In diesem Leitfaden wird der Prozess zum Erstellen einer Dienstkontrollrichtlinie mithilfe der folgenden Methoden erläutert:
Voraussetzung: Aktivieren Sie die Service Control Policy
Um eine Service-Kontrollrichtlinie in AWS zu erstellen, muss diese über das AWS Organizations-Dashboard aktiviert werden:
Klicken Sie im Dashboard „Organisationen“ auf „ Richtlinien Klicken Sie auf die Schaltfläche im linken Bereich, um zu der entsprechenden Seite zu gelangen:
Klick auf das ' Richtlinien zur Dienstkontrolle ”-Taste aus dem „ Unterstützte Richtlinientypen ' Abschnitt:
Klick auf das ' Aktivieren Sie Dienstkontrollrichtlinien Klicken Sie auf die Schaltfläche „Dienstkontrollrichtlinien“, um die Dienste zu aktivieren:
Methode 1: Verwenden der AWS-Managementkonsole
Sobald die Dienstkontrollrichtlinien aktiviert sind, klicken Sie einfach auf „ Richtlinie erstellen ' Taste:
Beginnen Sie nun mit der Konfiguration der Dienstkontrollrichtlinie, indem Sie ihren Namen eingeben:
Das Hinzufügen von Tags ist ein optionaler Vorgang, sodass der Benutzer Tags zur Identifizierung des SCP hinzufügen kann und eine leere Werteregisterkarte eine Nullzeichenfolge für den Schlüssel generiert:
Scrollen Sie nach unten, um den Abschnitt „Richtlinie“ zu finden, und geben Sie den Namen des Dienstes ein, um eine Richtlinienanweisung im JSON-Format hinzuzufügen:
Nachdem Sie den AWS-Dienst ausgewählt haben, wählen Sie einfach die Aktionen aus, um die Richtlinie zuzulassen oder abzulehnen:
Der Benutzer kann eine Ressource oder eine Bedingung hinzufügen, die der Richtlinie hinzugefügt werden soll, indem er einfach auf „ Hinzufügen ' Taste:
Um eine Ressource mit der Richtlinienerklärung hinzuzufügen, wählen Sie einfach den Dienst und den Ressourcentyp aus, bevor Sie auf „ Ressource hinzufügen ' Taste:
Überprüfen Sie nach der gesamten Konfiguration einfach die Richtlinie und klicken Sie auf „ Richtlinie erstellen ' Taste:
Die Richtlinie wurde erfolgreich erstellt. Klicken Sie einfach auf ihren Namen, um zur Detailseite zu gelangen:
Die Richtliniendetails sind auf dieser Seite verfügbar und der Benutzer kann die Richtlinie jederzeit bearbeiten oder auch eine neue erstellen:
Methode 2: Verwenden von AWS CLI
Um eine Service-Kontrollrichtlinie mit AWS CLI zu erstellen, ist es erforderlich, eine Anweisung für die Richtlinie im JSON-Format zu erstellen. Ein Beispiel für die Richtlinienanweisung zum Verweigern aller IAM-Aktionen im JSON-Format ist unten aufgeführt:
{'Ausführung' : „17.10.2012“ ,
'Stellungnahme' : [
{
„Sid“ : „DenyAccessToASpecificRole“ ,
'Wirkung' : 'Leugnen' ,
'Aktion' : [
„jam:AttachRolePolicy“ ,
„jam:DeleteRole“ ,
„iam:DeleteRolePermissionsBoundary“ ,
„iam:DeleteRolePolicy“ ,
„iam:DetachRolePolicy“ ,
„iam:PutRolePermissionsBoundary“ ,
„jam:PutRolePolicy“ ,
„iam:UpdateAssumeRolePolicy“ ,
„iam:UpdateRole“ ,
„iam:UpdateRoleDescription“
] ,
'Ressource' : [
„arn:aws:iam::*:role/name-of-role-to-deny“
]
}
]
}
Verwenden Sie anschließend den folgenden AWS CLI-Befehl, um mithilfe einer im lokalen Verzeichnis gespeicherten JSON-Datei eine Richtlinie im AWS Organizations-Dienst zu erstellen. Dieser Befehl enthält den Namen, die Beschreibung und den Typ der Dienstkontrollrichtlinie, die der Organisation hinzugefügt werden soll:
AWS-Organisationen erstellen Richtlinien --Inhalt Datei: // Deny-IAM.json --Beschreibung „Alle IAM-Aktionen ablehnen“ --Name DenyIAMSCP --Typ SERVICE_CONTROL_POLICY 
Um die Erstellung der Service-Kontrollrichtlinie zu überprüfen, besuchen Sie einfach das Dashboard und klicken Sie auf den Namen der Richtlinie:
Klicken Sie auf der Seite mit den Richtliniendetails auf „ Inhalt ” und scrollen Sie nach unten, um den Inhalt der Richtlinie zu überprüfen:
Der folgende Screenshot zeigt den Inhalt der Richtlinie und der Benutzer kann die Anweisung bearbeiten:
Dabei geht es um die Erstellung einer Service-Kontrollrichtlinie im AWS Organization-Service.
Abschluss
Um ein „ Dienstkontrollrichtlinie „Im AWS Organizations-Dashboard muss die Richtlinie zuerst aktiviert werden. Danach kann der Benutzer den SCP entweder über die AWS-Managementkonsole oder die AWS-Befehlszeilenschnittstelle erstellen. In diesem Leitfaden wurde der Prozess zum Erstellen einer Service-Kontrollrichtlinie in der AWS-Organisation mit beiden Methoden erläutert.