Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Come AWS Database Migration Service funziona con IAM
Prima di utilizzare IAM per gestire l'accesso a AWS DMS, è necessario comprendere con quali IAM funzionalità è possibile utilizzare AWS DMS. Per avere una panoramica generale del funzionamento AWS DMS degli altri AWS serviziIAM, consulta i AWS servizi che funzionano con IAM nella Guida per l'IAMutente.
Argomenti
Policy AWS DMS basate su identità
Con le politiche IAM basate sull'identità, è possibile specificare azioni e risorse consentite o negate, nonché le condizioni in base alle quali le azioni sono consentite o negate. AWS DMS supporta azioni, risorse e chiavi di condizione specifiche. Per informazioni su tutti gli elementi utilizzati in una JSON politica, consulta il riferimento agli elementi IAM JSON della politica nella Guida per l'IAMutente.
Azioni
Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.
L'Action
elemento di una JSON policy descrive le azioni che è possibile utilizzare per consentire o negare l'accesso a una policy. Le azioni politiche in genere hanno lo stesso nome dell' AWS APIoperazione associata. Esistono alcune eccezioni, come le azioni basate solo sulle autorizzazioni che non hanno un'operazione corrispondente. API Esistono anche alcune operazioni che richiedono più operazioni in una policy. Queste operazioni aggiuntive sono denominate operazioni dipendenti.
Includi le operazioni in una policy per concedere le autorizzazioni a eseguire l'operazione associata.
Le azioni politiche AWS DMS utilizzano il seguente prefisso prima dell'azione:. dms:
Ad esempio, per concedere a qualcuno l'autorizzazione a creare un'attività di replica con l' AWS DMS CreateReplicationTask
APIoperazione, è necessario includere l'dms:CreateReplicationTask
azione nella relativa politica. Le dichiarazioni politiche devono includere un NotAction
elemento Action
or. AWS DMS definisce il proprio set di azioni che descrivono le attività che è possibile eseguire con questo servizio.
Per specificare più operazioni in una singola istruzione, separarle con una virgola come mostrato di seguito.
"Action": [ "dms:action1", "dms:action2"
Puoi specificare più operazioni tramite caratteri jolly (*). Ad esempio, per specificare tutte le operazioni che iniziano con la parola Describe
, includi la seguente operazione.
"Action": "dms:Describe*"
Per visualizzare un elenco di AWS DMS azioni, vedere Azioni definite da AWS Database Migration Service nella Guida per l'IAMutente.
Risorse
Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.
L'elemento Resource
JSON policy specifica l'oggetto o gli oggetti a cui si applica l'azione. Le istruzioni devono includere un elemento Resource
o un elemento NotResource
. Come best practice, specifica una risorsa utilizzando il relativo Amazon Resource Name (ARN). Puoi eseguire questa operazione per azioni che supportano un tipo di risorsa specifico, note come autorizzazioni a livello di risorsa.
Per le azioni che non supportano le autorizzazioni a livello di risorsa, ad esempio le operazioni di elenco, utilizza un carattere jolly (*) per indicare che l'istruzione si applica a tutte le risorse.
"Resource": "*"
AWS DMS funziona con le seguenti risorse:
-
Certificati
-
Endpoints
-
Abbonamenti a eventi
-
Istanze di replica
-
Gruppi di sottoreti di replica (sicurezza)
-
Attività di replica
La risorsa o le risorse AWS DMS necessarie dipendono dall'azione o dalle azioni richiamate. È necessaria una politica che consenta queste azioni sulla risorsa o sulle risorse associate specificate dalla risorsa. ARNs
Ad esempio, una risorsa AWS DMS endpoint presenta le seguenti caratteristiche: ARN
arn:${Partition}:dms:${Region}:${Account}:endpoint/${InstanceId}
Per ulteriori informazioni sul formato diARNs, consulta Amazon Resource Names (ARNs) e AWS service namespaces.
Ad esempio, per specificare l'istanza dell'1A2B3C4D5E6F7G8H9I0J1K2L3M
endpoint per la us-east-2
regione nella tua dichiarazione, usa quanto segue. ARN
"Resource": "arn:aws:dms:us-east-2:987654321098:endpoint/1A2B3C4D5E6F7G8H9I0J1K2L3M"
Per specificare tutti gli endpoint che appartengono a un account specifico, utilizza il carattere jolly (*):
"Resource": "arn:aws:dms:us-east-2:987654321098:endpoint/*"
Alcune AWS DMS azioni, come quelle per la creazione di risorse, non possono essere eseguite su una risorsa specifica. In questi casi, è necessario utilizzare il carattere jolly (*).
"Resource": "*"
Alcune AWS DMS API azioni coinvolgono più risorse. Ad esempio, StartReplicationTask
avvia e connette un'attività di replica a due risorse endpoint del database, un'origine e una destinazione, quindi un IAM utente deve disporre delle autorizzazioni per leggere l'endpoint di origine e scrivere sull'endpoint di destinazione. Per specificare più risorse in una singola istruzione, separale con virgole. ARNs
"Resource": [ "resource1", "resource2" ]
Per ulteriori informazioni sul controllo dell'accesso alle AWS DMS risorse mediante le politiche, vedereUtilizzo dei nomi delle risorse per il controllo dell'accesso. Per visualizzare un elenco dei tipi di AWS DMS risorse e relativiARNs, vedere Resources Defined by AWS Database Migration Service nella Guida per l'IAMutente. Per sapere con quali azioni è possibile specificare le caratteristiche ARN di ciascuna risorsa, consulta Azioni definite da AWS Database Migration Service.
Chiavi di condizione
Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire azioni su quali risorse, e in quali condizioni.
L'elemento Condition
(o blocco Condition
) consente di specificare le condizioni in cui un'istruzione è in vigore. L'elemento Condition
è facoltativo. Puoi compilare espressioni condizionali che utilizzano operatori di condizione, ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta.
Se specifichi più elementi Condition
in un'istruzione o più chiavi in un singolo elemento Condition
, questi vengono valutati da AWS utilizzando un'operazione AND
logica. Se si specificano più valori per una singola chiave di condizione, AWS valuta la condizione utilizzando un'operazione logicaOR
. Tutte le condizioni devono essere soddisfatte prima che le autorizzazioni dell'istruzione vengano concesse.
Puoi anche utilizzare variabili segnaposto quando specifichi le condizioni. Ad esempio, è possibile concedere a un IAM utente l'autorizzazione ad accedere a una risorsa solo se è contrassegnata con il suo nome IAM utente. Per ulteriori informazioni, consulta gli elementi IAM della politica: variabili e tag nella Guida IAM per l'utente.
AWS supporta chiavi di condizione globali e chiavi di condizione specifiche del servizio. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'IAMutente.
AWS DMS definisce il proprio set di chiavi di condizione e supporta anche l'utilizzo di alcune chiavi di condizione globali. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida IAM per l'utente.
AWS DMS definisce un set di tag standard che è possibile utilizzare nelle relative chiavi di condizione e consente inoltre di definire tag personalizzati. Per ulteriori informazioni, consulta Utilizzo dei tag per controllare l'accesso.
Per visualizzare un elenco di chiavi di AWS DMS condizione, consulta Condition Keys AWS Database Migration Service nella Guida per l'IAMutente. Per informazioni su azioni e risorse con cui è possibile utilizzare una chiave di condizione, consulta Operazioni definite da AWS Database Migration Service e Risorse definite da AWS Database Migration Service.
Esempi
Per visualizzare esempi di politiche AWS DMS basate sull'identità, vedere. AWS Database Migration Service esempi di politiche basate sull'identità
Policy di AWS DMS basate sulle risorse
Le politiche basate sulle risorse sono documenti JSON politici che specificano quali azioni un determinato principale può eseguire su una determinata AWS DMS risorsa e in quali condizioni. AWS DMS supporta politiche di autorizzazione basate sulle risorse per le chiavi di AWS KMS crittografia create per crittografare i dati migrati verso gli endpoint di destinazione supportati. Gli endpoint di destinazione supportati includono Amazon Redshift e Amazon S3. Utilizzando le policy basate su risorse, è possibile concedere l'autorizzazione per l'utilizzo di queste chiavi di crittografia ad altri account per ciascun endpoint di destinazione.
Per abilitare l'accesso tra più account, puoi specificare un intero account o IAM entità in un altro account come principale in una politica basata sulle risorse. L'aggiunta di un principale multi-account a una policy basata sulle risorse rappresenta solo una parte della relazione di trust. Quando il principale e la risorsa si trovano in AWS account diversi, è inoltre necessario concedere all'entità principale l'autorizzazione ad accedere alla risorsa. Concedi l'autorizzazione collegando una policy basata sull'identità all'entità. Tuttavia, se una policy basata su risorse concede l'accesso a un'entità principale nello stesso account, non sono richieste ulteriori policy basate su identità. Per ulteriori informazioni, consulta In che modo IAM i ruoli differiscono dalle politiche basate sulle risorse nella Guida per l'IAMutente.
Il AWS DMS servizio supporta solo un tipo di policy basata sulle risorse denominata policy chiave, che è collegata a una chiave di crittografia. AWS KMS Questa policy definisce quali entità principali (account, utenti, ruoli e utenti federati) possono eseguire la crittografia dei dati migrati nell'endpoint di destinazione supportato.
Per informazioni su come collegare una policy basata su risorse a una chiave di crittografia creata per gli endpoint di destinazione supportati, consulta Creazione e utilizzo delle chiavi AWS KMS per la crittografia dei dati di destinazione Amazon Redshift e Creazione di AWS KMS chiavi per crittografare gli oggetti di destinazione di Amazon S3.
Esempi
Per esempi di politiche basate sulle AWS DMS risorse, vedere. Esempi di politiche basate sulle risorse per AWS KMS
Autorizzazione basata su tag AWS DMS
È possibile allegare tag alle AWS DMS risorse o passare tag in una richiesta a. AWS DMS Per controllare l'accesso in base ai tag, fornisci le informazioni sui tag nell'elemento condition di una policy utilizzando il tasto dms:ResourceTag/
key-name
aws:RequestTag/
, o key-name
aws:TagKeys
condition. AWS DMS definisce un set di tag standard che è possibile utilizzare nelle relative chiavi di condizione e consente inoltre di definire tag personalizzati. Per ulteriori informazioni, consulta Utilizzo dei tag per controllare l'accesso.
Per un esempio di policy basata su identità che limita l'accesso a una risorsa in base ai tag, consulta Accesso alle risorse AWS DMS in base ai tag.
IAMruoli per AWS DMS
Un IAMruolo è un'entità all'interno del tuo AWS account che dispone di autorizzazioni specifiche.
Utilizzo di credenziali temporanee con AWS DMS
Puoi utilizzare credenziali temporanee per accedere con la federazione, assumere un IAM ruolo o assumere un ruolo tra account. È possibile ottenere credenziali di sicurezza temporanee chiamando AWS STS API operazioni come o. AssumeRoleGetFederationToken
AWS DMS supporta l'utilizzo di credenziali temporanee.
Ruoli collegati ai servizi
I ruoli collegati ai AWS servizi consentono ai servizi di accedere alle risorse di altri servizi per completare un'azione per conto dell'utente. I ruoli collegati ai servizi vengono visualizzati nell'IAMaccount e sono di proprietà del servizio. Un IAM amministratore può visualizzare ma non modificare le autorizzazioni per i ruoli collegati al servizio.
Per informazioni dettagliate sulla creazione o la gestione di ruoli collegati AWS DMS ai servizi, consulta. Utilizzo di ruoli collegati ai servizi
Ruoli dei servizi
Questa caratteristica consente a un servizio di assumere un ruolo di servizio per conto dell'utente. Questo ruolo consente al servizio di accedere alle risorse in altri servizi per completare un'azione per conto dell'utente. I ruoli di servizio vengono visualizzati nell'IAMaccount e sono di proprietà dell'account. Ciò significa che un IAM amministratore può modificare le autorizzazioni per questo ruolo. Tuttavia, il farlo potrebbe pregiudicare la funzionalità del servizio.
AWS DMS supporta due tipi di ruoli di servizio che è necessario creare per utilizzare determinati endpoint di origine o destinazione:
-
Ruoli con autorizzazioni per consentire AWS DMS l'accesso ai seguenti endpoint di origine e destinazione (o alle relative risorse):
-
Amazon DynamoDB come destinazione. Per ulteriori informazioni, consulta Prerequisiti per l'utilizzo di DynamoDB come destinazione per AWS Database Migration Service.
-
OpenSearch come destinazione: per ulteriori informazioni, vedere. Prerequisiti per l'utilizzo del servizio OpenSearch di Amazon come destinazione per AWS Database Migration Service
-
Amazon Kinesis come destinazione. Per ulteriori informazioni, consulta Prerequisiti per l'utilizzo di un flusso di dati Kinesis come destinazione per AWS Database Migration Service.
-
Amazon Redshift come destinazione: devi creare il ruolo specificato solo per creare una chiave di KMS crittografia personalizzata per crittografare i dati di destinazione o per specificare un bucket S3 personalizzato per lo storage delle attività intermedie. Per ulteriori informazioni, consulta Creazione e utilizzo delle chiavi AWS KMS per la crittografia dei dati di destinazione Amazon Redshift o Impostazioni del bucket Amazon S3.
-
Amazon S3 come origine o come destinazione. Per ulteriori informazioni, consulta Prerequisiti per l'utilizzo di Amazon S3 come sorgente per AWS DMS o Prerequisiti per l'utilizzo di Amazon S3 come destinazione.
Ad esempio, per leggere i dati da un endpoint di origine S3 o per eseguire il push dei dati a un endpoint di destinazione S3, è necessario creare un ruolo di servizio come prerequisito per accedere a S3 per ciascuna di queste operazioni di endpoint.
-
-
Ruoli con autorizzazioni necessarie per utilizzare AWS CLI and AWS DMSAPI: i due IAM ruoli che devi creare sono e.
dms-vpc-role
dms-cloudwatch-logs-role
Se utilizzi Amazon Redshift come database di destinazione, devi anche creare e aggiungere il IAM ruolodms-access-for-endpoint
al tuo AWS account. Per ulteriori informazioni, consulta Creazione dei IAM ruoli da utilizzare con AWS CLI e AWS DMS API.
Scelta di un IAM ruolo in AWS DMS
Se utilizzi AWS CLI o the AWS DMS API per la migrazione del database, devi aggiungere determinati IAM ruoli al tuo AWS account prima di poter utilizzare le funzionalità di AWS DMS. Due di questi sono dms-vpc-role
e dms-cloudwatch-logs-role
. Se utilizzi Amazon Redshift come database di destinazione, devi anche aggiungere il IAM ruolo dms-access-for-endpoint
al tuo AWS account. Per ulteriori informazioni, consulta Creazione dei IAM ruoli da utilizzare con AWS CLI e AWS DMS API.
Gestione delle identità e degli accessi per DMS Fleet Advisor
Con le politiche IAM basate sull'identità, puoi specificare azioni e risorse consentite o negate, nonché le condizioni in base alle quali le azioni sono consentite o negate. DMSFleet Advisor supporta azioni, risorse e chiavi di condizione specifiche. Per conoscere tutti gli elementi utilizzati in una JSON politica, consulta il riferimento agli elementi IAM JSON della politica nella Guida per l'IAMutente.
DMSFleet Advisor utilizza IAM i ruoli per accedere ad Amazon Simple Storage Service. Un IAMruolo è un'entità all'interno del tuo AWS account che dispone di autorizzazioni specifiche. Per ulteriori informazioni, consulta Creazione di risorse IAM.