> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Amazon Elastic Compute Cloud (EC2)

> Verbinden Sie Amazon EC2 über eine kontoübergreifende IAM-Rolle mit Iru Compliance, um Instanzinventar, Sicherheitsgruppen und VPC-Netzwerkmetadaten als Nachweise zu erfassen.

### Über Amazon Elastic Compute Cloud (EC2)

Der **Amazon EC2**-Connector erfasst **Instanzinventar**, **Sicherheitsgruppen**, **VPC-Topologie**, **AMI-Metadaten** und zugehörige **Compute**-Details aus Ihrem AWS-Konto, damit Sie sie in Iru Compliance an Controls anhängen können. Iru ruft AWS-APIs über **`sts:AssumeRole`** in eine **von Ihnen erstellte IAM-Rolle** in Ihrem Konto auf. Die Rolle vertraut dem AWS-Principal von Iru und erzwingt eine **External ID**, die Ihnen der Connector-Assistent anzeigt. Der Zugriff ist **schreibgeschützt**, daher startet, stoppt oder beendet Iru über diese Source keine Instanzen.

### Funktionsweise

Iru wird im **AWS-Konto von Iru** ausgeführt. Sie erstellen in **Ihrem** Konto eine **kundenverwaltete IAM-Rolle**, die:

1. dem Rollen-ARN von Iru (im Assistenten angezeigt) nur dann **vertraut**, wenn **`sts:ExternalId`** mit dem von Iru angezeigten Wert übereinstimmt.
2. schreibgeschützte EC2- und unterstützende Aufrufe **erlaubt**, in der Regel über **`AmazonEC2ReadOnlyAccess`** oder eine engere Inline-Richtlinie, wenn Ihr Sicherheitsteam das Prinzip der minimalen Rechte bevorzugt.

Sie kopieren den **ARN** der Rolle zurück in den Connector. Iru übernimmt dann diese Rolle und liest regionale EC2-Daten (Iru durchläuft die aktivierten Regionen).

| Detail | Wert |
| - | - |
| **Kategorie** | Developer tools |
| **Authentifizierung** | Kontoübergreifende IAM-Rolle (`sts:AssumeRole` + External ID) |

Referenzen: [AmazonEC2ReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonEC2ReadOnlyAccess.html), [EC2 IAM](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/security-iam.html).

### Voraussetzungen

* IAM-Berechtigungen zum **Erstellen von Rollen** und Anhängen von Richtlinien (zum Beispiel **`IAMFullAccess`** oder eine engere Admin-Rolle).
* Der **Iru-Principal-ARN** und die **External ID** aus dem Connector-Bildschirm **Ihres** Mandanten (nicht die Beispielwerte unten, es sei denn, sie stimmen mit dem überein, was Iru Ihnen aktuell anzeigt).

### Amazon EC2 mit Iru verbinden

<Tabs>
  <Tab title="Iru Compliance">
    <Note>
      Beginnen Sie hier: Öffnen Sie den Source-Assistenten und prüfen Sie die **Vertrauensrichtlinie** (und notieren Sie die **External ID**). Wenn Sie bereit sind, die Rolle in AWS zu erstellen, wechseln Sie zum Tab [**AWS**](#aws) und folgen Sie [**IAM-Rolle erstellen**](#create-the-iam-role). Sobald Sie den **Role ARN** haben, kehren Sie zum Tab [**Iru Compliance**](#iru-compliance) zurück und schließen Sie unten [**Rollen-ARN in Iru übermitteln**](#submit-the-role-arn-in-iru) ab.
    </Note>

    #### Vertrauensrichtlinie aus Iru abrufen

    <Steps>
      <Step title="Quellen öffnen">
        Erweitern Sie in Iru Compliance in der linken Navigationsleiste **Compliance** und wählen Sie **Quellen**.

        <Frame>
          <img src="https://mintcdn.com/iru/tI0HDLDwHj8r9Ile/assets/media/images/iru-navigation-compliance-sources.png?fit=max&auto=format&n=tI0HDLDwHj8r9Ile&q=85&s=87dcef15fc17d2fb9a6e53f454e41710" alt="Linke Navigation: Compliance erweitert, Sources ausgewählt" width="410" height="1024" data-path="assets/media/images/iru-navigation-compliance-sources.png" />
        </Frame>
      </Step>

      <Step title="AWS Elastic Compute Cloud (EC2) aktivieren">
        Suchen Sie **AWS Elastic Compute Cloud (EC2)** (verwenden Sie **Kategorie** oder **Nach Name oder Beschreibung suchen**). Aktivieren Sie auf dieser Karte den **Schalter**. Lassen Sie den Assistenten-Tab **Iru fordert Zugriff auf externe Dienste an** geöffnet.
      </Step>

      <Step title="JSON der Vertrauensrichtlinie prüfen">
        Der Assistent fragt nach einem Rollen-ARN und zeigt die **Vertrauensrichtlinie**, die Ihre IAM-Rolle verwenden muss (**Principal** und **sts:ExternalId**). Unten sehen Sie ein **Beispiel** für die Struktur; **kopieren Sie das aktuelle JSON aus Ihrem Assistenten**, damit Konto, Principal-ARN und External ID exakt übereinstimmen.

        ```json copy=false lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "AWS": "arn:aws:iam::753695775620:role/IruConnect"
              },
              "Condition": {
                "StringEquals": {
                  "sts:ExternalId": "YOUR_EXTERNAL_ID"
                }
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        ```
      </Step>

      <Step title="Zu AWS wechseln, um die Rolle zu erstellen">
        Lassen Sie den Iru-Assistenten-Tab als Referenz geöffnet, wechseln Sie dann zum Tab [**AWS**](#aws) und folgen Sie [**IAM-Rolle erstellen**](#create-the-iam-role).
      </Step>
    </Steps>

    #### Rollen-ARN in Iru übermitteln

    <Note>
      Schließen Sie zuerst den Tab [**AWS**](#aws) ab (bis einschließlich [**IAM-Rolle erstellen**](#create-the-iam-role)), damit Sie den **Role ARN** der neuen Rolle haben.
    </Note>

    <Steps>
      <Step title="IAM Role ARN einfügen">
        Kehren Sie zum Iru-Assistenten-Tab zurück. Fügen Sie den **Role ARN** in das Feld **Role ARN** ein.
      </Step>

      <Step title="Verbindung abschließen">
        Wählen Sie **Submit Role**. Wenn die Verbindung erfolgreich ist, zeigt der Assistent **Verbindung konfiguriert** an.
      </Step>

      <Step title="Bestätigen, dass die Source Active ist">
        Schließen Sie den Browser-Tab **Iru fordert Zugriff auf externe Dienste an**, kehren Sie dann zu **Compliance** → **Quellen** zurück und bestätigen Sie, dass die Karte **EC2** **Aktiv** ist.
      </Step>
    </Steps>
  </Tab>

  <Tab title="AWS">
    <Note>
      Schließen Sie [**Vertrauensrichtlinie aus Iru abrufen**](#get-the-trust-policy-from-iru) im Tab [**Iru Compliance**](#iru-compliance) ab, bevor Sie diese Rolle erstellen. Verwenden Sie die **External ID** und die Vertrauensrichtlinie aus dem aktuellen Assistenten, wenn Sie **Trusted entity** konfigurieren.
    </Note>

    #### IAM-Rolle erstellen

    <Steps>
      <Step title="Workflow Create role starten">
        Melden Sie sich bei dem AWS-Konto an, dem Ihre EC2-Workload gehört. Öffnen Sie **IAM** → **Roles** → **Create role**.
      </Step>

      <Step title="Vertrauenswürdige Entität konfigurieren">
        Wählen Sie **AWS account** → **Another AWS account**. Geben Sie die AWS-Konto-ID von Iru ein (**`753695775620`**, sofern der Assistent keinen anderen Wert anzeigt). Aktivieren Sie **Require external ID** und fügen Sie die **External ID** aus dem Iru-Assistenten ein.
      </Step>

      <Step title="EC2-Leseberechtigungen anhängen">
        Hängen Sie unter **Berechtigungen** die Richtlinie **`AmazonEC2ReadOnlyAccess`** an.

        Wenn Ihr Sicherheitsteam die verwaltete Richtlinie **nicht** verwendet, hängen Sie stattdessen eine **Inline-Richtlinie** mit dem unten stehenden JSON an. Das JSON ist eine **beispielhafte** Alternative nach dem Prinzip der minimalen Rechte; schränken Sie die Aktionen nach der Prüfung durch Ihr Team ein oder erweitern Sie sie.

        ```json lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "ec2:Describe*",
                "ec2:Get*",
                "elasticloadbalancing:Describe*",
                "cloudwatch:ListMetrics",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:Describe*",
                "autoscaling:Describe*"
              ],
              "Resource": "*"
            }
          ]
        }
        ```
      </Step>

      <Step title="Rolle benennen und ARN kopieren">
        Schließen Sie den Assistenten ab und benennen Sie die Rolle (zum Beispiel **`IruEC2ReadOnly`**). Öffnen Sie die neue Rolle und kopieren Sie den **Role ARN** oben auf der Übersichtsseite. Wechseln Sie zurück zum Tab [**Iru Compliance**](#iru-compliance) und schließen Sie [**Rollen-ARN in Iru übermitteln**](#submit-the-role-arn-in-iru) ab.
      </Step>

      <Step title="Vertrauensrichtlinie überprüfen">
        Öffnen Sie den Tab **Trust relationships** der Rolle und bestätigen Sie, dass das JSON mit dem übereinstimmt, was Iru angezeigt hat. Tippfehler in der External ID sind die häufigste Ursache für **`AccessDenied`** bei **`AssumeRole`**.
      </Step>
    </Steps>

    <Note>
      Fahren Sie mit dem Tab [**Iru Compliance**](#iru-compliance) fort, um den **Role ARN** einzufügen und den Assistenten abzuschließen ([**Rollen-ARN in Iru übermitteln**](#submit-the-role-arn-in-iru)).
    </Note>
  </Tab>
</Tabs>

### Fehlerbehebung

<AccordionGroup>
  <Accordion title="Beim Aktivieren der Source öffnet sich nichts">
    Prüfen Sie die Einstellungen des **Pop-up-Blockers** für die Iru-Website und versuchen Sie es erneut.
  </Accordion>

  <Accordion title="AccessDenied bei AssumeRole">
    Prüfen Sie, ob **External ID** und **Principal** in der Vertrauensrichtlinie Zeichen für Zeichen mit dem Iru-Assistenten übereinstimmen.
  </Accordion>

  <Accordion title="Leeres Inventar">
    Bestätigen Sie, dass sich die Rolle im **selben Konto** wie Ihre Instanzen befindet und dass Instanzen in den erwarteten Regionen vorhanden sind.
  </Accordion>

  <Accordion title="Fehlende Daten zu Sicherheitsgruppen / VPC">
    Stellen Sie die Abdeckung durch `ec2:Describe*` sicher (die verwaltete Richtlinie enthält diese bereits). Benutzerdefinierte Richtlinien benötigen entsprechende `Describe*`-Aktionen.
  </Accordion>
</AccordionGroup>

### Hinweise

<CardGroup cols={2}>
  <Card title="EC2-APIs sind regional: Die erste Synchronisierung kann länger dauern…" icon="circle-info">
    EC2-APIs sind **regional**, daher kann die erste Synchronisierung über viele Regionen hinweg länger dauern.
  </Card>

  <Card title="AmazonEC2ReadOnlyAccess deckt auch zugehörige ELB- und…" icon="shield">
    `AmazonEC2ReadOnlyAccess` deckt für ein vollständigeres Bild auch zugehörige Lesezugriffe auf **ELB** und **Auto Scaling** ab.
  </Card>

  <Card title="Diese Integration verändert niemals Instanzen: Sie…" icon="server">
    Diese Integration verändert niemals Instanzen; sie **beschreibt** sie nur.
  </Card>
</CardGroup>

### Verwandte Artikel

<CardGroup cols={2}>
  <Card title="Verwaltung von Sources" icon="plug" href="/de/compliance/sources-management">
    Alle Compliance-Sources durchsuchen und verwalten.
  </Card>

  <Card title="Erste Schritte mit Compliance" icon="rocket" href="/de/compliance/getting-started-with-compliance">
    Frameworks, Actions und **Artefakte**.
  </Card>

  <Card title="Iru-Übersicht" icon="layer-group" href="/de/iru/platform-overview/iru-overview">
    Wie Endpoint, Compliance und Identity zusammenwirken.
  </Card>

  <Card title="Verwaltung von Artefakten" icon="folder-open" href="/de/compliance/artifacts-management">
    Nachweise aus Sources und Actions hochladen, prüfen und organisieren.
  </Card>
</CardGroup>