> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Amazon Simple Storage Service (S3)

> Verbinden Sie Amazon S3 über eine kontoübergreifende IAM-Rolle mit Iru Compliance, um Bucket-Inventar, Verschlüsselung, Blockierungen des öffentlichen Zugriffs und Richtlinien-Metadaten zu erfassen.

### Über Amazon Simple Storage Service (S3)

Der **Amazon S3**-Connector inventarisiert die **Bucket-Konfiguration**: Richtlinien, Verschlüsselung, Versionierung, Protokollierung, Benachrichtigungen, Blockierungen des öffentlichen Zugriffs und zugehörige Einstellungen, ohne **Objektinhalte** zu lesen. Iru übernimmt eine **IAM-Rolle**, die Sie in Ihrem Konto erstellen (`sts:AssumeRole` mit einer **externen ID**). So konzentrieren sich die Nachweise darauf, **wie Buckets konfiguriert sind**, und nicht auf die Inhalte gespeicherter Dateien.

### So funktioniert es

Iru wird in einem eigenen AWS-Konto ausgeführt. Um die **S3**-Bucket-Konfiguration zu inventarisieren (standardmäßig ohne Objektinhalte), erstellen Sie eine **IAM-Rolle**, deren **Vertrauensrichtlinie** auf den AWS-Principal von Iru verweist und die **External ID** aus dem Assistenten **zwingend voraussetzt** und deren **Berechtigungsrichtlinie** nur die **Metadaten**-Lesezugriffe gewährt, die Ihr Team genehmigt. Verwenden Sie bevorzugt die unten stehende **Inline-Richtlinie** statt nur **`AmazonS3ReadOnlyAccess`**. Die verwaltete Richtlinie enthält **`s3:GetObject`**, was viele Teams für reine Metadaten-Integrationen nicht zulassen. Fügen Sie den **ARN** der Rolle anschließend in Iru ein.

| Detail | Wert |
| - | - |
| **Kategorie** | Speicher |
| **Authentifizierung** | Kontoübergreifende IAM-Rolle |

Referenzen: [S3-Benutzerhandbuch](https://docs.aws.amazon.com/AmazonS3/latest/userguide/), [Zugriffsverwaltung](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-management.html).

### Voraussetzungen

* IAM-Berechtigungen zum **Erstellen von Rollen** und zum Anhängen von Inline-Richtlinien.
* Das aktuelle Paar aus **Principal** und **externer ID** aus **Ihrem** Connector – nicht unbedingt die Beispiel-IDs aus älteren Screenshots.

### Amazon S3 mit Iru verbinden

<Tabs>
  <Tab title="Iru Compliance">
    <Note>
      Beginnen Sie hier: Öffnen Sie den Quellen-Assistenten und kopieren Sie die **Vertrauensrichtlinie** (notieren Sie sich die **externe ID**). Wenn Sie bereit sind, die Rolle in AWS zu erstellen, wechseln Sie zur Registerkarte [**AWS**](#aws) und folgen Sie [**IAM-Rolle in AWS erstellen**](#create-the-iam-role-in-aws). Sobald Sie den **Role ARN** haben, kehren Sie zur Registerkarte [**Iru Compliance**](#iru-compliance) zurück und schließen Sie unten [**Rollen-ARN in Iru übermitteln**](#submit-the-role-arn-in-iru) ab.
    </Note>

    #### Vertrauensrichtlinie aus Iru abrufen

    <Steps>
      <Step title="Quellen öffnen">
        Erweitern Sie in Iru Compliance in der linken Navigationsleiste **Compliance** und wählen Sie **Quellen** aus.

        <Frame>
          <img src="https://mintcdn.com/iru/tI0HDLDwHj8r9Ile/assets/media/images/iru-navigation-compliance-sources.png?fit=max&auto=format&n=tI0HDLDwHj8r9Ile&q=85&s=87dcef15fc17d2fb9a6e53f454e41710" alt="Linke Navigation: Compliance erweitert, Sources ausgewählt" width="410" height="1024" data-path="assets/media/images/iru-navigation-compliance-sources.png" />
        </Frame>
      </Step>

      <Step title="AWS S3 aktivieren">
        Suchen Sie **AWS S3** (verwenden Sie **Kategorie** oder **Nach Name oder Beschreibung suchen**). Aktivieren Sie auf dieser Karte den **Schalter**. Lassen Sie die Assistenten-Registerkarte **Iru fordert Zugriff auf externe Dienste an** geöffnet.
      </Step>

      <Step title="JSON der Vertrauensrichtlinie kopieren">
        Der Assistent zeigt das JSON der **Vertrauensrichtlinie**, das Ihre IAM-Rolle verwenden muss (**Principal** und **sts:ExternalId**). Unten finden Sie ein **Beispiel** für die Struktur; **kopieren Sie das aktuelle JSON aus Ihrem Assistenten**, damit Konto, Principal-ARN und externe ID exakt übereinstimmen.

        ```json copy=false lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "AWS": "arn:aws:iam::753695775620:role/IruConnect"
              },
              "Condition": {
                "StringEquals": {
                  "sts:ExternalId": "YOUR_EXTERNAL_ID"
                }
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        ```
      </Step>

      <Step title="Zu AWS wechseln, um die Rolle zu erstellen">
        Lassen Sie die Registerkarte des Iru-Assistenten als Referenz geöffnet, wechseln Sie dann zur Registerkarte [**AWS**](#aws) und folgen Sie [**IAM-Rolle in AWS erstellen**](#create-the-iam-role-in-aws).
      </Step>
    </Steps>

    #### Rollen-ARN in Iru übermitteln

    <Note>
      Schließen Sie zuerst die Registerkarte [**AWS**](#aws) ab (bis einschließlich [**IAM-Rolle in AWS erstellen**](#create-the-iam-role-in-aws)), damit Sie den **Role ARN** der neuen Rolle haben.
    </Note>

    <Steps>
      <Step title="IAM Role ARN einfügen">
        Kehren Sie zur Registerkarte des Iru-Assistenten zurück. Fügen Sie den **Role ARN** an der Stelle ein, an der der Connector danach fragt.
      </Step>

      <Step title="Verbindung abschließen">
        Wählen Sie **Submit Role** aus. Wenn die Verbindung erfolgreich ist, zeigt der Assistent **Verbindung konfiguriert** an.
      </Step>

      <Step title="Prüfen, ob die Quelle aktiv ist">
        Schließen Sie die Browser-Registerkarte **Iru fordert Zugriff auf externe Dienste an**, kehren Sie dann zu **Compliance** → **Quellen** zurück und vergewissern Sie sich, dass die Karte **AWS S3** den Status **Aktiv** hat.
      </Step>
    </Steps>
  </Tab>

  <Tab title="AWS">
    <Note>
      Schließen Sie [**Vertrauensrichtlinie aus Iru abrufen**](#get-the-trust-policy-from-iru) auf der Registerkarte [**Iru Compliance**](#iru-compliance) ab, bevor Sie diese Rolle erstellen. Verwenden Sie die **externe ID** und die Vertrauensrichtlinie aus dem aktuellen Assistenten, wenn Sie **Trusted entity** konfigurieren.
    </Note>

    #### IAM-Rolle in AWS erstellen

    <Steps>
      <Step title="Workflow „Create role“ starten">
        Öffnen Sie **IAM** → **Roles** → **Create role**.
      </Step>

      <Step title="Vertrauenswürdige Entität konfigurieren">
        Wählen Sie **AWS account** → **Another AWS account**. Geben Sie **`753695775620`** ein (oder die ID, die Iru anzeigt). Aktivieren Sie **Require external ID** und fügen Sie den Wert aus Iru ein.
      </Step>

      <Step title="Umfassende verwaltete Richtlinie überspringen (optional)">
        Fahren Sie in der Auswahl der verwalteten Richtlinien fort, **ohne** **`AmazonS3ReadOnlyAccess`** anzuhängen, wenn Sie im nächsten Schritt die reine Metadaten-Inline-Richtlinie verwenden möchten.
      </Step>

      <Step title="Reine Metadaten-Inline-Richtlinie erstellen">
        Erstellen Sie die Rolle bei Bedarf mit einem Platzhalternamen, öffnen Sie dann die Rolle → **Berechtigungen** → **Create inline policy** → JSON-Editor. Fügen Sie Folgendes ein:

        ```json lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "s3:ListAllMyBuckets",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketAcl",
                "s3:GetBucketVersioning",
                "s3:GetBucketTagging",
                "s3:GetBucketLogging",
                "s3:GetBucketNotification",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetEncryptionConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:GetReplicationConfiguration",
                "s3:GetBucketCORS",
                "s3:GetBucketWebsite",
                "s3:GetBucketObjectLockConfiguration"
              ],
              "Resource": "*"
            }
          ]
        }
        ```

        Speichern Sie die Inline-Richtlinie.

        <Note>
          Diese Richtlinie **schließt** `s3:GetObject` und zugehörige Objekt-Lese-APIs bewusst **aus**, sodass Iru keine Objektinhalte abrufen kann – nur Metadaten auf Bucket-Ebene.
        </Note>
      </Step>

      <Step title="Rollen-ARN kopieren">
        Kopieren Sie den **ARN** der Rolle von der Übersichtsseite der Rolle. Wechseln Sie zurück zur Registerkarte [**Iru Compliance**](#iru-compliance) und schließen Sie [**Rollen-ARN in Iru übermitteln**](#submit-the-role-arn-in-iru) ab.
      </Step>

      <Step title="Vertrauensstellung überprüfen">
        Öffnen Sie **Trust relationships** und vergewissern Sie sich, dass das JSON mit dem Assistenten übereinstimmt – Tippfehler in der externen ID sind die häufigste Ursache für **`AssumeRole`**-Fehler.
      </Step>
    </Steps>

    <Note>
      Fahren Sie auf der Registerkarte [**Iru Compliance**](#iru-compliance) fort, um den **Role ARN** einzufügen und den Assistenten abzuschließen ([**Rollen-ARN in Iru übermitteln**](#submit-the-role-arn-in-iru)).
    </Note>
  </Tab>
</Tabs>

### Fehlerbehebung

<AccordionGroup>
  <Accordion title="Beim Aktivieren der Quelle öffnet sich nichts">
    Überprüfen Sie die Einstellungen des **Pop-up-Blockers** für die Iru-Website und versuchen Sie es erneut.
  </Accordion>

  <Accordion title="AssumeRole verweigert">
    Die externe ID stimmt nicht überein – kopieren Sie sie erneut aus Iru, ohne überflüssige Leerzeichen.
  </Accordion>

  <Accordion title="Zeilen zu Bucket-Richtlinien fehlen">
    Bucket-Ressourcenrichtlinien können kontoübergreifende Lesezugriffe verweigern, auch wenn IAM sie zulässt.
  </Accordion>

  <Accordion title="Verschlüsselungseinstellungen fehlen">
    Vergewissern Sie sich, dass `s3:GetEncryptionConfiguration` in der Inline-Richtlinie enthalten geblieben ist.
  </Accordion>
</AccordionGroup>

### Hinweise

<CardGroup cols={2}>
  <Card title="Buckets sind regional, aber ListAllMyBuckets ist…" icon="circle-info">
    Buckets sind **regional**, aber `ListAllMyBuckets` ist global – rechnen Sie bei der Inventarisierung mit Folgeaufrufen in mehreren Regionen.
  </Card>

  <Card title="Explizite Deny-Anweisungen in Bucket-Richtlinien blockieren…" icon="shield">
    Explizite **Verweigern**-Anweisungen in Bucket-Richtlinien blockieren Lesezugriffe unabhängig von IAM-Freigaben – dokumentieren Sie die Erwartungen gemeinsam mit Auditoren.
  </Card>
</CardGroup>

### Verwandte Artikel

<CardGroup cols={2}>
  <Card title="Quellenverwaltung" icon="plug" href="/de/compliance/sources-management">
    Alle Compliance-Quellen durchsuchen und verwalten.
  </Card>

  <Card title="Erste Schritte mit Compliance" icon="rocket" href="/de/compliance/getting-started-with-compliance">
    Frameworks, Aktionen und **Artefakte**.
  </Card>

  <Card title="Iru-Übersicht" icon="layer-group" href="/de/iru/platform-overview/iru-overview">
    Wie Endpoint, Compliance und Identity zusammenwirken.
  </Card>

  <Card title="Artifacts-Verwaltung" icon="folder-open" href="/de/compliance/artifacts-management">
    Nachweise aus Quellen und Aktionen hochladen, prüfen und organisieren.
  </Card>
</CardGroup>