> ## Documentation Index > Fetch the complete documentation index at: https://docs.enclave.ai/llms.txt > Use this file to discover all available pages before exploring further. > ## Agent Instructions > Enclave in these docs is the code and cloud security platform at enclave.ai. It is not Open Enclave, Intel SGX or other hardware enclaves, or enclave.gg. > People use Enclave in the web app at https://app.enclave.ai or the desktop app. These docs describe no public Enclave API or CLI, so don't invent endpoints, commands, or config files. > Connecting an integration needs a person to sign in and approve access in a browser. Tell the user the exact step to take instead of saying you completed it. # AWS > Verbinden Sie ein AWS-Konto über eine IAM-Rolle mit Lesezugriff, damit Enclave Ihre Cloud erfassen und prüfen kann, ob Findings erreichbar sind. Verbinden Sie ein AWS-Konto, damit Enclave dessen Ressourcen und Identitäten erfassen und erkennen kann, welche Findings erreichbar sind. Der Zugriff ist rein lesend. ## Was Enclave benötigt Eine kontoübergreifende IAM-Rolle namens `EnclaveScanner` mit **Leseberechtigungen**. Ein CloudFormation-Template erstellt sie für Sie. Die Trust Policy der Rolle erlaubt nur dem Principal von Enclave, die Rolle zu übernehmen, und nur mit einer für Ihre Organisation generierten External ID. Die Policy `EnclaveScannerReadOnly` der Rolle erlaubt `Describe`-, `List`- und `Get`-Aktionen für: * **Compute**: EC2, ECS, EKS, Lambda, Batch und Step Functions. * **Netzwerk**: VPC-Ressourcen über EC2, Elastic Load Balancing, Route 53, CloudFront und API Gateway. * **Daten**: RDS, DynamoDB, ElastiCache sowie die Namen von SQS-Queues, SNS-Topics, Kinesis-Streams und MSK-Clustern. * **Speicher**: Konfiguration, Policies, ACLs und Einstellungen für öffentlichen Zugriff von S3-Buckets. Keine Objekte werden gelesen. * **Container**: ECR-Repositorys. * **Identität**: IAM-Rollen, -Benutzer, -Gruppen, Instance Profiles und deren Policies. Keine ändernden Aktionen und kein Datenzugriff über Metadaten hinaus. ## Bevor Sie beginnen * Sie benötigen in Enclave die Rolle **Owner** oder **Admin**. * In AWS benötigen Sie im zu verbindenden Konto die Berechtigung, CloudFormation-Stacks **und IAM-Rollen** zu erstellen. > [!WARNING] > > Der Stack erstellt eine IAM-Rolle. Daher fordert CloudFormation Sie auf zu bestätigen, dass IAM-Ressourcen erstellt werden. Wenn Ihr AWS-Benutzer keine IAM-Rollen erstellen darf, schlägt der Stack fehl. Klicken Sie auf **Copy link** und senden Sie den Link an jemanden mit dieser Berechtigung. ## AWS-Konto verbinden Öffnen Sie **Settings → Integrations** und klicken Sie neben **Amazon Web Services** auf **Connect**. **1. CloudFormation öffnen** Klicken Sie auf **Open CloudFormation**. AWS öffnet eine Quick-Create-Seite für den Stack `EnclaveScanner` in `us-east-1`, in der die External ID Ihrer Organisation und der Principal-ARN von Enclave bereits ausgefüllt sind. Prüfen Sie den Stack und erstellen Sie ihn. Wenn jemand anderes ihn ausführen soll, klicken Sie auf **Copy link** und senden Sie den Link. **2. RoleArn aus den Outputs kopieren** Wenn der Stack fertig ist, öffnen Sie **CloudFormation → Stacks → EnclaveScanner → Outputs**. Kopieren Sie den **Value** in der Zeile, in der **Key** `RoleArn` ist. **3. Rolle validieren** Fügen Sie den ARN in **RoleArn output** ein und klicken Sie auf **Validate role**. Enclave übernimmt die Rolle, um zu bestätigen, dass die Vertrauensstellung funktioniert. Bei Erfolg ist das Konto verbunden, und Enclave beginnt mit dem Scan. > [!TIP] > > Klicken Sie auf **Finish later**, um Ihren Fortschritt zu speichern. Schließen Sie die Einrichtung unter **Settings → Integrations → Amazon Web Services** ab, sobald der Stack bereit ist. ## Weitere Konten hinzufügen Sie können mehr als ein AWS-Konto verbinden, zum Beispiel `prod` und `staging`. Klicken Sie auf **Add account**, starten Sie den Stack `EnclaveScanner` im anderen Konto und validieren Sie dessen `RoleArn`. Jedes verbundene Konto steht Ihrer gesamten Organisation zur Verfügung. ## Verbindung verwalten Klicken Sie unter **Settings → Integrations → Amazon Web Services** auf ein Konto, um dessen Konto-ID, Rollen-ARN und Regionen zu sehen. * **Re-validate** prüft, ob Enclave die Rolle weiterhin übernehmen kann. * **Delete** entfernt ein einzelnes Konto aus der Verbindung. * **Disconnect AWS** entfernt die gesamte Verbindung. Enclave verwendet diese Konten dann nicht mehr. Unter **CloudTrail notifications** können Sie optional einen CloudTrail-Trail verbinden. Enclave aktualisiert dann das Inventar eines Kontos, sobald sich dessen Ressourcen ändern, statt auf den täglichen Scan zu warten. Um den Zugriff in AWS zu widerrufen, löschen Sie den Stack `EnclaveScanner` oder die Rolle. Enclave kann das Konto dann nicht mehr scannen. ## Was Enclave tut und was nicht * **Tut**: die lesenden Aktionen der Policy `EnclaveScannerReadOnly` aufrufen. * **Tut nicht**: etwas ändern, Datennutzlasten lesen, langlebige Anmeldedaten speichern oder Agents in Ihrem Konto ausführen. Enclave übernimmt die Rolle mit kurzlebigen STS-Anmeldedaten, die auf die von Ihnen eingerichtete Rolle und External ID beschränkt sind. Sie können die Rolle jederzeit in Ihrem AWS-Konto widerrufen. ## Fehlerbehebung * **AWS STS could not assume the role**: Der Stack fehlt oder seine External ID passt nicht zu dieser Enclave-Verbindung. Klicken Sie erneut auf **Open CloudFormation**. Erstellen Sie den Stack `EnclaveScanner` neu, falls er gelöscht wurde, oder aktualisieren Sie ihn, falls er existiert. Kopieren Sie dann den neuen `RoleArn` und validieren Sie erneut. * **"That ARN is the Enclave principal"**: Sie haben den Principal-ARN von Enclave statt des ARN Ihrer Rolle eingefügt. Fügen Sie den Wert `RoleArn` aus dem Tab **Outputs** des Stacks ein. * **Assets erscheinen nicht in Coverage**: Enclave scannt, wenn ein Konto verbunden wird, und danach einmal täglich. Um sofort zu scannen, klicken Sie in [Coverage](https://docs.enclave.ai/de/onboarding/coverage.md) auf **Analyze Environment**. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.