-Element enthalten. Connect Customer definiert seine eigenen Aktionen, die Aufgaben beschreiben, die Sie mit diesem Dienst ausführen können.

Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie wie folgt durch Kommata:

"Action": [
      "connect:action1",
      "connect:action2"

Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort Describe beginnen, einschließlich der folgenden Aktion:

"Action": "connect:Describe*"

Um eine Liste der Aktionen, Aktionen, Ressourcen und Bedingungsschlüssel für Connect Customer anzuzeigen.

Ressourcen

Connect Customer unterstützt Berechtigungen auf Ressourcenebene (Angabe eines Ressourcen-ARN in einer IAM-Richtlinie). Im Folgenden finden Sie eine Liste der Ressourcen von Connect Customer:

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das JSON-Richtlinienelement Resource gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen Amazon-Ressourcennamen (ARN) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (*), um anzugeben, dass die Anweisung für alle Ressourcen gilt.

"Resource": "*"

Die Connect-Customer-Instanzressource hat den folgenden ARN:

arn:${Partition}:connect:${Region}:${Account}:instance/${InstanceId}

Weitere Informationen zum Format von ARNs finden Sie unter Amazon Resource Names (ARNs) und AWS Service Namespaces.

Wenn Sie beispielsweise die i-1234567890abcdef0-Instance in Ihrer Anweisung angeben möchten, verwenden Sie den folgenden ARN:

"Resource": "arn:aws:connect:us-east-1:123456789012:instance/i-1234567890abcdef0"

Um alle Instances anzugeben, die zu einem bestimmten Konto gehören, verwenden Sie den Platzhalter (*):

"Resource": "arn:aws:connect:us-east-1:123456789012:instance/*"

Einige Connect-Customer-Aktionen, z. B. die zum Erstellen von Ressourcen, können nicht für eine bestimmte Ressource ausgeführt werden. In diesen Fällen müssen Sie den Platzhalter (*) verwenden.

"Resource": "*"

Viele Connect-Customer; API-Aktionen umfassen mehrere Ressourcen. Zum Beispiel

Um mehrere Ressourcen in einer einzigen Anweisung anzugeben, trennen Sie die ARNs durch Kommata voneinander.

"Resource": [
      "resource1",
      "resource2"

Eine Liste der Connect Customer-Ressourcentypen und ihrer ARNs finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Connect Customer. Der gleiche Artikel erklärt, mit welchen Aktionen Sie den ARN der jeweiligen Ressource angeben können.

Bedingungsschlüssel

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Element Condition gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die Bedingungsoperatoren verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Alle AWS globalen Bedingungsschlüssel finden Sie unter AWS Globale Bedingungskontextschlüssel im IAM-Benutzerhandbuch.

Connect Customer definiert seinen eigenen Satz von Bedingungsschlüsseln und unterstützt auch die Verwendung einiger globaler Bedingungsschlüssel. Alle AWS globalen Bedingungsschlüssel finden Sie im IAM-Benutzerhandbuch unter AWS Globale Bedingungskontextschlüssel.

Alle Amazon EC2-Aktionen unterstützen die Bedingungsschlüssel aws:RequestedRegion und ec2:Region. Weitere Informationen finden Sie unter Beispiel: Einschränken des Zugriffs auf eine bestimmte Region.

Eine Liste der Connect Customer-Bedingungsschlüssel finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Connect Customer.

Beispiele

Beispiele für identitätsbasierte Richtlinien von Connect Customer finden Sie unter. Beispiele für auf der Identität von Connect Customer basierende Richtlinien

Autorisierung auf der Grundlage von Connect Customer-Tags

Sie können Tags an die Ressourcen von Connect Customer anhängen oder Stichwörter in einer Anfrage an Connect Customer weitergeben. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer Richtlinie Tag-Informationen an, indem Sie die Schlüssel connect:ResourceTag/key-name, aws:RequestTag/key-name, oder Bedingung aws:TagKeys verwenden.

Ein Beispiel für eine identitätsbasierte Richtlinie zur Einschränkung des Zugriffs auf eine Ressource auf der Grundlage der Markierungen dieser Ressource finden Sie unter Beschreiben Sie Connect Customer-Benutzer anhand von Stichwörtern und aktualisieren Sie sie.

Verbinden Sie die IAM-Rollen des Kunden

Eine IAM-Rolle ist eine Entität in Ihrem AWS Konto, die über bestimmte Berechtigungen verfügt.

Verwenden Sie temporäre Anmeldeinformationen für Connect Customer

Sie können temporäre Anmeldeinformationen verwenden, um sich über einen Verbund anzumelden, eine IAM-Rolle anzunehmen oder eine kontenübergreifende Rolle anzunehmen. Sie erhalten temporäre Sicherheitsanmeldeinformationen, indem Sie AWS STS API-Operationen wie AssumeRole oder aufrufen GetFederationToken.

Connect Customer unterstützt die Verwendung temporärer Anmeldeinformationen.

Service-linked Rollen

Service-linked Rollen ermöglichen es AWS Diensten, auf Ressourcen in anderen Diensten zuzugreifen, um eine Aktion in Ihrem Namen durchzuführen. Service-linked Rollen werden in Ihrem IAM-Konto angezeigt und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für serviceverknüpfte Rollen anzeigen, aber nicht bearbeiten.

Connect Customer unterstützt serviceverknüpfte Rollen. Weitere Informationen zum Erstellen oder Verwalten von serviceverknüpften Rollen mit Connect Customer finden Sie unter. Verwenden Sie serviceverknüpfte Rollen und Rollenberechtigungen für Connect Customer

Auswahl einer IAM-Rolle in Connect Customer

Wenn Sie eine Ressource in Connect Customer erstellen, müssen Sie eine Rolle auswählen, damit Connect Customer in Ihrem Namen auf Amazon EC2 zugreifen kann. Wenn Sie zuvor eine Servicerolle oder eine serviceverknüpfte Rolle erstellt haben, stellt Ihnen Connect Customer eine Liste mit Rollen zur Auswahl zur Verfügung. Es ist wichtig, eine Rolle zu wählen, die Zugriff zum Starten und Stoppen von Amazon-EC2-Instances ermöglicht.