AWS políticas administradas para AWS Transformar

Amazon CloudWatch: permite publicar métricas CloudWatch en el espacio de AWS/TransformCustom nombres. Esto permite supervisar los recuentos, las latencias y los códigos de estado de las transformaciones en sus CloudWatch paneles.

Amazon CloudWatch Logs: permite crear grupos de registros y transmisiones de registros, establecer políticas de retención y publicar eventos de registro en el grupo de /aws/TransformCustom registros. Esto proporciona visibilidad de los problemas encontrados durante las transformaciones.

CloudFormation— Permite crear, actualizar, eliminar y describir CloudFormation pilas con nombres que comiencen por AWSTransform. Las operaciones de pila están restringidas a los recursos etiquetados con CreatedBy: AWSTransform y se limitan a la misma cuenta. AWS

Amazon EC2: permite describir las VPC, las subredes, los grupos de seguridad, las imágenes, las instancias, las tablas de rutas y las pasarelas de Internet. Permite ejecutar, iniciar, detener, terminar y modificar instancias EC2, pero solo cuando se invoca. CloudFormation La creación de etiquetas está restringida a claves de etiquetas específicas permitidas y solo durante CloudFormation las operaciones.

AWS Identity and Access Management (IAM): permite obtener y transferir funciones de IAM específicas para las instancias de implementación de AWSTRansform. Incluye permisos para inspeccionar las políticas de roles y los archivos adjuntos. El acceso está restringido a la misma AWS cuenta.

Amazon EC2 Systems Manager (SSM): permite recuperar los parámetros de la AMI de Amazon Linux del almacén de parámetros AWS gestionado y enviar comandos a las instancias. AWSTransform-tagged

Amazon S3: permite administrar objetos en los buzones de implementación de AWSTRansform, lo que incluye publicar los buzones y obtener las ubicaciones de los buzones dentro de la misma cuenta. AWS

AWS Key Management Service (KMS): permite las operaciones de cifrado y descifrado mediante claves de KMS etiquetadas para AWSTRansform, con restricciones en cuanto al uso de los servicios S3 y EC2.

CloudFormation— Permite crear, actualizar, eliminar y describir CloudFormation pilas con nombres que comiencen por AWSTransform. Las operaciones de pila están restringidas a los recursos etiquetados con CreatedBy: AWSTransform y se limitan a la misma cuenta. AWS

Amazon ECS: permite crear, actualizar y eliminar clústeres, servicios y definiciones de tareas de ECS. Permite ejecutar tareas, enumerar las tareas y describir el estado de las tareas. Todas las operaciones están restringidas a los recursos cuyos nombres comienzan por AWSTransform y se etiquetan con: AWSTransform. CreatedBy

AWS Identity and Access Management (IAM): permite obtener y asignar funciones de IAM específicas para tareas de ECS (y). AWSTransform-Deploy-ECS-Task-Role AWSTransform-Deploy-ECS-Execution-Role Incluye permisos para inspeccionar las políticas de funciones y crear la función vinculada al servicio de ECS cuando sea necesario.

Amazon CloudWatch Logs: permite crear, eliminar y administrar grupos de registros cuyos nombres comiencen por//AWSTRansform. aws/ecs Permite recuperar los eventos de registro para solucionar problemas en las aplicaciones implementadas.

Amazon ECR: permite crear repositorios de contenedores con nombres que comiencen por awstransform para almacenar imágenes de contenedores de aplicaciones.

AWS Key Management Service (KMS): permite crear concesiones y generar claves de datos para el cifrado ECR cuando se utilizan claves de KMS administradas por el cliente.

AWS Transform Custom: permite todas las acciones en todos los recursos personalizados de AWS Transform. Esto proporciona un acceso administrativo completo al servicio.

AWS Identity and Access Management (IAM): permite crear el rol Uso de roles vinculados al servicio para AWS Transform Custom vinculado al servicio personalizado de AWS Transform (). AWSServiceRoleForAWSTransformCustom Esta función es necesaria para que AWS Transform custom emita CloudWatch métricas y registros a su cuenta. El alcance del permiso es permitir únicamente la creación de este rol vinculado a un servicio específico.

AWS Transform Custom: permite transmitir conversaciones, ejecutar transformaciones y administrar campañas. Incluye permisos para obtener los detalles de la campaña, actualizar el estado del repositorio de campañas y actualizar las campañas.

AWS Identity and Access Management (IAM): permite crear el rol Uso de roles vinculados al servicio para AWS Transform Custom vinculado a un servicio personalizado de AWS Transform (). AWSServiceRoleForAWSTransformCustom Esta función es necesaria para que AWS Transform custom emita CloudWatch métricas y registros a su cuenta. El alcance del permiso es permitir únicamente la creación de este rol vinculado a un servicio específico.

AWS Transform Custom: permite la administración integral de los recursos de transformación, incluida la transmisión de conversaciones, la ejecución de transformaciones y la administración de paquetes de transformación. Permite crear, obtener y eliminar las URL de los paquetes de transformación y completar la carga de los paquetes.

Gestión del conocimiento: permite enumerar, obtener, eliminar y actualizar los elementos de conocimiento y sus configuraciones y estados.

Gestión de campañas: permite obtener los detalles de la campaña, actualizar el estado del repositorio de campañas y actualizar las campañas.

Etiquetado de recursos: permite enumerar, agregar y eliminar etiquetas para los recursos personalizados de AWS Transform.

AWS Identity and Access Management (IAM): permite crear el rol vinculado a un servicio personalizado de AWS Transform (). AWSServiceRoleForAWSTransformCustom Esta función es necesaria para que AWS Transform custom emita CloudWatch métricas y registros a su cuenta. El alcance del permiso es permitir únicamente la creación de este rol vinculado a un servicio específico.

AWS Lambda: permite invocar y recuperar la configuración de funciones de Lambda específicas con atx prefijos que orquestan el flujo de trabajo de transformación, incluidas las funciones de activación de trabajos, recuperación de estados y publicación de trabajos.

Amazon S3: permite cargar el código fuente en cubos, descargar los resultados de la transformación desde y desde los atx-source-code-* cubos y escribir los resultados del atx-custom-output-* sidecar por lotes en los cubos. atx-ct-output-* atx-custom-output-*

AWS Key Management Service (KMS): permite el cifrado y el descifrado de datos mediante la clave de cifrado Transform (). AWS alias/atx-encryption-key

Amazon CloudWatch Logs: permite leer los eventos del registro de ejecución de Lambda y los trabajos por lotes para supervisar y depurar las transformaciones.

Amazon CloudWatch: permite obtener y enumerar el panel de la CLI de AWS Transform para obtener visibilidad operativa.

AWS Lote: permite describir y enumerar los entornos informáticos, las colas de trabajos, las definiciones de los trabajos y el estado de los trabajos.

CloudFormation— Permite describir y enumerar las pilas de infraestructuras de AWS Transform, incluida la pila de Security Agent, para comprobar el estado de la implementación.

API de etiquetado de grupos de recursos: permite recuperar los recursos etiquetados para descubrir la infraestructura de AWS Transform en su cuenta.

AWS Secrets Manager— Permite recuperar y describir los secretos de AWS Transform almacenados bajo el prefijo. atx/

Amazon EventBridge Scheduler: permite administrar los trabajos de transformación programados dentro del atx-ct grupo de programación.

Amazon EC2: permite describir la configuración de la VPC, la subred, el grupo de seguridad, la tabla de rutas y la puerta de enlace NAT para redes de entornos de procesamiento por lotes.

AWS Identity and Access Management (IAM): permite leer las configuraciones de roles ATX con prefijo y Atx prefijo para validar la configuración de la infraestructura y pasarlas a Amazon EventBridge Scheduler AtxSchedulerInvocationRole para que pueda invocar los trabajos programados.

CloudFormation— Permite describir las pilas de infraestructuras de AWS Transform (incluida la pila de Security Agent), los eventos de la pila, los recursos de la pila y el estado de detección de desviaciones, enumerar las pilas y validar las CloudFormation plantillas antes de la implementación.

Amazon EC2: permite describir las instancias, las AMI, las VPC, las subredes, los grupos de seguridad, los pares de claves, las tablas de enrutamiento, las puertas de enlace NAT y las puertas de enlace de Internet. Permite iniciar y detener instancias EC2 etiquetadas con. atx-remote-infra: true

Amazon EC2 Systems Manager (SSM): permite supervisar el estado de ejecución de los comandos y ejecutar comandos y sesiones en las AWS Transform-tagged instancias, incluida la ejecución del documento. AWS-RunShellScript

Amazon S3: permite administrar el código fuente y los artefactos de salida en los cubos de AWS Transform, lo que incluye la obtención, la colocación y la eliminación de objetos y los grupos de listados.

AWS Key Management Service (KMS): permite el cifrado y el descifrado de datos mediante la clave de cifrado AWS Transform (). alias/atx-encryption-key

AWS Secrets Manager— Permite recuperar y describir los secretos de transformación, como las credenciales del repositorio, almacenados con el atx/ prefijo.

Amazon EventBridge Scheduler: permite administrar los trabajos de transformación programados dentro del atx-ct grupo de programación.

API de etiquetado de grupos de recursos: permite recuperar los recursos etiquetados para descubrir la infraestructura de AWS Transform en su cuenta.

AWS Identity and Access Management (IAM): permite transferir el atx-transform-role* rol a Amazon EC2 y luego a Amazon EventBridge Scheduler, así como AtxSchedulerInvocationRole leer la configuración del perfil de rol y de instancia de las instancias de EC2.

AWS Security Agent: permite enumerar los espacios de los agentes, crear revisiones de código, iniciar trabajos de revisión de código, enumerar y recuperar los hallazgos e iniciar la corrección del código. Estas acciones se aplican a los espacios de agentes de tu cuenta.

Amazon S3: permite descargar los resultados y hallazgos del escaneo del atx-security-agent-* bucket y subir el código fuente para el escaneo de seguridad al security-scans/* prefijo incluido en ese bucket.

AWS Identity and Access Management (IAM): permite transferir la security-agent-* función al servicio AWS Security Agent para que pueda realizar el escaneo.

CloudFormation— Permite enumerar las pilas de la cuenta y describirlas para descubrir y supervisar el AtxSecurityAgentStack-* estado de implementación de la infraestructura del Security Agent.

Amazon EC2: permite describir los componentes de la infraestructura, incluidas las instancias, las VPC, las subredes, los grupos de seguridad, las zonas de disponibilidad, los puntos de enlace de la VPC y las pasarelas de Internet.

Amazon RDS: permite describir instancias de bases de datos, clústeres y grupos de subredes. Permite modificar los grupos de subredes de bases de datos de la misma AWS cuenta para preparar la migración.

API de datos de Amazon RDS: permite habilitar y deshabilitar los puntos de enlace HTTP y ejecutar sentencias SQL en los clústeres de bases de datos etiquetados para el proyecto de modernización de las bases de datos.

AWS DMS— Permite describir los puntos de enlace, las instancias de replicación, las tareas, los grupos de subredes y las instancias que se pueden pedir. Permite enumerar los proveedores de datos, los perfiles de instancias y los proyectos de migración. Permite describir las estadísticas de las tablas, las ejecuciones de evaluación y las operaciones del modelo de metadatos. Las operaciones detalladas de descripción y metadatos están restringidas a los recursos etiquetados para el proyecto de modernización de la base de datos.

— Permite enumerar los secretos para descubrir las credenciales de la base de datos.

AWS Identity and Access Management (IAM): permite inspeccionar funciones de AWS DMS servicio específicas y sus políticas adjuntas. Incluye acceso a políticas gestionadas por AWS lectura AWS DMS .

AWS Key Management Service (KMS): permite enumerar los alias de las claves y describirlas. Permite el descifrado de datos secretos mediante la integración, de forma restringida a la misma AWS cuenta.

AWS DMS— Permite crear y administrar grupos de subredes de replicación, perfiles de instancias, proveedores de datos, proyectos de migración, puntos finales, instancias de replicación y tareas de replicación. Incluye operaciones de conversión de esquemas, como la importación, conversión, exportación y evaluación de modelos de metadatos. Permite la administración del ciclo de vida de las instancias de replicación (crear, eliminar, modificar, reiniciar) y las tareas de replicación (eliminar, iniciar, detener, evaluar). Todas las operaciones de escritura están restringidas a los recursos etiquetados para el proyecto de modernización de la base de datos.

Amazon RDS: permite crear grupos de subredes de bases de datos, clústeres de bases de datos e instancias de bases de datos. Todos los recursos deben estar etiquetados para el proyecto de modernización de la base de datos.

— Permite crear, actualizar y etiquetar secretos con el prefijo de nomenclatura para la modernización de la base de datos. Permite recuperar valores secretos y describir los secretos de los recursos etiquetados.

Amazon S3: permite crear y administrar cubos y objetos de S3 para el almacenamiento de datos de migración. Incluye el etiquetado de cubos, el control de versiones y las operaciones del ciclo de vida de los objetos. Se limita a los buckets con el prefijo de nomenclatura de modernización de bases de datos.

AWS Identity and Access Management (IAM): permite transferir funciones de AWS DMS servicio específicas AWS DMS y servicios de conversión de esquemas. Permite crear el rol vinculado al servicio de Amazon RDS necesario para las operaciones de la base de datos.