Mehrschichtige Sicherheit mit kontextbezogenen Einschränkungen
Reduzieren Sie Ihre Angriffsfläche mit kontextbasierten Einschränkungen. Fügen Sie Netzwerkstandort, Endgerätetyp und MFA-Anforderungen zu Ihren identitätsbasierten Richtlinien hinzu, um ein feinkörniges Zugriffsmanagement zu ermöglichen.
Kontextbasierte Beschränkungen geben Kontobesitzern und Administratoren die Möglichkeit, Zugriffsbeschränkungen für IBM Cloud® Ressourcen auf der Grundlage von Kriterien einer Regel zu definieren und durchzusetzen. Zu den Kriterien gehören der Netzwerkstandort der Zugriffsanfragen, der Endpunkttyp, von dem aus die Anfrage gesendet wird, die Multifaktor-Authentifizierungsstufe einer Identität und manchmal die API, auf die die Anfrage zuzugreifen versucht. Diese Einschränkungen arbeiten mit herkömmlichen IAM-Richtlinien zusammen, die auf der Identität basieren, um eine weitere Schutzebene zu schaffen. Da sowohl IAM-Richtlinien als auch kontextbasierte Beschränkungen den Zugriff erzwingen, bieten kontextbasierte Beschränkungen selbst bei kompromittierten oder falsch verwalteten Anmeldedaten Schutz.
Ein Beispielszenario für die Erstellung von kontextbasierten Einschränkungen finden Sie im Lernprogramm Ressourcen mit kontextbasierten Einschränkungen schützen.
Weitere Informationen zur Implementierung kontextbasierter Einschränkungen in Ihre Sicherheitsstrategie finden Sie im Lösungs-Tutorial Verbessern Sie die Cloud-Sicherheit durch Anwendung kontextbasierter Einschränkungen.
Rules
Eine Regel verknüpft eine Ressource IBM Cloud mit einer Reihe von Kontexten:
- Die Cloudressource wird ähnlich wie bei IAM-Zugriffsrichtlinien durch Ressourcenattribute angegeben.
- Ein Kontext ist eine Kombination aus Netzzonen und Endpunkttypen.
Die Kontexte, die Sie konfigurieren, definieren die Grenzen für die zugehörigen Ressourcen.
Die notwendigen Ressourcenattribute in kontextbasierten Beschränkungsregeln sind accountId und serviceName. Als Bereich für eine Regel muss ein Konto und ein bestimmter Service festgelegt werden.
Regeln für kontextbasierte Einschränkungen werden durch die folgende Logik angewendet:
- Der Zugriff wird durch eine Regel nur dann gewährt, wenn mindestens einer der Kontexte der Regel den Zugriff zulässt.
- Falls mehrere Regeln auf eine bestimmte Ressource anwendbar sind, wird der Zugriff nur dann gewährt, wenn alle anwendbaren Regeln den Zugriff zulassen.
- Sind auf eine bestimmte Ressource keine Regeln anwendbar, wird die Zugriffsberechtigung ausschließlich durch IAM-Richtlinien bestimmt.
Im Gegensatz zu IAM-Richtlinien weisen kontextbasierte Einschränkungen keine Zugriffsberechtigung zu. Bei kontextbasierten Einschränkungen wird geprüft, ob eine Zugriffsanforderung aus einem zulässigen Kontext stammt, der von Ihnen konfiguriert wird.
Die Schnittstelle, die Sie für den Zugriff auf eine Ressource verwenden, z. B. die Konsole, die Befehlszeilenschnittstelle oder die API, hat keinen Einfluss darauf, wie eine Regel auf diese Ressource angewendet wird. Die Regel gilt für alle Schnittstellen in gleicher Weise und basiert auf der IP-Adresse des Clients.
Durchsetzung der Vorschriften
Sie können entscheiden, wie Sie eine Regel bei der Erstellung durchsetzen wollen und die Durchsetzung der Regel jederzeit aktualisieren.
- Aktiviert
- Setzen Sie die Regel durch. Je nach dem von Ihnen gewählten Dienst kann die Überwachung verweigerter Zugriffsversuche über Activity Tracker Event Routing möglich sein. Lesen Sie die Dokumentation der einzelnen Dienste, um zu erfahren, wie sie sich in kontextbezogene Einschränkungen integrieren lassen.
- Inaktiviert
- Für Ihre Kontoressourcen gelten keine Einschränkungen. Wählen Sie diese Option, wenn Sie die Regel noch nicht aktivieren möchten.
- Nur Bericht
- Je nach ausgewähltem Dienst können Sie überwachen, wie sich eine Regel auf den Zugriff auswirkt, ohne sie durchzusetzen. Im Nur-Bericht-Modus werden alle Zugriffsversuche auf die Ressourcen des Kontos in Activity Tracker Event Routing protokolliert. Falls verfügbar, wird eine 30-tägige Überwachung empfohlen, bevor Sie eine Regel durchsetzen.
Der Nur-Bericht-Modus ist nicht für alle Dienste verfügbar. Lesen Sie daher die Dokumentation der einzelnen Dienste, um zu erfahren, wie sie sich in kontextbasierte Einschränkungen integrieren lassen.
Sie können die Auswirkungen Ihrer aktivierten und reinen Berichtsregeln überwachen. Weitere Informationen finden Sie unter Überwachung kontextbezogener Einschränkungen.
Definition des Geltungsbereichs einer Regel
Definieren Sie die APIs, die Sie schützen möchten, um den Geltungsbereich einer Regel einzuschränken. Auf diese Weise können Sie granulare Schutzmaßnahmen für verschiedene APIs festlegen, die unterschiedliche Zugriffsanforderungen haben.
Sie könnten beispielsweise eine Regel erstellen, die auf eine Datenebene-API abzielt, so dass diese nur von einem Kubernetes-Cluster aus zugänglich ist, oder wo auch immer sich Ihre Recheninfrastruktur befindet. Dann können Sie eine Regel erstellen, die auf die API der Steuerungsebene und alle Plattform-APIs abzielt, um die Interaktionen mit der Cloud-Konsole zu schützen, so dass diese nur über das VPN Ihres Unternehmens zugänglich ist.
Nur einige Dienste unterstützen die Möglichkeit, eine Regel per API zu erfassen.
Bei einigen Diensten können Sie die Aktionen aller Dienst-APIs auf Ihre Ressourcen standardmäßig einschränken, d. h. auf alle aktuellen und zukünftigen APIs, die der Dienst möglicherweise unterstützt. Oder Sie wählen bestimmte APIs aus. Zum Beispiel, Kubernetes über benutzerdefinierte Dienst-APIs, auf die Sie den Zugriff je nach Kontext der Anfrage beschränken können. Lesen Sie die Dokumentation der einzelnen Dienste, um mehr darüber zu erfahren, wie sie sich in kontextbezogene Einschränkungen integrieren lassen.
Ausgewählte Dienste unterstützen die Möglichkeit, eine Regel zum Schutz aller Plattform-APIs zu erstellen, einschließlich aller aktuellen und zukünftigen Plattform-APIs, die ein Dienst unterstützen könnte. Durch die Aufnahme von Plattform-APIs in den Geltungsbereich einer Regel wird sichergestellt, dass Plattformvorgänge wie die Bereitstellung von Ressourcen, die Verwaltung von Dienstberechtigungen und das Anhängen von Tags nur von den von Ihnen definierten Standorten aus zugänglich sind.
Kontextbasierte Einschränkungen schützen standardmäßig alle Dienst- und Plattform-APIs, die der Zieldienst unterstützt.
Kontexte
Kontexte definieren, von wo aus auf Ihre Ressource zugegriffen werden kann. Ein Kontext setzt sich aus den zulässigen Endpunkttypen und Netzzonen zusammen, die von Ihnen konfiguriert werden.
- Falls ein Kontext Netzzonen enthält, wird der Zugriff nur erteilt, wenn die Anforderung aus einer dieser Zonen stammt.
- Falls ein Kontext Serviceendpunkttypen enthält, wird der Zugriff nur erteilt, wenn die Anforderung über eine Verbindung empfangen wird, die mit einem dieser Typen übereinstimmt.
- Wenn ein Kontext eine Multifaktor-Authentifizierung (MFA) umfasst, wird der Zugriff nur gewährt, wenn die anfragende Identität eine MFA-Stufe aufweist, die der erforderlichen MFA-Stufe entspricht oder diese übersteigt.
- Falls ein Kontext mehrere Einschränkungen enthält (beispielsweise sowohl Zonen als auch Endpunkttypen), müssen alle Einschränkungen erfüllt werden, damit der Zugriff erteilt wird.
Netzzone
Eine Netzzone stellt eine Zulassungsliste der IP-Adressen dar, von denen eine Zugriffsanforderung erstellt wird. Sie definiert eine Gruppe mit einer oder mehreren Netzadressen, die durch die folgenden Attribute angegeben werden:
- IP-Adressen, bei denen es sich um einzelne Adressen, Bereiche oder Teilnetze handeln kann.
- VPCs
- Servicereferenzen, die den Zugriff von anderen IBM Cloud®-Services aus ermöglichen.
IP-Adressen
Kunden können die IP-Adressen angeben, die in der Lage sein sollen, Datenverkehr zu senden. Datenverkehr, der von nicht angegebenen IP-Adressen stammt, wird abgelehnt.
VPCs
Falls Sie Apps einsetzen, die in einer VPC bereitgestellt sind, von der Zugriff auf eine über den Kontext eingeschränkte Ressource benötigt wird, können Sie die IP-Adressen der VPC in Ihre Netzzone einbeziehen. Wählen Sie dazu die Ziel-VPC in Ihrer Netzwerkzone aus und fügen Sie diese Netzwerkzone zu Ihrer Regel hinzu. Auf diese Weise müssen Sie die IP-Adressen, die die VPC verwendet, nicht finden. Für Ressourcen, die angesprochen werden, ist erkennbar, dass die Anforderung von einer Gruppe zulässiger IP-Adressen stammt.
Servicereferenzen
Eine Dienstreferenz stellt die Netzwerkstandorte eines Dienstes oder einer Dienstinstanz dar. Wenn Sie eine Dienstreferenz in eine Netzwerkzone aufnehmen, werden die mit dem Dienst verbundenen IP-Adressen in Ihre Zulässigkeitsliste aufgenommen, ohne dass Sie die zugrunde liegenden IP-Adressen des Dienstes kennen müssen. Dienstreferenzen sind hilfreich, da die Netzwerkstandorte von Cloud-Diensten dem Administrator für kontextbezogene Beschränkungen unbekannt sind und sich im Laufe der Zeit ändern können.
Im Folgenden finden Sie eine Liste von Diensten, die Sie einer Netzwerkzone als Dienstreferenz hinzufügen können:
| Dienst | Diensttyp | service_name |
|---|---|---|
| Alle Account Management Dienstleistungen | Account Management | iam-access-management |
| IAM Access Groups Service | Account Management | iam-groups |
| IAM User Management | Account Management | user-management |
| Activity Tracker Event Routing | IAM-aktiviert | logdnaat |
| App Configuration | IAM-aktiviert | apprapp |
| Katalogverwaltungsdienst | IAM-aktiviert | globalcatalog-collection |
| Cloud Block Storage for VPC | IAM-aktiviert | |
| Cloud Object Storage | IAM-aktiviert | cloud-object-storage |
| Code Engine | IAM-aktiviert | codeengine |
| Databases for DataStax | IAM-aktiviert | databases-for-cassandra |
| Databases for EnterpriseDB | IAM-aktiviert | databases-for-enterprisedb |
| Databases for Elasticsearch | IAM-aktiviert | databases-for-elasticsearch |
| Databases for etcd | IAM-aktiviert | databases-for-etcd |
| Databases for MongoDB | IAM-aktiviert | databases-for-mongodb |
| Databases for MySQL | IAM-aktiviert | databases-for-mysql |
| Databases for PostgreSQL | IAM-aktiviert | databases-for-postgresql |
| Databases for Redis | IAM-aktiviert | databases-for-redis |
| Direct Link | IAM-aktiviert | directlink |
| Event Notifications | IAM-aktiviert | event-notifications |
| Event Streams | IAM-aktiviert | messagehub |
| Kubernetes Service / Red Hat OpenShift | IAM-aktiviert | containers-kubernetes |
| Messages for RabbitMQ | IAM-aktiviert | messages-for-rabbitmq |
| Secrets Manager | IAM-aktiviert | secrets-manager |
| VPC-Infrastrukturdienste | IAM-aktiviert | |
| Schematics | IAM-aktiviert | schematics |
| Toolchain | IAM-aktiviert | toolchain |
| Watsonx.data | IAM-aktiviert | lakehouse |
In Tabelle 1 bezieht sich der Begriff " Alle Account Management-Dienste " auf die in der Tabelle aufgeführten Dienste des Typs Account Management. Wenn es beispielsweise zwei Account-Management-Dienste gibt, die in Tabelle 1 aufgeführt sind, umfasst "Alle Account-Management-Dienste" diese beiden Dienste. Wenn weitere Account Management-Dienste als Dienstreferenzen verfügbar werden, enthalten Netzwerkzonen, die Alle Account Management-Dienste als Dienstreferenz angeben, automatisch die neu hinzugefügten Account Management-Dienste.
Weitere Informationen darüber, welche Dienste als Dienstreferenz für das Dienstangebot, auf das Sie in einer Regel abzielen, hinzugefügt werden müssen, finden Sie in der Dokumentation des jeweiligen Dienstangebots.
Endpunkttypen
Ein Endpunkttyp stellt die Verbindung dar, über die eine Zugriffsanforderung empfangen wird. Er entspricht dem Endpunkt, der die Verbindung empfängt. Sie können den Zugriff von allen Endpunkttypen, die vom Service unterstützt werden, oder von bestimmten Serviceendpunkttypen ermöglichen.
Es gibt die drei folgenden allgemeinen Endpunkttypen:
- Öffentliche Endpunkte können Anforderungen von einem beliebigen Standort akzeptieren.
- Private Endpunkte sind für die meisten Anfragen, die von IBM Cloud® ausgehen, verfügbar.
- Direkte Endpunkte werden in Bring-Your-Own-IP-Szenarien verwendet, im Allgemeinen für Anfragen, die von Ressourcen innerhalb von VPCs stammen.
Einige Endpunkttypen werden vom ausgewählten Service möglicherweise nicht unterstützt.
Um auf virtuelle private Endpunkte zuzugreifen, müssen sich die CLI-Benutzer mit dem Befehl ibmcloud login -a private.cloud.ibm.com --vpc anmelden. Weitere Informationen finden Sie unter Erstellen eines privaten Endpunkt-Gateways(für die Verwendung von VPC erforderlich).
Mehrfaktorauthentifizierung
Bei der Multifaktor-Authentifizierung (MFA) müssen sich die Identitäten über eine ID und ein Passwort hinaus mit einem weiteren Authentifizierungsfaktor authentifizieren. Indem Sie eine weniger strenge MFA-Stufe festlegen, erlauben Sie Benutzern, die diese Stufe erfüllen oder übertreffen, sich zu authentifizieren. Wenn Ihre Regel beispielsweise verlangt, dass sich Benutzer mit MFA LEVEL1 authentifizieren, sind Benutzer, die MFA LEVEL2 haben, immer noch konform, da LEVEL2 die Sicherheitskriterien für LEVEL1 überschreitet. Die folgenden MFA-Stufen nennen den Mindest-MFA-Faktor für jede Stufe. Weitere Informationen finden Sie unter IBM Cloud multifaktorielle Authentifizierung.
- LEVEL1: E-Mail-basierte MFA
- LEVEL2: TOTP MFA
- LEVEL3: Sicherheitsschlüssel MFA
Zusätzlich zu LEVEL1, LEVEL2 und LEVEL3 MFA unterstützt die kontextbasierte Beschränkungsregel auch den Wert IAM_ACCOUNT_SETTING, was bedeutet, dass der MFA-Wert der Regel mit dem übereinstimmt, was Sie als MFA-Anforderung für
Ihr Konto definieren. Auf diese Weise werden alle Änderungen an den MFA-Einstellungen Ihres Kontos automatisch auf die Regel angewendet. Weitere Informationen finden Sie unter MFA-Optionen.
Wenn in den IAM-Authentifizierungseinstellungen im Abschnitt MFA für Benutzer mit IBMid eine Option ausgewählt wird, wird der MFA-Wert aus IAM in den kontextbasierten Einschränkungen auf LEVEL2 MFA abgebildet. MFA wird sowohl auf Verbund- als auch auf Nicht-Verbund-Benutzer angewendet, auch wenn Nicht-Verbund-Benutzer ausgewählt ist.
Nur einige Dienste unterstützen die Möglichkeit, MFA in einer Regel anzugeben.
Zugangsvoraussetzungen
Um Regelaktionen durchzuführen, muss Ihnen eine IAM-Richtlinie für den Zieldienst zugewiesen werden. Um Netzwerkzonenaktionen durchzuführen, muss Ihnen eine IAM-Richtlinie für den kontextbasierten Beschränkungsdienst zugewiesen werden.
Um eine kontextbasierte Einschränkung für einen Dienst zu erstellen, muss Ihnen eine IAM-Richtlinie mit der Administratorrolle des Dienstes, für den Sie eine Regel erstellen möchten, zugewiesen sein. Wenn Sie zum Beispiel eine Regel zum Schutz einer Key Protect instanz erstellen möchten, müssen Sie die Rolle Administrator für den Key Protect dienst und die Rolle Betrachter oder höher auf dem kontextbasierten Beschränkungsdienst.
Die Viewer-Rolle des kontextbasierten Beschränkungsdienstes berechtigt Sie dazu, Ihrer Regel Netzwerkzonen hinzuzufügen.
Kontextbezogene Einschränkungen Rollen und Aktionen
Um Netzwerkzonen verwalten zu können, muss Ihnen eine IAM-Richtlinie mit einer spezifischen Rolle für den Kontenverwaltungsdienst für kontextbasierte Einschränkungen zugewiesen werden. Die folgende Tabelle zeigt die möglichen Zugriffsrollen und Aktionen für die Kontoverwaltung.
| Rollen | Aktionen |
|---|---|
| Anzeigeberechtigter | Netzzonen anzeigen |
| Bearbeiter | Netzzonen anzeigen
Netzzonen erstellen Netzzonen aktualisieren Netzzonen entfernen |
| Administrator | Netzzonen anzeigen
Netzzonen erstellen Netzzonen aktualisieren Netzzonen entfernen |
Weitere Informationen finden Sie unter Aktionen und Rollen für Kontoverwaltungsservices.
Mit Netzzonen können Sie auch den Zugriff auf Kontenebene einschränken. Um Einschränkungen auf Kontoebene mit Hilfe von Netzwerkzonen festzulegen, gehen Sie in der Konsole IBM Cloud zu Verwalten > IAM > Einstellungen und geben Sie den Namen Ihrer Netzwerkzone ein.
Zieldienstrollen und -aktionen
Um Regeln zu verwalten, muss Ihnen eine IAM-Richtlinie mit der Rolle Administrator für den Dienst zugewiesen sein, für den Sie die Regel erstellen. Die folgende Tabelle zeigt die möglichen Zugriffsrollen und Aktionen für Dienste.
| Rollen | Aktionen |
|---|---|
| Anzeigeberechtigter | Regeln anzeigen |
| Bearbeiter | Regeln anzeigen |
| Administrator | Regeln anzeigen
Regeln erstellen Regeln aktualisieren Regeln entfernen |
Integrierte Dienste mit kontextbezogenen Einschränkungen
Bestimmte IBM Cloud Dienste sind mit kontextbasierten Einschränkungen integriert, und nur diese Dienste können Regeln auf ihre Ressourcen anwenden. Die Art und Weise, wie die Regeln auf einzelne Dienste angewendet werden, hängt vom jeweiligen Dienst ab. Lesen Sie also unbedingt die Dokumentation für jeden Dienst, um zu verstehen, wie kontextbezogene Einschränkungen gelten.
Sie können kontextbasierte Einschränkungen für die folgenden Dienste erstellen, wenn Sie den richtigen Zugriff auf den Dienst haben:
| Service | Servicetyp | Anwendungsbereich der APIs | service_name |
|---|---|---|---|
| Activity Tracker Event Routing | Kontoverwaltung | Nein | atracker |
| App Configuration | Für IAM aktiviert | Nein | apprapp |
| Katalogverwaltungsservice | Für IAM aktiviert | Ja | globalcatalog-collection |
| IBM Cloud Logs | Für IAM aktiviert | Nein | logs |
| IBM Cloud Monitoring | Für IAM aktiviert | Nein | sysdig-monitor |
| Sicherung und Wiederherstellung | Für IAM aktiviert | Ja | backup-recovery |
| Cloud- Object Storage | Für IAM aktiviert | Nein | cloud-object-storage |
| Code Engine | Für IAM aktiviert | Nein | codeengine |
| Container Registry | Für IAM aktiviert | Nein | container-registry |
| Kontextbezogene Einschränkungen Dienst | Kontoverwaltung | Nein | context-based-restrictions |
| Databases for DataStax | Für IAM aktiviert | Ja | databases-for-cassandra |
| Databases for EnterpriseDB | Für IAM aktiviert | Ja | databases-for-enterprisedb |
| Databases for Elasticsearch | Für IAM aktiviert | Ja | databases-for-elasticsearch |
| Databases for etcd | Für IAM aktiviert | Ja | databases-for-etcd |
| Databases for MongoDB | Für IAM aktiviert | Ja | databases-for-mongodb |
| Databases for MySQL | Für IAM aktiviert | Ja | databases-for-mysql |
| Databases for PostgreSQL | Für IAM aktiviert | Ja | databases-for-postgresql |
| Databases for Redis | Für IAM aktiviert | Ja | databases-for-redis |
| Direct Link | Für IAM aktiviert | Nein | directlink |
| DNS Services | Für IAM aktiviert | Nein | dns-svcs |
| Enterprise Application Service | Für IAM aktiviert | Nein | enterprise-app-java |
| Event Notifications | Für IAM aktiviert | Nein | event-notifications |
| Event Streams | Für IAM aktiviert | Nein | messagehub |
| Hyper Protect Crypto Services | Für IAM aktiviert | Ja | hs-crypto |
| IAM-Zugriffsgruppenservice | Kontoverwaltung | Nein | iam-groups |
| IAM-Zugriffsmanagement-Service | Kontoverwaltung | Nein | iam-access-management |
| IAM Identity Service | Kontoverwaltung | Nein | iam-identity |
| IAM-Benutzerverwaltung | Kontoverwaltung | Nein | user-management |
| IBM Cloud® Virtual Private Cloud | Für IAM aktiviert | Nein | is |
| Key Protect | Für IAM aktiviert | Nein | kms |
| Kubernetes Service / Red Hat OpenShift | Für IAM aktiviert | Ja | containers-kubernetes |
| MQ | Für IAM aktiviert | Ja | mqcloud |
| Messages for RabbitMQ | Für IAM aktiviert | Ja | messages-for-rabbitmq |
| Schematics | Für IAM aktiviert | Nein | schematics |
| Secrets Manager | Für IAM aktiviert | Nein | secrets-manager |
| IBM Cloud Security and Compliance Center Workload Protection | Für IAM aktiviert | Nein | sysdig-secure |
| Tagging-Service | Kontoverwaltung | Nein | ghost-tags |
| Transit Gateway | Für IAM aktiviert | Nein | transit |
| Watsonx.data | Für IAM aktiviert | Nein | lakehouse |
Kontextbasierte Einschränkungen, die für IAM-aktivierte Dienste definiert sind, gelten nicht für Plattformaktionen wie Erstellen oder Löschen. Weitere Informationen finden Sie in IAM-Rollen und -Aktionen.
Schauen Sie regelmäßig vorbei, um zu sehen, welche Dienste hinzugefügt werden, wenn weitere Dienste mit kontextbezogenen Einschränkungen integriert werden.
Grenzwerte für kontextbasierte Einschränkungen
In der folgenden Tabelle sind die Maximalwerte für kontextbasierte Einschränkungen aufgelistet. Diese Grenzwerte gelten für alle Benutzer, die kontextbasierte Einschränkungsregeln oder Netzzonen erstellen können. Weitere Informationen finden Sie unter Was sind kontextbasierte Einschränkungen?.
Wenn Sie einen bestimmten Anwendungsfall haben, der einen erweiterten Grenzwert erfordert, können Sie eine Erhöhung anfordern. Weitere Informationen finden Sie unter Kontobegrenzungen erhöhen.
| Ressource | Max. |
|---|---|
| Regeln für kontextbasierte Einschränkungen pro Konto [1] | 4020 |
| Netzzonen pro Konto | 500 |
| IP-Adressen pro Netzzone | 1000 |
| IP-Adressen pro Regel | 1000 |
Einer kontextbasierten Einschränkungsregel, die mehrere Netzzonen umfasst, können maximal 1000 IP-Adressen indirekt zugeordnet werden. In einer Regel, die zwei Netzwerkzonen umfasst, könnte eine der Zonen beispielsweise 800 IP-Adressen und die andere maximal 200 IP-Adressen haben.
Wenn Sie die Anzahl der Regeln in Ihrem Konto überprüfen möchten, lesen Sie den Abschnitt Gesamtzahl der Regeln pro Konto anzeigen. Um eine Erhöhung des Kontolimits zu beantragen, siehe Antrag auf Erhöhung des gemeinsamen Limits für Richtlinien und Regeln.
Sukzessive erreichte Konsistenz
Kontextbasierte Einschränkungen folgen einem letztlich einheitlichen Muster, das bei vielen Cloud-nativen Diensten üblich ist. Daher bleiben kontextbasierte Einschränkungen in mehreren globalen Regionen hoch verfügbar und leistungsfähig. Änderungen, die an den Regeln der kontextbasierten Einschränkungen und den Netzzonen vorgenommen werden, werden weltweit aufgezeichnet und weitergegeben. Zugriffsänderungen werden möglicherweise erst wirksam, wenn der Weitergabeprozess abgeschlossen ist, in der Regel innerhalb weniger Minuten.
-
Für IAM-Richtlinien und kontextbasierte Beschränkungsregeln gilt ein gemeinsames Limit von 4020. ↩︎