Der umfassende Leitfaden zu AWS Identity and Access Management (IAM)

Der Dienst Identity and Access Management (IAM) ist das Fundament für alles, was du in AWS tust. Er schützt deine Daten und gibt dir die Kontrolle, wer auf deine AWS-Ressourcen zugreifen darf und was dort möglich ist. 

Ohne IAM könnte jede Person mit Zugang zu deinem AWS-Konto Konfigurationen verändern, Ressourcen löschen oder auf sensible Daten zugreifen – mit potenziell gravierenden Folgen.

Dieser Leitfaden enthält alles, was du wissen musst, um IAM einzurichten und zu nutzen und so deine AWS-Umgebung abzusichern.

Wenn du neu bei AWS bist, empfehlen wir dir unseren Kurs Introduction to AWS, um die Grundlagen kennenzulernen.

Was ist AWS IAM?

IAM steht für Identity and Access Management. Es wurde 2011 eingeführt und ist das Werkzeug, mit dem du steuerst, wer auf deine AWS-Ressourcen zugreifen darf und was dort erlaubt ist.

IAM besteht aus vier wesentlichen Bausteinen:

• Benutzer sind Personen oder Anwendungen, die Zugriff auf deine AWS-Ressourcen benötigen. Jeder Benutzer erhält eigene Anmeldedaten, z. B. Passwörter und Zugriffsschlüssel.
• Gruppen sind Sammlungen von Benutzern. Statt Berechtigungen einzeln zuzuweisen, ordnest du Benutzer Gruppen zu und vergibst Berechtigungen an die Gruppe. Das erleichtert die Verwaltung für mehrere Nutzer auf einmal.
• Rollen sind nicht an eine einzelne Person gebunden, sondern werden bei Bedarf „angenommen“. Eine EC2-Instance kann zum Beispiel eine Rolle „annehmen“, um auf S3-Buckets zuzugreifen, ohne dauerhafte Anmeldedaten zu benötigen. Rollen verwenden temporäre Sicherheitsanmeldedaten, die automatisch ablaufen – ein großer Pluspunkt für die Sicherheit.
• Richtlinien (Policies) sind JSON-Dokumente, die Berechtigungen definieren. Sie legen fest, welche Aktionen auf welchen Ressourcen erlaubt oder verboten sind. Richtlinien können Benutzern, Gruppen oder Rollen zugewiesen werden.

Wenn du neu bei AWS bist, empfehlen wir dir unseren Kurs Introduction to AWS, um dich mit den Grundlagen dieser umfangreichen Plattform vertraut zu machen.

Erste Schritte mit IAM

Falls noch nicht geschehen, erstelle ein AWS-Konto und melde dich an.

Gib in der Suche oben in der AWS-Konsole das Stichwort „iam“ ein und wähle den ersten Treffer für IAM aus.

Suche nach dem IAM-Dienst in der AWS-Konsole

Du landest im IAM-Dashboard, in dem du alle IAM-Komponenten erstellen und verwalten kannst.

IAM-Dashboard

Über das linke Menü des Dashboards erstellst du Benutzer, Rollen und Richtlinien und findest außerdem Berichte sowie Tools für Verwaltung und Monitoring.

Sicherheitsempfehlungen findest du in der Regel im mittleren Bereich des IAM-Dashboards. AWS bietet ausführliche Best Practices und macht Korrekturen bei Bedarf leicht.

AWS IAM-Richtlinien (Policies)

Schauen wir uns jetzt eines der wichtigsten Konzepte in IAM an: Richtlinien.

Was sind IAM-Richtlinien?

Richtlinien legen fest, wer welche Berechtigungen für den Zugriff auf deine AWS-Ressourcen erhält.

Überblick über IAM-Richtlinien

Richtlinien sind im JSON-Format verfasst und bestehen aus einigen Schlüsselelementen.

Hier als Beispiel das JSON-Dokument für die von AWS verwaltete Richtlinie „AmazonS3FullAccess“:

​​{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

• Das Element Version gibt die Sprachversion der Richtlinie an.
• Das Statement enthält den „Kern“ der Richtlinie. Eine Richtlinie kann mehrere Statements haben. Jedes Statement umfasst einige Pflichtfelder:
• Effect: Legt fest, ob Zugriff erlaubt oder verweigert wird. Mögliche Werte sind "Allow" oder "Deny".
• Action: Definiert, welche Aktionen erlaubt oder untersagt sind. Aktionen entsprechen in der Regel den Operationen auf einer Ressource. AWS definiert für jeden Dienst eigene Aktionen, die korrekt angegeben werden müssen.
• Resource: Gibt die AWS-Ressourcen an, für die die Aktionen gelten. Ressourcen werden über Amazon Resource Names (ARNs) eindeutig identifiziert.

Richtlinientypen: Verwaltete vs. Inline-Richtlinien

Schauen wir uns als Nächstes die Richtlinientypen an. Verwaltete Richtlinien können entweder von AWS verwaltet oder vom Kunden verwaltet sein. 

AWS-verwaltete Richtlinien werden von AWS erstellt und gepflegt und eignen sich als Ausgangspunkt für häufige Berechtigungssets. Kundenverwaltete Richtlinien erstellst und verwaltest du selbst – das bietet maximale Flexibilität für maßgeschneiderte JSON-Dokumente.

Inline-Richtlinien hingegen werden direkt einer einzelnen Entität zugewiesen – einem Benutzer, einer Gruppe oder einer Rolle. Sie sind hilfreich für spezifische, eng begrenzte Berechtigungen, die nicht wiederverwendet werden sollen. Mit zunehmender Anzahl wird das Management jedoch unübersichtlich, daher sind verwaltete Richtlinien in der Regel die bessere Wahl.

Richtlinien für Benutzer, Gruppen und Rollen erstellen und zuweisen

Das Erstellen und Zuweisen von Richtlinien an Benutzer, Gruppen und Rollen in AWS ist recht unkompliziert. Hier ist eine Schritt-für-Schritt-Anleitung:

1. Richtlinie erstellen

Klicke im linken Menü der IAM-Konsole auf „Policies“ und dann auf „Create Policy“.

Du kannst die Richtlinie im visuellen Editor oder im JSON-Tab definieren. Der visuelle Editor ist einfacher, wenn du mit JSON nicht vertraut bist. Um z. B. eine Richtlinie mit Lesezugriff auf S3 zu erstellen, wähle den „S3 service“ und anschließend die „read-only“-Aktionen.

Wenn du mehr über S3 lernen willst, sieh dir unser AWS-Storage-Tutorial an.

Neue Richtlinie erstellen

Klicke nach der Definition auf „Review policy“. Vergib dann einen Namen und eine Beschreibung und klicke auf „Create policy“. Deine benutzerdefinierte Richtlinie ist nun erstellt.

Beachte: Es gibt über tausend von AWS verwaltete Richtlinien, die die meisten Anwendungsfälle abdecken. Oft musst du also keine eigenen Richtlinien erstellen.

Liste AWS-verwalteter Richtlinien

2. Richtlinien Benutzern zuweisen

Um eine Richtlinie einem Benutzer zuzuweisen, gehe in der IAM-Konsole zu „Users“ und wähle den gewünschten Benutzer aus. 

Wechsle zum Tab „Permissions“ und klicke auf „Add permissions“.

Wähle „Attach policies directly“, suche die erstellte (oder eine vorhandene) Richtlinie und wähle sie aus.

Richtlinie einem Benutzer zuweisen

Klicke auf „Next“, überprüfe die Berechtigungen und dann auf „Add permissions“.

3. Richtlinien Gruppen zuweisen

Um eine Richtlinie einer Gruppe zuzuweisen, gehe in der IAM-Konsole zu „User groups“ und wähle die gewünschte Gruppe aus oder klicke auf „Create new group“.

Klicke auf den Tab „Permissions“ und dann auf „Add permissions“.

Wähle – wie bei Benutzern – „Attach policies directly“ und suche die erstellte (oder eine vorhandene) Richtlinie aus.

Klicke auf „Next“, prüfe die Berechtigungen und dann auf „Add permissions“.

4. Richtlinien Rollen zuweisen

Gehe in der IAM-Konsole zu „Roles“ und wähle die Rolle aus, der du eine Richtlinie zuweisen möchtest.

Wechsle zum Tab „Permissions“ und klicke auf „Add permissions“. Dieser Schritt weicht leicht von den vorherigen ab: Du siehst die aktuellen Berechtigungsrichtlinien sowie die vollständige Liste weiterer Richtlinien, die du anhängen kannst. 

Richtlinie einer Rolle zuweisen

Wähle die gewünschten Richtlinien aus und klicke auf „Add permissions“. Beachte: Einer Rolle können maximal 10 verwaltete Richtlinien hinzugefügt werden.

AWS IAM-Rollen

IAM-Rollen helfen dir, Berechtigungen für Dienste und Anwendungen zu steuern. 

Im Gegensatz zu IAM-Benutzern, die einer konkreten Person zugeordnet sind, sind Rollen dafür gedacht, bei Bedarf von jeder berechtigten Entität angenommen zu werden – das macht sie extrem flexibel.

Betrachte eine Rolle als Bündel von Berechtigungen, das temporär an Entitäten wie AWS-Dienste (z. B. EC2, Lambda) oder sogar Benutzer aus einem anderen AWS-Konto vergeben werden kann. Das ist sicherer, weil Rollen mit automatisch ablaufenden temporären Anmeldedaten arbeiten.

Sieh dir unser Tutorial zu Step Functions in AWS an. Dort siehst du, wie IAM-Rollen ein zentrales Element bei der Orchestrierung von Workflows sind.

Wie funktionieren IAM-Rollen?

Wenn du eine Rolle erstellst, definierst du zwei Hauptbestandteile: Vertrauensrichtlinien und Berechtigungsrichtlinien:

• Vertrauensrichtlinien legen fest, wer die Rolle annehmen darf. Du kannst z. B. eine Vertrauensrichtlinie erstellen, die einer EC2-Instance oder einer AWS Lambda-Funktion erlaubt, die Rolle anzunehmen. Diese Richtlinie definiert die vertrauenswürdigen Entitäten (z. B. Dienste oder Benutzer), die die Rolle verwenden dürfen.
• Berechtigungsrichtlinien legen fest, welche Aktionen erlaubt oder verweigert werden, wenn die Rolle angenommen wurde. Sie funktionieren wie die Richtlinien, die du IAM-Benutzern zuweist, und definieren, auf welche Ressourcen die Rolle zugreifen darf und welche Aktionen sie ausführen kann.

Damit eine Rolle genutzt werden kann, muss sie angenommen werden. Wenn eine EC2-Instance oder Lambda-Funktion eine Rolle annimmt, erhält sie temporäre Sicherheitsanmeldedaten, mit denen sie Anfragen an AWS-Dienste stellen kann.

Ein einfaches Beispiel: Eine Anwendung auf einer EC2-Instance muss aus einem S3-Bucket lesen. Statt Zugriffsschlüssel auf der Instance zu speichern, erstellst du eine IAM-Rolle mit einer Richtlinie für S3-Lesezugriff und verknüpfst die Rolle mit der EC2-Instance. Beim Start nimmt die Instance die Rolle an und bekommt temporäre Anmeldedaten, um auf den S3-Bucket zuzugreifen.

Temporäre Anmeldedaten werden über den AWS Security Token Service (STS) bereitgestellt. Diese bestehen aus Access Key ID, Secret Access Key und Session Token und sind nur kurz – meist wenige Stunden – gültig.

Mit Rollen lässt sich Berechtigungspflege zudem zentralisieren: Änderst du die Richtlinien einer Rolle, gilt das automatisch für alle Entitäten, die diese Rolle annehmen.

So erstellst du eine IAM-Rolle

Klicke im linken Menü der IAM-Konsole auf „Roles“ und dann auf „Create Role“. Folge anschließend diesen Schritten:

1. Vertrauenswürdige Entität auswählen

Lege fest, wer oder was die Rolle nutzt. Optionen sind u. a. AWS-Dienste (z. B. EC2, Lambda), ein anderes AWS-Konto oder Web-Identität. Nehmen wir an, wir erstellen eine Rolle mit Vollzugriff auf S3.

Wähle „S3“ als Dienst und „S3“ als Use Case. Klicke auf „Next“.

Vertrauenswürdige Entität auswählen

2. Richtlinien anhängen

Füge der Rolle Berechtigungen hinzu. Du kannst bestehende Richtlinien wählen oder neue erstellen.

Für diese Rolle wählen wir die Richtlinie „AmazonS3FullAccess“ aus und klicken auf „Next“.

Berechtigungen zu einer IAM-Rolle hinzufügen

3. Benennen, prüfen und erstellen

Gib der Rolle einen aussagekräftigen Namen wie „FullS3Access“.

Rolle benennen, prüfen und erstellen

Prüfe die Details der Rolle: vertrauenswürdige Entität, angehängte Richtlinien und ggf. Tags.

Tags sind optional, helfen aber bei Organisation und Verwaltung. Du kannst z. B. einen Tag mit dem Schlüssel "Environment" und dem Wert "Production" setzen.

Klicke auf „Create role“.

IAM-Rollen verwalten

Wenn viele Rollen im Einsatz sind, kann es schnell unübersichtlich werden. So behältst du den Überblick:

• Vergib aussagekräftige Rollennamen. So erkennst du den Zweck auf einen Blick. Statt „Role1“ also z. B. „EC2_S3_ReadOnly“ für Lesezugriff von EC2 auf S3.
• Ähnliche Rollen gruppieren. Nutze Tags zur Organisation nach Abteilung, Projekt oder Umgebung, z. B. „Environment: Production“ oder „Department: Finance“.
• Rollen regelmäßig überprüfen. Prüfe in Intervallen, ob Rollen noch benötigt werden, und entferne obsoletes. Das reduziert Komplexität und Sicherheitsrisiken.
• AWS IAM Access Analyzer nutzen. Dieses Tool identifiziert zu weit gefasste Berechtigungen und mögliche Risiken. Es liefert Einblicke, um Berechtigungen zu verfeinern.

Use Case: Kontenübergreifender Zugriff

Kontenübergreifender Zugriff mit IAM-Rollen erlaubt es, Nutzern oder Ressourcen in einem AWS-Konto Zugriff auf Ressourcen in einem anderen Konto zu geben.

Stell dir zwei AWS-Konten vor: „Konto A“ ist Produktion, „Konto B“ Entwicklung. Anwendungen oder Nutzer in „Konto B“ sollen auf Ressourcen in „Konto A“ zugreifen, ohne dass du in „Konto A“ für alle eigene IAM-Benutzer anlegst.

Dafür erstellst du in „Konto A“ eine Rolle mit den benötigten Berechtigungen und erlaubst Entitäten aus „Konto B“, diese Rolle anzunehmen.

So gehst du dabei vor:

• Erstelle in „Konto A“ eine Rolle: Öffne die IAM-Konsole in „Konto A“ und klicke auf „Roles“.
• Klicke auf „Create role“ und wähle „AWS account“ als vertrauenswürdige Entität. Gib die Konto-ID von „Konto B“ ein. Dadurch entsteht eine Vertrauensbeziehung, die den Rollenwechsel aus „Konto B“ erlaubt.

IAM: Kontenübergreifender Zugriff

• Hänge der Rolle die erforderlichen Berechtigungsrichtlinien an. Für S3-Lesezugriff z. B. „AmazonS3ReadOnlyAccess“.
• Erstelle in „Konto B“ eine IAM-Richtlinie, die das Annehmen der Rolle in „Konto A“ erlaubt. Sie sieht etwa so aus:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::AccountA_ID:role/RoleName"
    }
  ]
}

• Ersetze AccountA_ID durch die tatsächliche AWS-Konto-ID von „Konto A“ und RoleName durch den von dir vergebenen Rollennamen.
• Hänge diese Richtlinie an die Benutzer oder Gruppen in „Konto B“, die Zugriff benötigen.

Nutzer oder Anwendungen in „Konto B“ können nun die Rolle in „Konto A“ annehmen und so auf die Ressourcen zugreifen – per AWS CLI, SDKs oder Konsole.

Best Practices für AWS IAM

Best Practices sind entscheidend, um deine AWS-Umgebung sicher zu halten. Darauf solltest du achten:

Multi-Factor Authentication (MFA) aktivieren

MFA ergänzt eine zusätzliche Sicherheitsebene. Selbst wenn jemand dein Passwort kennt, ist ohne zweiten Faktor kein Login möglich. Aktiviere MFA für das Root-Konto und alle wichtigen Benutzer.

Nach Möglichkeit IAM-Rollen statt IAM-Benutzern nutzen

Rollen verwenden automatisch rotierende, temporäre Anmeldedaten und reduzieren so das Risiko langfristig kompromittierter Schlüssel. Verwende z. B. Rollen statt fest eincodierter Zugriffsschlüssel für Anwendungen auf EC2-Instances.

Least-Privilege-Prinzip befolgen

Vergib nur die Berechtigungen, die wirklich nötig sind. Das senkt das Risiko unbeabsichtigter oder böswilliger Aktionen. Prüfe und aktualisiere Berechtigungen regelmäßig.

Zugriffsschlüssel regelmäßig rotieren

Wenn du Zugriffsschlüssel nutzen musst, rotiere sie regelmäßig. AWS erlaubt zwei aktive Schlüssel pro Benutzer – so kannst du einen neuen Schlüssel erstellen, Anwendungen umstellen und den alten ohne Downtime deaktivieren.

Berechtigungen über IAM-Gruppen verwalten

Statt Berechtigungen einzeln zu vergeben, erstelle Gruppen und hänge Richtlinien an die Gruppen. Das skaliert deutlich besser, wenn die Anzahl der Nutzer wächst.

IAM-Aktivitäten überwachen und auditieren

Aktiviere AWS CloudTrail, um alle API-Aufrufe – auch die von IAM-Benutzern – zu protokollieren. Prüfe die Logs regelmäßig, um Unregelmäßigkeiten oder unautorisierte Aktivitäten zu erkennen. Das unterstützt Sicherheit und Compliance.

Starke Passwortrichtlinien durchsetzen

Setze Richtlinien für starke Passwörter durch: Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Erzwinge zudem regelmäßige Änderungen und verhindere die Wiederverwendung alter Passwörter.

Root-Konto nur eingeschränkt verwenden

Das Root-Konto hat uneingeschränkten Zugriff auf alle Ressourcen. Nutze es nur im Ausnahmefall und arbeite im Alltag mit individuellen IAM-Benutzern. Aktiviere immer MFA für das Root-Konto.

Erweiterte AWS IAM-Funktionen

Wenn du AWS IAM in einem Unternehmenskontext nutzt, solltest du zwei erweiterte Funktionen kennen.

Identitätsföderation (Identity Federation)

Mit Identitätsföderation nutzt du bestehende Identitäten aus anderen Identity Providern (z. B. Firmenverzeichnis oder soziale Identitäten) für den Zugriff auf AWS. Anstatt für alle separate IAM-Benutzer anzulegen, melden sich Nutzer mit ihren bekannten Zugangsdaten an.

Dafür musst du eine Vertrauensbeziehung zwischen AWS und dem Identity Provider einrichten. 

Bei Zugriffsversuchen authentifizieren sich Nutzer zunächst beim Identity Provider. Bei Erfolg erhalten sie temporäre Sicherheitsanmeldedaten für den Zugriff auf AWS-Ressourcen. 

Diese Anmeldedaten verwaltet der AWS Security Token Service (STS). Sie sind nur kurz gültig und reduzieren so das Risiko kompromittierter Langzeit-Credentials.

IAM Identity Center

Das IAM Identity Center – auch als AWS Single Sign-On (SSO) bekannt – ist die zentrale Steuerung, wer worauf in deiner AWS-Landschaft zugreifen darf, ohne mehrere Benutzernamen und Passwörter zu verwalten.

Du kannst bestehende Identitätsquellen wie Microsoft Active Directory oder andere SAML-2.0-kompatible Provider anbinden. Nutzer melden sich mit ihren Unternehmens-Logins bei AWS an.

Nach der Einrichtung sehen Nutzer in einem persönlichen Portal alle AWS-Konten und Anwendungen, für die sie Berechtigungen haben. Einmal anmelden genügt, danach können sie zwischen Konten und Apps wechseln, ohne sich erneut einzuloggen. 

Du richtest das IAM Identity Center ein, indem du es in der AWS Management Console aktivierst, mit deiner Identitätsquelle verbindest und den Zugriff konfigurierst. AWS stellt Schritt-für-Schritt-Anleitungen bereit – ideal auch, wenn du neu bei IAM oder SSO bist.

Fazit

IAM zu beherrschen ist entscheidend – es ist das Fundament für alle Aktivitäten in AWS. Du steuerst damit Zugriffe auf Ressourcen, schützt deine Daten und verringerst die Angriffsfläche für Hacker.

Wenn du noch tiefer in AWS einsteigen willst, starte mit unserem Kurs AWS Cloud Technology and Services. Danach kannst du deine Karriere vorantreiben, indem du AWS-Zertifizierungen erwirbst!

Sieh dir außerdem unser Webinar an: eine Einführung in Data Science in der Cloud mit Python, AWS und boto3.