01
Dokumentform erkennen
Statement darf ein Objekt oder eine Liste sein. Das Beispiel einer Rollen-Vertrauensrichtlinie zeigt Principal ohne Resource; bei einer gewöhnlichen Identitätsrichtlinie wird eine fehlende Resource gemeldet.
Cloud-Werkzeuge
IAM-Richtlinien-Validierung
Ein Richtlinien-JSON einfügen und Statement-Baum, Formatierung und statischen Bericht vergleichen.
IAM-Richtlinien-Validierung
Richtlinien-JSON
Statement-Baum und Ausgabe
Statement 1 · ReadReports
- Effekt
- Allow
- Action
- s3:GetObject s3:ListBucket
- Resource
- arn:aws:s3:::example-reports arn:aws:s3:::example-reports/*
- Condition
StringEquals · aws:RequestedRegion: ["us-east-1"]
Hinweise (1)
- Platzhalter in Resource prüfen. Pfad /Statement/0/Resource/1
Der Richtlinientext bleibt in diesem Browser; es erfolgt keine AWS-Anfrage.
Optionen
Statements: 1; Fehler: 0; Hinweise: 1.
Wer IAM-Richtlinien prüfen möchte, muss bei mehreren Statements die Beziehung zwischen Action, Resource und Condition erkennen. Die IAM-Richtlinien-Validierung zeigt auch NotAction und NotResource unverändert, statt daraus vermeintliche Freigaben abzuleiten.
Das Ergebnis beschreibt nur dieses Dokument. Für wirksame Berechtigungen fehlen weitere Richtlinien, Organisationsregeln und der Kontext der Anfrage. Ein JSON-Richtlinieneditor oder diese lokale Ansicht ersetzt diese Auswertung nicht.
Warum die IAM-Richtlinien-Validierung beim Lesen hilft
Statements einzeln nachvollziehen
Die IAM-Richtlinien-Validierung erhält Reihenfolge und Feldnamen. Zu jedem Statement stehen Effekt, Aktionen, Ressourcen und Bedingungen beieinander; die Richtliniengrammatik wird sichtbar, ohne die Quelle zu überschreiben.
Fehler von Hinweisen trennen
Ungültiges JSON und unvereinbare Felder sind Fehler. Platzhalter und umgekehrte Felder verlangen dagegen eine Prüfung. Manche AWS-Aktionen benötigen Resource "*"; der Hinweis allein ist kein Sicherheitsurteil.
Drei Prüfungen vor dem Export
02
Ansichten gegeneinander halten
Der Baum ist voreingestellt. Formatiertes JSON mit zwei Leerzeichen bleibt eine separate Ausgabe. Der Bericht enthält Feldpfade und extrahierte Werte; eine andere Einrückung macht alte Exporte sofort ungültig.
03
Fundstellen und Umfang prüfen
Status und Bericht zählen Fehler und Hinweise getrennt. Bei kaputtem JSON gibt es keine formatierte Richtlinie. Die Anzeige beginnt mit 50 Einträgen, der Berichtsexport enthält dennoch alle.
Was der lokale Durchgang erfasst
Statement-Baum
Sid, Effect, Action oder NotAction, Resource oder NotResource, Principal und Condition bleiben je Statement zusammen. Die ursprüngliche Reihenfolge wird erhalten.
Diagnosen mit Fundstelle
JSON-Syntaxfehler erhalten Zeile und Spalte, Strukturfehler einen JSON-Pointer. So lässt sich bei der IAM-Richtlinien-Validierung die konkrete Aussage wiederfinden.
Formatierung ohne Überschreiben
Die Eingabe bleibt unverändert. Doppelte Schlüssel oder unsichere große Zahlen verhindern eine Ausgabe, die sonst Werte still ersetzen oder runden könnte.
Vollständiger JSON-Bericht
Der Export enthält Geltungsbereich, extrahierte Statements und alle Diagnosecodes mit Pfaden. Eingeklappte oder noch nicht angezeigte Einträge fehlen dort nicht.
Grenzen der lokalen Aussage
- Keine effektiven Rechte
- IAM-Richtlinien-Validierung kombiniert weder Ressourcenrichtlinien noch SCPs, Berechtigungsgrenzen, Sitzungsrichtlinien und Anfragebedingungen. Ein Allow beweist keinen erfolgreichen Zugriff.
- Kein aktueller Dienstkatalog
- Action und Condition werden wörtlich angezeigt. Ob eine Operation oder ein Bedingungsschlüssel vom Dienst heute unterstützt wird, prüft das Werkzeug nicht.
- Platzhalter bleiben wörtlich
- * und ? werden nicht zu Aktionen oder Ressourcen aufgelöst. NotAction und NotResource bleiben inverse Elemente; ein Warnhinweis ist kein Nachweis für Administratorrechte.
- Nur ein striktes JSON-Dokument
- Kommentare, abschließende Kommas, YAML und aneinandergereihte Dokumente werden abgewiesen. Eine Vertrauensrichtlinie mit Principal kann Resource auslassen.
- Keine Reparatur oder AWS-Anfrage
- Das Werkzeug entfernt kein Deny, führt keine Condition aus und lädt die Richtlinie nicht hoch. Die formatierte Ausgabe verändert die Eingabe nicht.
Fragen zur IAM-Richtlinien-Validierung
Zeigt das Werkzeug meine tatsächlich wirksamen Berechtigungen?
Nein. Es wird nur ein Dokument gelesen. Weitere Richtlinien und der Kontext einer echten AWS-Anfrage können das Ergebnis ändern.
Ist ein Platzhalter in Action oder Resource ein Syntaxfehler?
Nein. Platzhalter sind an manchen Stellen erlaubt. Action und Resource bleiben wörtlich erhalten; ob der Umfang passt, muss anhand des Dienstes und des Zwecks geprüft werden.
Wird mein Richtliniendokument irgendwohin übertragen?
Nein. Analyse und Formatierung laufen im Browser. Es gibt keine AWS-Anfrage und keine Übertragung des Richtlinientexts an ein LLM.
Welche Arten von Richtlinien kann ich prüfen?
Identitäts- und ressourcenbezogene JSON-Dokumente einschließlich Rollen-Vertrauensrichtlinien können betrachtet werden. Eine vollständige Prüfung jedes Richtlinientyps ist das nicht.
Ersetzen die Warnungen eine vollständige Sicherheitsprüfung?
Nein. Die Hinweise decken nur ausgewählte Struktur- und Platzhalterregeln ab. Für eine umfassendere Prüfung sind AWS Access Analyzer und der Kontokontext nötig.
Frage noch offen?
IAM-Richtlinien-Validierung jetzt öffnen
Lesen Sie zuerst die Aussagen des Dokuments und prüfen Sie wirksame Rechte im passenden AWS-Kontext.