AWS Application Discovery Service Beispiele für identitätsbasierte Richtlinien

Standardmäßig sind IAM Benutzer und Rollen nicht berechtigt, Application Discovery Service Service-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mit dem AWS Management Console AWS CLI, oder ausführen AWS API. Ein IAM Administrator muss IAM Richtlinien erstellen, die Benutzern und Rollen die Berechtigung gewähren, bestimmte API Operationen mit den angegebenen Ressourcen auszuführen, die sie benötigen. Der Administrator muss diese Richtlinien dann den IAM Benutzern oder Gruppen zuordnen, für die diese Berechtigungen erforderlich sind.

Informationen zum Erstellen einer IAM identitätsbasierten Richtlinie anhand dieser JSON Beispieldokumente finden Sie unter Richtlinien auf der JSON Registerkarte erstellen im IAMBenutzerhandbuch.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Application Discovery Service Service-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

Weitere Informationen zu bewährten Methoden finden Sie unter Bewährte Sicherheitsmethoden IAM im IAM Benutzerhandbuch. IAM

Vollzugriff auf den Application Discovery Service gewähren

Die AWSApplicationDiscoveryServiceFullAccess verwaltete Richtlinie gewährt dem IAM Benutzerkonto Zugriff auf den Application Discovery Service und den Migration HubAPIs.

Ein IAM Benutzer, dem diese Richtlinie mit seinem Konto verknüpft ist, kann den Application Discovery Service konfigurieren, Agents starten und beenden, die agentenlose Erkennung starten und beenden und Daten aus der AWS Discovery Service-Datenbank abfragen. Weitere Informationen zu dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "mgh:*",
                "discovery:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "iam:GetRole"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Discovery-Agents Zugriff gewähren

Die AWSApplicationDiscoveryAgentAccess verwaltete Richtlinie gewährt dem Application Discovery Agent Zugriff auf die Registrierung und Kommunikation mit dem Application Discovery Service. Weitere Informationen zu dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

Ordnen Sie diese Richtlinie jedem Benutzer zu, dessen Anmeldeinformationen vom Application Discovery Agent verwendet werden.

Diese Richtlinie gewährt dem Benutzer außerdem den Zugriff auf Arsenal. Arsenal ist ein Agentendienst, der von verwaltet und gehostet wird AWS. Arsenal leitet Daten an den Application Discovery Service in der Cloud weiter.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "arsenal:RegisterOnPremisesAgent"
            ],
            "Resource": "*"
        }
    ]
}

Erteilen von Berechtigungen für die Erfassung von Agentendaten

Die ApplicationDiscoveryServiceContinuousExportServiceRolePolicy verwaltete Richtlinie ermöglicht AWS Application Discovery Service die Erstellung von Amazon Data Firehose-Streams zur Transformation und Übertragung von Daten, die von Application Discovery Service Service-Agenten gesammelt wurden, an einen Amazon S3 S3-Bucket in Ihrem AWS Konto.

Darüber hinaus erstellt diese Richtlinie einen AWS Glue Datenkatalog mit einer neuen Datenbank namens application_discovery_service_database und Tabellenschemas für die Zuordnung von Daten, die von den Agenten gesammelt wurden.

Weitere Informationen zur Verwendung dieser Richtlinie finden Sie unter AWS Von verwaltete Richtlinien für AWS Application Discovery Service.

{
   "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "glue:CreateDatabase",
                "glue:UpdateDatabase",
                "glue:CreateTable",
                "glue:UpdateTable",
                "firehose:CreateDeliveryStream",
                "firehose:DescribeDeliveryStream",
                "logs:CreateLogGroup"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "firehose:DeleteDeliveryStream",
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:UpdateDestination"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:PutBucketLogging",
                "s3:PutEncryptionConfiguration"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*/*"
        },
        {
            "Action": [
                "logs:CreateLogStream",
                "logs:PutRetentionPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        }
    ]        
}

Erteilung von Berechtigungen für die Datenexploration

Die AWSDiscoveryContinuousExportFirehosePolicy Richtlinie ist erforderlich, um die Datenexploration in Amazon Athena nutzen zu können. Es ermöglicht Amazon Data Firehose, Daten, die vom Application Discovery Service gesammelt wurden, in Amazon S3 zu schreiben. Weitere Informationen zur Verwendung dieser Richtlinie finden Sie unter Erstellen der AWSApplicationDiscoveryServiceFirehose Rolle.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetTableVersions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::aws-application-discovery-service-*",
                "arn:aws:s3:::aws-application-discovery-service-*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose:log-stream:*"
            ]
        }
    ]
}

Erteilen von Berechtigungen zur Verwendung des Netzwerkdiagramms der Migration Hub Hub-Konsole

Um beim Erstellen einer identitätsbasierten Richtlinie, die den Zugriff auf Application Discovery Service oder Migration Hub erlaubt oder verweigert, Zugriff auf das AWS Migration Hub Konsolen-Netzwerkdiagramm zu gewähren, müssen Sie die discovery:GetNetworkConnectionGraph Aktion möglicherweise der Richtlinie hinzufügen.

Sie müssen die discovery:GetNetworkConnectionGraph Aktion in neuen Richtlinien verwenden oder ältere Richtlinien aktualisieren, wenn Folgendes für die Richtlinie zutrifft:

Das folgende Beispiel zeigt, wie die discovery:GetNetworkConnectionGraph Aktion in einer IAM Richtlinie verwendet wird.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["discovery:GetNetworkConnectionGraph"],
            "Resource": "*"
        }
    ]
}

Informationen zum Migration Hub-Netzwerkdiagramm finden Sie unter Netzwerkverbindungen in Migration Hub anzeigen.