AWS Application Discovery Service Beispiele für identitätsbasierte Richtlinien

Standardmäßig haben IAM-Benutzer und -Rollen keine Berechtigung zum Erstellen oder Ändern von Application Discovery Service-Ressourcen. Sie können auch keine Aufgaben über die AWS Management Console AWS CLI, die oder die AWS API ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern und Rollen die Berechtigung zum Ausführen bestimmter API-Operationen für die angegebenen Ressourcen gewähren, die diese benötigen. Der Administrator muss diese Richtlinien anschließend den IAM-Benutzern oder -Gruppen anfügen, die diese Berechtigungen benötigen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von Richtlinien auf der JSON-Registerkarte im IAM-Benutzerhandbuch.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Application Discovery Service-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

• Erste Schritte mit - AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Berechtigungen – Um Ihren Benutzern und Workloads Berechtigungen zu erteilen, verwenden Sie die -AWS verwalteten Richtlinien, die Berechtigungen für viele häufige Anwendungsfälle gewähren. Sie sind in Ihrem verfügbar AWS-Konto. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die für Ihre Anwendungsfälle spezifisch sind. Weitere Informationen finden Sie unter AWS -verwaltete Richtlinien oder AWS -verwaltete Richtlinien für Auftrags-Funktionen im IAM-Benutzerhandbuch.

• Anwendung von Berechtigungen mit den geringsten Rechten:Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter Richtlinien und Berechtigungen in IAM im IAM-Benutzerhandbuch.

• Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Service-Aktionen zu gewähren, wenn sie über eine bestimmte verwendet werden AWS-Service, z. B. AWS CloudFormation. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.

• Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter Richtlinienvalidierung zum IAM Access Analyzer im IAM-Benutzerhandbuch.

• Multi-Faktor-Authentifizierung (MFA) erforderlich – Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter Konfigurieren eines MFA-geschützten API-Zugriffs im IAM-Benutzerhandbuch.

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Gewähren von vollständigem Zugriff auf Application Discovery Service

Die AWSApplicationDiscoveryServiceFullAccess verwaltete Richtlinie gewährt dem IAM-Benutzerkonto Zugriff auf die APIs Application Discovery Service und Migration Hub APIs.

Ein IAM-Benutzer, dem diese Richtlinie an sein Konto angefügt ist, kann Application Discovery Service konfigurieren, Kundendienstmitarbeiter starten und stoppen, die agentenlose Erkennung starten und beenden und Daten aus der AWS Discovery-Service-Datenbank abfragen. Weitere Informationen zu dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

Beispiel AWSApplicationDiscoveryServiceFullAccess Richtlinie

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "mgh:*",
                "discovery:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "iam:GetRole"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Gewähren des Zugriffs auf Discovery-Agenten

Die AWSApplicationDiscoveryAgentAccess verwaltete Richtlinie gewährt dem Application Discovery Agent Zugriff auf die Registrierung und Kommunikation mit dem Application Discovery Service. Weitere Informationen zu dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

Fügen Sie diese Richtlinie jedem Benutzer an, dessen Anmeldeinformationen vom Application Discovery Agent verwendet werden.

Diese Richtlinie gewährt dem Benutzer außerdem den Zugriff auf Arsenal. Arsenal ist ein Agent-Service, der von verwaltet und gehostet wird AWS. Arsenal leitet Daten an Application Discovery Service in der Cloud weiter.

Beispiel AWSApplicationDiscoveryAgentAccess Richtlinie

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "arsenal:RegisterOnPremisesAgent"
            ],
            "Resource": "*"
        }
    ]
}

Erteilen von Berechtigungen für die Erfassung von Kundendienstmitarbeiterdaten

Die ApplicationDiscoveryServiceContinuousExportServiceRoleRichtlinie ermöglicht es AWS Application Discovery Service , Amazon-Data-Firehose-Streams zu erstellen, um Daten zu transformieren und bereitzustellen, die von Application-Discovery-Service-Agenten in einem Amazon S3-Bucket in Ihrem AWS Konto erfasst werden.

Darüber hinaus erstellt diese Richtlinie einen - AWS Glue Datenkatalog mit einer neuen Datenbank namens application_discovery_service_database und Tabellenschemata für die Zuordnung von Daten, die von den Agenten erfasst werden.

Weitere Informationen zur Verwendung dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

Beispiel ApplicationDiscoveryServiceContinuousExportServiceRoleRichtlinie

{
   "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "glue:CreateDatabase",
                "glue:UpdateDatabase",
                "glue:CreateTable",
                "glue:UpdateTable",
                "firehose:CreateDeliveryStream",
                "firehose:DescribeDeliveryStream",
                "logs:CreateLogGroup"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "firehose:DeleteDeliveryStream",
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:UpdateDestination"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:PutBucketLogging",
                "s3:PutEncryptionConfiguration"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*/*"
        },
        {
            "Action": [
                "logs:CreateLogStream",
                "logs:PutRetentionPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        }
    ]        
}

Erteilen von Berechtigungen für die Datenexploration

Die AWSDiscoveryContinuousExportFirehosePolicy Richtlinie ist erforderlich, um die Datenexploration in Amazon Athena zu verwenden. Damit kann Amazon Data Firehose Daten schreiben, die vom Application Discovery Service in Amazon S3 gesammelt werden. Weitere Informationen zur Verwendung dieser Richtlinie finden Sie unter Erstellen der AWSApplicationDiscoveryServiceFirehose Rolle.

Beispiel AWSDiscoveryContinuousExportFirehosePolicy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetTableVersions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::aws-application-discovery-service-*",
                "arn:aws:s3:::aws-application-discovery-service-*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose:log-stream:*"
            ]
        }
    ]
}

Erteilen von Berechtigungen zur Verwendung des Netzwerkdiagramms der Migration Hub-Konsole

Um beim Erstellen einer identitätsbasierten Richtlinie, die den Zugriff auf Application Discovery Service oder Migration Hub erlaubt oder verweigert, Zugriff auf das AWS Migration Hub Konsolennetzwerkdiagramm zu gewähren, müssen Sie der Richtlinie möglicherweise die discovery:GetNetworkConnectionGraph Aktion hinzufügen.

Sie müssen die -discovery:GetNetworkConnectionGraphAktion in neuen Richtlinien verwenden oder ältere Richtlinien aktualisieren, wenn für die Richtlinie beide Bedingungen zutreffen:

• Die Richtlinie erlaubt oder verweigert den Zugriff auf Application Discovery Service oder Migration Hub.

• Die Richtlinie gewährt Zugriffsberechtigungen mit einer spezifischeren Erkennungsaktion wie discovery:action-name statt discovery:*.

Das folgende Beispiel zeigt, wie Sie die -discovery:GetNetworkConnectionGraphAktion in einer IAM-Richtlinie verwenden.

Beispiel

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["discovery:GetNetworkConnectionGraph"],
            "Resource": "*"
        }
    ]
}

Informationen zum Migration Hub-Netzwerkdiagramm finden Sie unter Anzeigen von Netzwerkverbindungen in Migration Hub.