{"meta":{"title":"Konfigurieren von OpenID Connect in Amazon Web Services","intro":"Verwende OpenID Connect in deinen Workflows, um dich bei Amazon Web Services zu authentifizieren.","product":"GitHub Actions","breadcrumbs":[{"href":"/de/actions","title":"GitHub Actions"},{"href":"/de/actions/how-tos","title":"Anleitungen"},{"href":"/de/actions/how-tos/secure-your-work","title":"Schütze deine Arbeit"},{"href":"/de/actions/how-tos/secure-your-work/security-harden-deployments","title":"Sicherheitshärtungen bei Bereitstellungen"},{"href":"/de/actions/how-tos/secure-your-work/security-harden-deployments/oidc-in-aws","title":"OIDC in AWS"}],"documentType":"article"},"body":"# Konfigurieren von OpenID Connect in Amazon Web Services\n\nVerwende OpenID Connect in deinen Workflows, um dich bei Amazon Web Services zu authentifizieren.\n\n## Übersicht\n\nOpenID Connect (OIDC) ermöglicht Es Ihren GitHub Actions Workflows, auf Ressourcen in Amazon Web Services (AWS) zuzugreifen, ohne die AWS-Anmeldeinformationen als langlebige geheime GitHub Schlüssel zu speichern.\n\nIn diesem Leitfaden wird erläutert, wie AWS so konfiguriert wird, dass GitHub OIDC als Verbundidentität vertraut. Er enthält ein Beispiel-Workflow für die [`aws-actions/configure-aws-credentials`](https://github.com/aws-actions/configure-aws-credentials), die Tokens nutzen, um sich bei AWS zu authentifizieren und auf Ressourcen zuzugreifen.\n\n> \\[!NOTE]\n> Die Unterstützung für benutzerdefinierte Ansprüche für OIDC ist in AWS nicht verfügbar.\n\n## Voraussetzungen\n\n* Informationen zu den grundlegenden Konzepten, nach denen GitHub OpenID Connect (OIDC) sowie die Architektur und Vorteile des Protokolls verwendet, findest du unter [OpenID Connect](/de/actions/deployment/security-hardening-your-deployments/about-security-hardening-with-openid-connect).\n\n* Bevor du fortfährst, musst du deine Sicherheitsstrategie planen, um sicherzustellen, dass Zugriffs-Token nur auf vorhersehbare Weise zugewiesen werden. Zur Steuerung, wie dein Cloud-Anbieter Zugriffs-Token ausgibt, **musst** du mindestens eine Bedingung definieren, damit nicht vertrauenswürdige Repositorys keine Zugriffs-Token für deine Cloud-Ressourcen anfordern können. Weitere Informationen finden Sie unter [OpenID Connect](/de/actions/deployment/security-hardening-your-deployments/about-security-hardening-with-openid-connect#configuring-the-oidc-trust-with-the-cloud).\n\n## Hinzufügen des Identitätsanbieters zu AWS\n\nInformationen zum Hinzufügen des GitHub OIDC-Anbieters zu IAM finden Sie in der [AWS-Dokumentation](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_oidc.html).\n\n* Für die Anbieter-URL: Verwenden Sie `https://token.actions.githubusercontent.com`\n* Für die „Zielgruppe“: Verwende `sts.amazonaws.com`, wenn du die [offizielle Aktion](https://github.com/aws-actions/configure-aws-credentials) verwendest.\n\n### Konfigurieren der Rolle und der Vertrauensstellungsrichtlinie\n\nInformationen zum Konfigurieren der Rolle und Vertrauensstellung in IAM finden Sie in der AWS-Dokumentation [Configure AWS Credentials für GitHub Actions](https://github.com/aws-actions/configure-aws-credentials#configure-aws-credentials-for-github-actions) und [Configuring a role for GitHub OIDC identity provider](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp_oidc.html#idp_oidc_Create_GitHub).\n\n> \\[!NOTE]\n> AWS Identity and Access Management (IAM) empfiehlt Benutzern, den IAM-Bedingungsschlüssel in der Vertrauensrichtlinie einer beliebigen Rolle zu bewerten, `token.actions.githubusercontent.com:sub`die dem OIDC-Identitätsanbieter GitHub(IdP) vertraut. Die Auswertung dieses Bedingungsschlüssels in der Rollenvertrauensrichtlinie beschränkt, welche GitHub Aktionen die Rolle annehmen können.\n\nBearbeiten Sie die Vertrauensstellungsrichtlinie und fügen Sie das `sub`-Feld zu den Überprüfungsbedingungen hinzu. Zum Beispiel:\n\n```json copy\n\"Condition\": {\n  \"StringEquals\": {\n    \"token.actions.githubusercontent.com:aud\": \"sts.amazonaws.com\",\n    \"token.actions.githubusercontent.com:sub\": \"repo:octo-org/octo-repo:ref:refs/heads/octo-branch\"\n  }\n}\n```\n\nWenn Sie einen Workflow mit einer Umgebung verwenden, muss das `sub`-Feld auf den Namen der Umgebung verweisen: `repo:ORG-NAME/REPO-NAME:environment:ENVIRONMENT-NAME`. Weitere Informationen finden Sie unter [OpenID Connect-Referenz](/de/actions/reference/openid-connect-reference#filtering-for-a-specific-environment).\n\n> \\[!NOTE]\n> Wenn Umgebungen in Workflows oder in OIDC-Richtlinien verwendet werden, wird empfohlen, der Umgebung Schutzregeln für zusätzliche Sicherheit hinzuzufügen. Du kannst z. B. Bereitstellungsregeln für eine Umgebung konfigurieren, um einzuschränken, welche Verzweigungen und Tags in der Umgebung oder in geheimen Umgebungsschlüsseln bereitgestellt werden können. Weitere Informationen finden Sie unter [Verwalten von Umgebungen für die Bereitstellung](/de/actions/deployment/targeting-different-environments/managing-environments-for-deployment#deployment-protection-rules).\n\n```json copy\n\"Condition\": {\n  \"StringEquals\": {\n    \"token.actions.githubusercontent.com:aud\": \"sts.amazonaws.com\",\n    \"token.actions.githubusercontent.com:sub\": \"repo:octo-org/octo-repo:environment:prod\"\n  }\n}\n```\n\nIm folgenden Beispiel wird `StringLike` mit einem Platzhalteroperator (`*`) verwendet, um jedem Branch, jedem Branch für das Mergen des Pull Requests oder jeder Umgebung aus der Organisation und dem Repository `octo-org/octo-repo` die Übernahme einer Rolle in AWS zu ermöglichen.\n\n```json copy\n{\n    \"Version\": \"2012-10-17\",\n    \"Statement\": [\n        {\n            \"Effect\": \"Allow\",\n            \"Principal\": {\n                \"Federated\": \"arn:aws:iam::123456123456:oidc-provider/token.actions.githubusercontent.com\"\n            },\n            \"Action\": \"sts:AssumeRoleWithWebIdentity\",\n            \"Condition\": {\n                \"StringLike\": {\n                    \"token.actions.githubusercontent.com:sub\": \"repo:octo-org/octo-repo:*\"\n                },\n                \"StringEquals\": {\n                    \"token.actions.githubusercontent.com:aud\": \"sts.amazonaws.com\"\n                }\n            }\n        }\n    ]\n}\n```\n\n## Aktualisieren des GitHub Actions Workflows\n\nUm deine Workflows für OIDC zu aktualisieren, musst du zwei Änderungen an deinen YAML-Daten vornehmen:\n\n1. Füge Berechtigungseinstellungen für das Token hinzu.\n2. Tausche mit der [`aws-actions/configure-aws-credentials`](https://github.com/aws-actions/configure-aws-credentials)-Aktion das OIDC-Token (JWT) gegen ein Cloudzugriffstoken aus.\n\n### Hinzufügen von Berechtigungseinstellungen\n\nFür die Job- oder Workflow-Ausführung ist eine `permissions`-Einstellung mit [`id-token: write`](/de/actions/security-guides/automatic-token-authentication#modifying-the-permissions-for-the-github_token) erforderlich, damit der OIDC-Anbieter von GitHub für jede Ausführung einen JSON-Web-Token erstellen kann.\n\n> \\[!NOTE] Wenn du `id-token: write` in den Berechtigungen des Workflows festlegst, erhält der Workflow keine Berechtigung zum Ändern oder Schreiben in Ressourcen. Stattdessen kann der Workflow ausschließlich ein OIDC-Token für eine Aktion oder einen Schritt anfordern (abrufen) und verwenden (festlegen). Dieses Token wird anschließend zur Authentifizierung bei externen Diensten mithilfe eines kurzlebigen Zugriffstokens verwendet.\n\nAusführliche Informationen zu erforderlichen Berechtigungen, Konfigurationsbeispielen und erweiterten Szenarios findest du unter [OpenID Connect-Referenz](/de/actions/reference/openid-connect-reference##workflow-permissions-for-the-requesting-the-oidc-token).\n\n### Anfordern des Zugriffstokens\n\nDie `aws-actions/configure-aws-credentials` Aktion empfängt einen JWT vom GitHub OIDC-Anbieter und fordert dann ein Zugriffstoken von AWS an. Weitere Informationen findest du in der [AWS-Dokumentation](https://github.com/aws-actions/configure-aws-credentials).\n\n* `BUCKET-NAME`: Ersetzen Sie dies durch den Namen Ihres S3-Buckets.\n* `AWS-REGION`: Ersetzen Sie dies durch den Namen Ihrer AWS-Region:\n* `ROLE-TO-ASSUME`: Ersetzen Sie dies durch Ihre AWS-Rolle. Beispiel: `arn:aws:iam::1234567890:role/example-role`\n\n```yaml copy\n# Sample workflow to access AWS resources when workflow is tied to branch\n# The workflow creates a static website using Amazon S3\n# Dieser Workflow verwendet Aktionen, die nicht von GitHub zertifiziert sind.\n# Sie werden von einem Drittanbieter bereitgestellt und unterliegen\n# separaten Nutzungsbedingungen, Datenschutzbestimmungen und Support\n# Onlinedokumentation.\nname: AWS example workflow\non:\n  push\nenv:\n  BUCKET_NAME : \"BUCKET-NAME\"\n  AWS_REGION : \"AWS-REGION\"\n# permission can be added at job level or workflow level\npermissions:\n  id-token: write   # This is required for requesting the JWT\n  contents: read    # This is required for actions/checkout\njobs:\n  S3PackageUpload:\n    runs-on: ubuntu-latest\n    steps:\n      - name: Git clone the repository\n        uses: actions/checkout@v6\n      - name: configure aws credentials\n        uses: aws-actions/configure-aws-credentials@e3dd6a429d7300a6a4c196c26e071d42e0343502\n        with:\n          role-to-assume: ROLE-TO-ASSUME\n          role-session-name: samplerolesession\n          aws-region: ${{ env.AWS_REGION }}\n      # Upload a file to AWS s3\n      - name: Copy index.html to s3\n        run: |\n          aws s3 cp ./index.html s3://${{ env.BUCKET_NAME }}/\n```\n\n## Weitere Informationen\n\n* [Verwenden von OpenID Connect mit wiederverwendbaren Workflows](/de/actions/deployment/security-hardening-your-deployments/using-openid-connect-with-reusable-workflows)\n* [Referenzen zu selbstgehosteten Runnern](/de/actions/hosting-your-own-runners/managing-self-hosted-runners/communicating-with-self-hosted-runners)"}