As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
# Aplique uma postura de segurança às VPCs existentes
Se você já provisionou sua AWS rede fora do AWS Transform, você pode recriar automaticamente suas regras de segurança nela. AWS O Transform gera grupos de segurança a partir de suas regras de firewall de origem e os associa às suas VPCs existentes, o que economiza tempo e melhora a precisão e a consistência em comparação com a recriação manual das regras.
Escolha **Aplicar postura de segurança às VPCs existentes quando suas VPCs** de destino já existirem e você quiser aplicar sua postura de segurança de origem a elas.
O agente AWS Transform orienta você nas etapas a seguir, lidando com a análise e a geração enquanto você toma as decisões:
1. Carregue seu arquivo de rede de origem.
1. Marque suas VPCs existentes.
1. Combine as sub-redes de origem com as VPCs existentes.
1. Especifique sua topologia de VPC.
1. Analise os grupos de segurança gerados.
1. Configure a marcação de recursos.
1. Implante os grupos de segurança.
1. Remova as regras de origem após a transição.
**nota**
Como esse fluxo aplica a postura de segurança às VPCs que já existem, ele não inclui a etapa do diagrama de rede que faz parte do mapeamento de uma rede de origem para novas VPCs.
## Etapa 1: Carregar seu arquivo de rede de origem
Faça upload de um arquivo de rede de origem que contenha informações de segurança. Como esse fluxo extrai e aplica sua postura de segurança, o arquivo deve incluir regras de firewall. AWS O Transform é compatível com os seguintes tipos de arquivo de origem para esse fluxo:
+ **Software-defined redes (SDNs):** VMware NSX, Cisco ACI.
+ **Firewalls:** Palo Alto Networks, Fortinet. FortiGate
+ **Redes híbridas (cargas de trabalho VMware e não VMware):** [ModelizeIt ou a ferramenta de descoberta Transform.AWS](https://docs.aws.amazon.com/transform/latest/userguide/discovery-tool.html)
+ **Outros tipos de arquivo:** se seu tipo de arquivo não for um dos formatos compatíveis listados acima, o AWS Transform tentará convertê-lo automaticamente.
**nota**
O RVTools não é suportado nesse fluxo. Os arquivos RVTools não contêm regras de firewall, que são necessárias para migrar a postura de segurança.
Você pode fornecer o arquivo de duas maneiras:
+ **Usar arquivo de User Uploads** — Insira o nome do arquivo, incluindo sua extensão, em User Uploads.
+ **Carregue um novo arquivo diretamente no bate-papo** — Use o navegador de arquivos ou arraste e solte para carregar um novo arquivo.
## Etapa 2: marcar suas VPCs existentes
Marque suas VPCs existentes para que o AWS Transform possa descobri-las. Marcar uma VPC é como você indica que ela deve ser incluída na migração. Somente as VPCs que você marca estão no escopo da geração de grupos de segurança. Todo o resto da sua conta permanece intocado.
AWS O Transform fornece uma página de marcação que lista as VPCs em sua conta com seu nome, ID da VPC, bloco CIDR e status atual da tag. Selecione as VPCs que você deseja incluir, confirme que você as revisou e escolha **Marcar as VPCs selecionadas**. Para cada VPC que você seleciona, o AWS Transform aplica as seguintes tags:
+ **Key** (Chave): `CreatedFor` **Value** (Valor): `AWSTransform`
+ **Key** (Chave): `ATWorkspace` **Value** (Valor): `{{workspace-id}}`
Qualquer VPC criada pelo AWS Transform é automaticamente marcada com **Key: `CreatedBy`** **Value:** `AWSTransform` e também está no escopo da migração.
Você também pode aplicar ou remover essas tags manualmente do console da [Amazon VPC](https://console.aws.amazon.com/vpc/). Depois de marcar suas VPCs, informe o agente e o AWS Transform descobrirá as VPCs marcadas para você.
**nota**
A página de marcação mostra somente as VPCs na conta na qual você está conectado no momento. Se você não estiver conectado ao AWS Management Console, a página de marcação solicitará que você faça login primeiro. Para migrações de várias contas, marque as VPCs em cada conta de destino separadamente fazendo login nessa conta.
## Etapa 3: combinar sub-redes de origem com VPCs existentes
Depois de confirmar suas VPCs marcadas, o AWS Transform executa uma análise de cobertura que combina as sub-redes de origem em seu arquivo de rede com suas VPCs existentes por CIDR. Quando o intervalo CIDR de uma VPC cobre uma sub-rede de origem, o AWS Transform associa automaticamente os grupos de segurança correspondentes.
A forma como suas sub-redes de origem são mapeadas para suas VPCs existentes depende de sua abordagem de migração:
+ **Lift-and-shift (mantenha os intervalos de IP existentes):** para migrar seus servidores sem alterar seus endereços IP, suas VPCs existentes devem usar intervalos CIDR que correspondam às suas sub-redes locais. As sub-redes correspondentes são cobertas automaticamente.
+ **Re-IP (alterar intervalos de IP):** para atribuir novos endereços IP aos seus servidores migrados, forneça um mapeamento CIDR para que o AWS Transform possa associar a postura de segurança de origem às VPCs de destino corretas.
AWS O Transform apresenta um resumo da cobertura mostrando o número total de sub-redes e quantas estão cobertas ou descobertas. Para cada sub-rede, o resumo lista o nome da sub-rede local, o CIDR local, a VPC correspondente, o CIDR da VPC correspondente e se a sub-rede está coberta.
Para qualquer sub-rede descoberta, você tem duas opções:
+ **Forneça um mapeamento CIDR** — Por meio da interface de bate-papo, informe ao AWS Transform qual CIDR local é mapeado para qual CIDR de VPC de destino (por exemplo,). `Map 10.68.101.0/24 to 172.31.101.0/24` AWS Em seguida, o Transform associa os grupos de segurança às VPCs corretas.
+ **Deixe a sub-rede não mapeada** — As sub-redes descobertas que você não mapeia não são migradas.
Sempre que você fornece um mapeamento, o AWS Transform o armazena e mostra a cobertura atualizada. O resumo da cobertura adiciona uma coluna **CIDR mapeada que mostra o CIDR** de destino para o qual cada sub-rede foi mapeada, junto com a VPC correspondente resolvida. Para qualquer sub-rede que permaneça descoberta, você pode adicionar mais mapeamentos ou prosseguir para a próxima etapa. As sub-redes que ainda estão descobertas quando você prossegue não são migradas.
Ao fornecer mapeamentos CIDR, tenha em mente as seguintes orientações:
+ **Prefira mapeamentos mais amplos.** Sempre que possível, forneça um único mapeamento amplo (por exemplo, `10.68.0.0/16` para`172.31.0.0/16`) em vez de muitos mapeamentos estreitos de /24. Um mapeamento mais amplo abrange todas as sub-redes dentro desse intervalo de uma só vez, então você não precisa mapear cada sub-rede individualmente.
+ **Os mapeamentos também se aplicam às regras do seu grupo de segurança.** Somente os CIDRs de regras que se enquadram em um intervalo de CIDR mapeado são transferidos. Os CIDRs de regras fora dos intervalos mapeados não são migrados, portanto, mapeamentos mais amplos também ajudam a garantir que suas regras sejam totalmente cobertas.
+ **Use o mesmo comprimento de prefixo nos dois lados.** Um mapeamento deve ser mapeado para um intervalo de tamanho igual, como /16 a /16 ou /24 a /24. O mapeamento entre diferentes comprimentos de prefixo (por exemplo, /24 a /20) não é suportado.
Quando você fornece um mapeamento CIDR, o AWS Transform duplica cada regra de grupo de segurança afetada: uma (com o `[ONPREM]` prefixo na descrição) aponta para o espaço de endereço local de origem e a outra para o espaço de endereço de destino. AWS Ter as duas regras permite que uma carga de trabalho alcance seus pares, independentemente de terem migrado ou ainda serem executadas localmente.
## Etapa 4: especificar sua topologia de VPC
AWS O Transform pergunta se suas VPCs existentes estão isoladas ou conectadas. Sua resposta determina como o AWS Transform gera regras de grupo de segurança:
+ **Isolado** — Cada VPC opera de forma independente, sem roteamento entre VPCs. AWS O Transform gera regras de grupo de segurança usando intervalos CIDR.
+ **Conectado** — Suas VPCs são conectadas por meio de Transit Gateways, emparelhamento de VPC ou similares. AWS O Transform gera regras de grupos de segurança usando referências de grupos de segurança, em que uma regra faz referência a outro grupo de segurança em vez de um intervalo CIDR.
AWS O Transform precisa conhecer sua topologia antes de gerar grupos de segurança porque a referência de grupos de segurança entre VPCs funciona somente entre VPCs que têm conectividade de rede. Within-VPC a referência não requer conectividade.
**Importante**
Certifique-se de que sua seleção de topologia reflita sua rede real. Se você selecionar **Conectado**, mas suas VPCs não tiverem conectividade, a implantação das regras de referência entre VPCs falhará porque os grupos de segurança referenciados não podem ser resolvidos em VPCs não conectadas.
**nota**
Para VPCs conectadas por meio de um Transit Gateway, a referência de grupos de segurança também exige que `SecurityGroupReferencingSupport` esteja definida `enable` no Transit Gateway e em cada anexo VPC do Transit Gateway. *Para obter mais informações, consulte [Anexos do Transit Gateway a uma VPC no Guia](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-vpc-attachments.html) do Transit Gateway AWS .*
## Etapa 5: revisar os grupos de segurança gerados
AWS O Transform executa o mapeamento de rede, da mesma forma que quando você mapeia uma rede de origem para novas VPCs. Quando o mapeamento é concluído, você revisa os grupos de segurança gerados para suas VPCs existentes por meio de uma análise human-in-the-loop (HITL).
A análise mostra suas VPCs existentes, descobertas por suas tags, e somente os grupos de segurança que o AWS Transform gerou e associou a elas. Por exemplo, a avaliação pode mostrar `Application VPC (172.30.0.0/16) — 3 security groups` `Database VPC (172.31.0.0/16) — 1 security group` e. Outros detalhes, como sub-redes e tabelas de rotas, não são mostrados, pois esse fluxo se aplica somente à postura de segurança.
**Quando você abre uma VPC, o AWS Transform mostra seu CIDR IPv4, conta, fonte (listada como *existente*) e descrição, junto com a guia Grupos de segurança.** Cada grupo de segurança lista seu nome, ID e contagem de regras e indica a regra de origem a partir da qual foi gerado (por exemplo, *Gerado usando: Web-Tier-HTTPS*), para que você possa rastrear cada grupo gerado até sua configuração de origem. Você pode pesquisar os grupos de segurança por nome, ID ou descrição.
**nota**
Esta avaliação é somente para leitura. Suas VPCs existentes são gerenciadas fora do AWS Transform e não são modificadas por essa migração. AWS O Transform adiciona somente os grupos de segurança gerados.
Depois de analisar os grupos de segurança, avise o agente para continuar.
## Etapa 6: configurar a marcação de recursos
Opcionalmente, você pode adicionar tags personalizadas de nível de trabalho aos grupos de segurança que AWS o Transform gera. Job-level as tags se aplicam a todos os grupos de segurança criados por esse trabalho, o que ajuda você a organizar recursos, monitorar custos e gerenciar a conformidade.
**nota**
Esse fluxo é compatível somente com tags de nível de trabalho. Ele cria apenas grupos de segurança, portanto, a VPC-level marcação não se aplica.
AWS O Transform aplica essas tags ao gerar os grupos de segurança.
## Etapa 7: implantar os grupos de segurança
Depois de analisar os grupos de segurança gerados, escolha como implantá-los. Assim como no mapeamento de uma rede de origem para novas VPCs, você pode escolher a AWS Transform-managed implantação ou a autoimplantação:
+ **AWS Transform-managed implantação:** depois de aprovar, o AWS Transform implanta os grupos de segurança em suas VPCs existentes em seu nome.
+ **Self-deployment:** o AWS Transform gera os grupos de segurança como Infraestrutura como Código (IaC) que você mesmo implanta. Os mesmos formatos de saída estão disponíveis: CloudFormation AWS CDK, HashiCorp Terraform e Landing Zone Accelerator (LZA).
Esse fluxo implanta somente grupos de segurança. Ao contrário do mapeamento de uma rede de origem para novas VPCs, o AWS Transform não executa o Reachability Analyzer, porque nenhuma nova infraestrutura de rede é criada e não há reversão automática dos recursos implantados.
Para obter detalhes sobre os artefatos gerados, incluindo a estrutura do diretório de saída para cada formato, consulte[Compreendendo os artefatos de rede gerados](transform-migrations-generated-artifacts.md).
## Etapa 8: Remover as regras de origem após a transição
Depois que uma carga de trabalho for totalmente transferida AWS e não precisar mais de conectividade com a rede de origem, remova as regras do grupo de segurança com o `[ONPREM]` prefixo em sua descrição. Mantenha as regras para qualquer carga de trabalho que ainda seja executada no ambiente de origem.