AWS Application Discovery Service Beispiele für identitätsbasierte Richtlinien

Standardmäßig sind IAM-Benutzer und -Rollen nicht berechtigt, Application Discovery Service Service-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mit der AWS Management Console AWS CLI, oder AWS API ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern und Rollen die Berechtigung zum Ausführen bestimmter API-Operationen für die angegebenen Ressourcen gewähren, die diese benötigen. Der Administrator muss diese Richtlinien anschließend den IAM-Benutzern oder -Gruppen anfügen, die diese Berechtigungen benötigen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von Richtlinien auf der JSON-Registerkarte im IAM-Benutzerhandbuch.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Application Discovery Service Service-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

• Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten — Verwenden Sie die AWS verwalteten Richtlinien, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter AWS -verwaltete Richtlinien oder AWS -verwaltete Richtlinien für Auftrags-Funktionen im IAM-Benutzerhandbuch.

• Anwendung von Berechtigungen mit den geringsten Rechten – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter Richtlinien und Berechtigungen in IAM im IAM-Benutzerhandbuch.

• Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. AWS CloudFormation B. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.

• Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter Richtlinienvalidierung zum IAM Access Analyzer im IAM-Benutzerhandbuch.

• Multi-Faktor-Authentifizierung (MFA) erforderlich — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter Konfigurieren eines MFA-geschützten API-Zugriffs im IAM-Benutzerhandbuch.

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Vollzugriff auf den Application Discovery Service gewähren

Die AWSApplicationDiscoveryServiceFullAccess verwaltete Richtlinie gewährt dem IAM-Benutzerkonto Zugriff auf die APIs Application Discovery Service und Migration Hub.

Ein IAM-Benutzer, dem diese Richtlinie mit seinem Konto verknüpft ist, kann den Application Discovery Service konfigurieren, Agents starten und beenden, die agentenlose Erkennung starten und beenden und Daten aus der AWS Discovery Service-Datenbank abfragen. Weitere Informationen zu dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

Beispiel AWSApplicationDiscoveryServiceFullAccess Richtlinie

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "mgh:*",
                "discovery:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "iam:GetRole"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Discovery-Agents Zugriff gewähren

Die AWSApplicationDiscoveryAgentAccess verwaltete Richtlinie gewährt dem Application Discovery Agent Zugriff auf die Registrierung und Kommunikation mit dem Application Discovery Service. Weitere Informationen zu dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

Ordnen Sie diese Richtlinie jedem Benutzer zu, dessen Anmeldeinformationen vom Application Discovery Agent verwendet werden.

Diese Richtlinie gewährt dem Benutzer außerdem den Zugriff auf Arsenal. Arsenal ist ein Agentendienst, der von verwaltet und gehostet wird AWS. Arsenal leitet Daten an den Application Discovery Service in der Cloud weiter.

Beispiel AWSApplicationDiscoveryAgentAccess Richtlinie

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "arsenal:RegisterOnPremisesAgent"
            ],
            "Resource": "*"
        }
    ]
}

Erteilen von Berechtigungen für die Erfassung von Agentendaten

Die ApplicationDiscoveryServiceContinuousExportServiceRolePolicy verwaltete Richtlinie ermöglicht AWS Application Discovery Service die Erstellung von Amazon Data Firehose-Streams zur Transformation und Übertragung von Daten, die von Application Discovery Service Service-Agenten gesammelt wurden, an einen Amazon S3 S3-Bucket in Ihrem AWS Konto.

Darüber hinaus erstellt diese Richtlinie einen AWS Glue Datenkatalog mit einer neuen Datenbank namens application_discovery_service_database und Tabellenschemas für die Zuordnung von Daten, die von den Agenten gesammelt wurden.

Weitere Informationen zur Verwendung dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

Beispiel ApplicationDiscoveryServiceContinuousExportServiceRolePolicy

{
   "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "glue:CreateDatabase",
                "glue:UpdateDatabase",
                "glue:CreateTable",
                "glue:UpdateTable",
                "firehose:CreateDeliveryStream",
                "firehose:DescribeDeliveryStream",
                "logs:CreateLogGroup"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "firehose:DeleteDeliveryStream",
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:UpdateDestination"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:PutBucketLogging",
                "s3:PutEncryptionConfiguration"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*/*"
        },
        {
            "Action": [
                "logs:CreateLogStream",
                "logs:PutRetentionPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        }
    ]        
}

Erteilung von Berechtigungen für die Datenexploration

Die AWSDiscoveryContinuousExportFirehosePolicy Richtlinie ist erforderlich, um die Datenexploration in Amazon Athena nutzen zu können. Es ermöglicht Amazon Data Firehose, Daten, die vom Application Discovery Service gesammelt wurden, in Amazon S3 zu schreiben. Weitere Informationen zur Verwendung dieser Richtlinie finden Sie unter Erstellen der AWSApplicationDiscoveryServiceFirehose Rolle.

Beispiel AWSDiscoveryContinuousExportFirehosePolicy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetTableVersions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::aws-application-discovery-service-*",
                "arn:aws:s3:::aws-application-discovery-service-*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose:log-stream:*"
            ]
        }
    ]
}

Erteilen von Berechtigungen zur Verwendung des Netzwerkdiagramms der Migration Hub Hub-Konsole

Um beim Erstellen einer identitätsbasierten Richtlinie, die den Zugriff auf Application Discovery Service oder Migration Hub erlaubt oder verweigert, Zugriff auf das AWS Migration Hub Konsolen-Netzwerkdiagramm zu gewähren, müssen Sie die discovery:GetNetworkConnectionGraph Aktion möglicherweise der Richtlinie hinzufügen.

Sie müssen die discovery:GetNetworkConnectionGraph Aktion in neuen Richtlinien verwenden oder ältere Richtlinien aktualisieren, wenn Folgendes für die Richtlinie zutrifft:

• Die Richtlinie erlaubt oder verweigert den Zugriff auf den Application Discovery Service oder den Migration Hub.

• Die Richtlinie gewährt Zugriffsberechtigungen mithilfe einer weiteren spezifischen Discovery-Aktion wie discovery:action-name stattdiscovery:*.

Das folgende Beispiel zeigt, wie die discovery:GetNetworkConnectionGraph Aktion in einer IAM-Richtlinie verwendet wird.

Beispiel

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["discovery:GetNetworkConnectionGraph"],
            "Resource": "*"
        }
    ]
}

Informationen zum Migration Hub-Netzwerkdiagramm finden Sie unter Netzwerkverbindungen in Migration Hub anzeigen.