AWSVerwaltete Richtlinien für AWS Migration Hub Refactor Spaces

Um Benutzern, Gruppen und Rollen Berechtigungen hinzuzufügen, ist es einfacher, von AWS verwaltete Richtlinien zu verwenden, als selbst Richtlinien zu schreiben. Es erfordert Zeit und Fachwissen, um von Kunden verwaltete IAM-Richtlinien zu erstellen, die Ihrem Team nur die benötigten Berechtigungen bieten. Um schnell loszulegen, können Sie unsere von AWS verwalteten Richtlinien verwenden. Diese Richtlinien decken allgemeine Anwendungsfälle ab und sind in Ihrem AWS-Konto verfügbar. Weitere Informationen zu von AWS verwalteten Richtlinien finden Sie unter AWS-verwaltete Richtlinien im IAM-Leitfaden.

AWS-Services pflegen und Aktualisieren von AWS-verwalteten Richtlinien. Die Berechtigungen in von AWS verwalteten Richtlinien können nicht geändert werden. Services fügen einer von AWS verwalteten Richtlinien gelegentlich zusätzliche Berechtigungen hinzu, um neue Funktionen zu unterstützen. Diese Art von Update betrifft alle Identitäten (Benutzer, Gruppen und Rollen), an welche die Richtlinie angehängt ist. Services aktualisieren eine von AWS verwaltete Richtlinie am ehesten, wenn eine neue Funktion gestartet wird oder neue Vorgänge verfügbar werden. Services entfernen keine Berechtigungen aus einer von AWS verwalteten Richtlinie, so dass Richtlinien-Aktualisierungen Ihre vorhandenen Berechtigungen nicht beeinträchtigen.

AWSVerwaltete Richtlinie: awsmigrationHubreFactorSpacesFullAccess

Sie können die AWSMigrationHubRefactorSpacesFullAccess-Richtlinie an Ihre IAM-Identitäten anfügen.

DieAWSMigrationHubRefactorSpacesFullAccessRichtlinie gewährt vollen Zugriff auf AWS Migration Hub Refactor Spaces, die Funktionen der Refactor Spaces-Konsole und andere verwandteAWS-Services.

Berechtigungsdetails

DieAWSMigrationHubRefactorSpacesFullAccessDie Richtlinie umfasst die folgenden Berechtigungen.

• refactor-spaces— Ermöglicht dem IAM-Benutzerkonto vollen Zugriff auf Refactor Spaces.

• ec2— Ermöglicht es dem IAM-Benutzerkonto, Amazon Elastic Compute Cloud (Amazon EC2) -Operationen auszuführen, die von Refactor Spaces verwendet werden.

• elasticloadbalancing— Ermöglicht dem IAM-Benutzerkonto, Elastic Load Balancing Balancing-Vorgänge auszuführen, die von Refactor Spaces verwendet werden.

• apigateway— Ermöglicht dem IAM-Benutzerkonto, Amazon API Gateway API-Gateway-Vorgänge durchzuführen, die von Refactor Spaces verwendet werden.

• organizations— Ermöglicht dem IAM-BenutzerkontoAWS OrganizationsOperationen, die von Refactor Spaces verwendet werden.

• cloudformation— Ermöglicht die Ausführung des IAM-BenutzerkontosAWS CloudFormationOperationen zum Erstellen einer Beispielumgebung mit einem Klick von der Konsole aus.

• iam— Ermöglicht das Erstellen einer dienstgebundenen Rolle für das IAM-Benutzerkonto, was für die Verwendung von Refactor Spaces erforderlich ist.

Zusätzliche erforderliche Berechtigungen für Refactor Spaces

Bevor Sie Refactor Spaces verwenden können, zusätzlich zu denAWSMigrationHubRefactorSpacesFullAccessVon Refactor Spaces bereitgestellte verwaltete Richtlinie müssen einem IAM-Benutzer, einer IAM-Gruppe oder einer IAM-Rolle in Ihrem Konto die folgenden zusätzlichen erforderlichen Berechtigungen zugewiesen werden.

• Erteilen Sie die Berechtigung zum Erstellen einer serviceverknüpften Rolle fürAWS Transit Gatewayaus.

• Erteilen Sie die Berechtigung, eine Virtual Private Cloud (VPC) an ein Transit-Gateway für das aufrufende Konto für alle Ressourcen anzuhängen.

• Erteilen Sie die Berechtigung zum Ändern der Berechtigungen für einen VPC-Endpunkt-Service für alle Ressourcen.

• Erteilen Sie die Berechtigung, markierte oder zuvor markierte Ressourcen für das aufrufende Konto für alle Ressourcen zurückzugeben.

• Erteilen Sie die Berechtigung, alle auszuführenAWS Resource Access Manager(AWS RAM) Aktionen für das anrufende Konto für alle Ressourcen.

• Erteilen Sie die Berechtigung, alle auszuführenAWS LambdaAktionen für das anrufende Konto für alle -Ressourcen.

Sie können diese zusätzlichen Berechtigungen erhalten, indem Sie Ihrem IAM-Benutzer, Ihrer IAM-Gruppe oder Ihrer IAM-Rolle Inline-Richtlinien hinzufügen. Anstatt jedoch Inline-Richtlinien zu verwenden, können Sie eine IAM-Richtlinie mit der folgenden Richtlinie erstellen JSON und sie an den IAM-Benutzer, die Gruppe oder die Rolle anhängen.

Die folgende Richtlinie gewährt die zusätzlichen erforderlichen Berechtigungen, um Refactor Spaces verwenden zu können.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "transitgateway.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTransitGatewayVpcAttachment"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:ModifyVpcEndpointServicePermissions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:*"
            ],
            "Resource": "*"
        }
    ]     
 }

Folgendes ist derAWSMigrationHubRefactorSpacesFullAccessRichtlinie.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RefactorSpaces",
            "Effect": "Allow",
            "Action": [
                "refactor-spaces:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpointServiceConfigurations",
                "ec2:DescribeVpcs",
                "ec2:DescribeTransitGatewayVpcAttachments",
                "ec2:DescribeTransitGateways",
                "ec2:DescribeTags",
                "ec2:DescribeTransitGateways",
                "ec2:DescribeAccountAttributes",
                "ec2:DescribeInternetGateways"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTransitGateway",
                "ec2:CreateSecurityGroup",
                "ec2:CreateTransitGatewayVpcAttachment"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/refactor-spaces:environment-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTransitGateway",
                "ec2:CreateSecurityGroup",
                "ec2:CreateTransitGatewayVpcAttachment"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/refactor-spaces:environment-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateVpcEndpointServiceConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteTransitGateway",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:RevokeSecurityGroupIngress",
                "ec2:DeleteSecurityGroup",
                "ec2:DeleteTransitGatewayVpcAttachment",
                "ec2:CreateRoute",
                "ec2:DeleteRoute",
                "ec2:DeleteTags"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/refactor-spaces:environment-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeleteVpcEndpointServiceConfigurations",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/refactor-spaces:application-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:CreateLoadBalancer"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/refactor-spaces:application-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:DescribeLoadBalancers",
                "elasticloadbalancing:DescribeTags",
                "elasticloadbalancing:DescribeTargetHealth",
                "elasticloadbalancing:DescribeTargetGroups",
                "elasticloadbalancing:DescribeListeners"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:RegisterTargets",
                "elasticloadbalancing:CreateLoadBalancerListeners",
                "elasticloadbalancing:CreateListener",
                "elasticloadbalancing:DeleteListener",
                "elasticloadbalancing:DeleteTargetGroup"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/refactor-spaces:route-id": [
                        "*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:DeleteLoadBalancer",
            "Resource": "arn:*:elasticloadbalancing:*:*:loadbalancer/net/refactor-spaces-nlb-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:AddTags",
                "elasticloadbalancing:CreateListener"
            ],
            "Resource": "arn:*:elasticloadbalancing:*:*:loadbalancer/net/refactor-spaces-nlb-*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/refactor-spaces:route-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:DeleteListener",
            "Resource": "arn:*:elasticloadbalancing:*:*:listener/net/refactor-spaces-nlb-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:DeleteTargetGroup",
                "elasticloadbalancing:RegisterTargets"
            ],
            "Resource": "arn:*:elasticloadbalancing:*:*:targetgroup/refactor-spaces-tg-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:AddTags",
                "elasticloadbalancing:CreateTargetGroup"
            ],
            "Resource": "arn:*:elasticloadbalancing:*:*:targetgroup/refactor-spaces-tg-*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/refactor-spaces:route-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GET",
                "apigateway:DELETE",
                "apigateway:PATCH",
                "apigateway:POST",
                "apigateway:PUT",
                "apigateway:UpdateRestApiPolicy"
            ],
            "Resource": [
                "arn:aws:apigateway:*::/restapis",
                "arn:aws:apigateway:*::/restapis/*",
                "arn:aws:apigateway:*::/vpclinks",
                "arn:aws:apigateway:*::/vpclinks/*",
                "arn:aws:apigateway:*::/tags",
                "arn:aws:apigateway:*::/tags/*"
            ],
            "Condition": {
                "Null": {
                    "aws:ResourceTag/refactor-spaces:application-id": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "apigateway:GET",
            "Resource": [
                "arn:aws:apigateway:*::/vpclinks",
                "arn:aws:apigateway:*::/vpclinks/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:CreateStack"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "refactor-spaces.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "elasticloadbalancing.amazonaws.com"
                }
            }
        }
    ]
}

Refactor Spaces aktualisiert aufAWSVerwaltete -Richtlinien

Anzeigen von Details zu Aktualisierungen fürAWSVon verwaltete Richtlinien für Refactor Spaces, seit dieser Dienst mit der Verfolgung dieser Änderungen begonnen hat. Um automatische Warnungen über Änderungen an dieser Seite erhalten, abonnieren Sie den RSS-Feed auf der Dokumentverlauf-Seite Refactor Spaces-Dokument.

Änderung	Beschreibung	Datum
awsmigrationHubreFactorSpacesFullAccess— Neue Richtlinie wird bei Markteinführung zur Verfügung gestellt	DieAWSMigrationHubRefactorSpacesFullAccess-Richtlinie gewährt vollen Zugriff auf Refactor Spaces, die Funktionen der Refactor Spaces-Konsole und andere zugehörigeAWS-Services.	29. November 2021
MigrationHubreFactorSpacesServiceRolePolicy— Neue Richtlinie wird bei Markteinführung zur Verfügung gestellt	MigrationHubRefactorSpacesServiceRolePolicybietet Zugriff aufAWSRessourcen, die von AWS Migration Hub Refactor Spaces verwaltet oder verwendet werden. Die Richtlinie wird von der serviceverknüpften Rolle AWSServiceRoleForMigrationHubreFactorSpaces verwendet.	29. November 2021
Refactor Spaces hat begonnen, Änderungen zu verfolgen	Refactor Spaces hat begonnen, Änderungen für seineAWSVon verwaltete Richtlinien.	29. November 2021