Destinatari Autenticazione con identità Gestione dell’accesso tramite policy Autorizzazioni IAM richieste Ruoli IAM per AWS DMS console, CLI e API

Gestione delle identità e degli accessi per AWS Database Migration Service

AWS Identity and Access Management (IAM) è una soluzione Servizio AWS che aiuta un amministratore a controllare in modo sicuro l'accesso alle AWS risorse. Gli amministratori IAM controllano chi può essere autenticato (accedere) e autorizzato (disporre delle autorizzazioni) a utilizzare le risorse. AWS DMS IAM è un Servizio AWS programma che puoi utilizzare senza costi aggiuntivi.

Argomenti

Destinatari

Il modo in cui utilizzi AWS Identity and Access Management (IAM) varia in base al tuo ruolo:

Utente del servizio: richiedi le autorizzazioni all’amministratore se non riesci ad accedere alle funzionalità (consulta Risoluzione dei problemi AWS Database Migration Service identità e accesso)
Amministratore del servizio: determina l’accesso degli utenti e invia le richieste di autorizzazione (consulta In che modo AWS Database Migration Service funziona con IAM)
Amministratore IAM: scrivi policy per gestire l’accesso (consulta AWS Database Migration Service esempi di policy basate sull'identità)

Autenticazione con identità

L'autenticazione è il modo in cui accedi AWS utilizzando le tue credenziali di identità. Devi essere autenticato come utente IAM o assumendo un ruolo IAM. Utente root dell'account AWS

Puoi accedere come identità federata utilizzando credenziali da una fonte di identità come Centro identità AWS IAM (IAM Identity Center), autenticazione Single Sign-on o credenziali. Google/Facebook Per ulteriori informazioni sull’accesso, consulta Come accedere all’ Account AWS nella Guida per l’utente di Accedi ad AWS .

Per l'accesso programmatico, AWS fornisce un SDK e una CLI per firmare crittograficamente le richieste. Per ulteriori informazioni, consulta AWS Signature Version 4 per le richieste API nella Guida per l’utente di IAM.

Account AWS utente root

Quando ne crei uno Account AWS, inizi con un'identità di accesso chiamata utente Account AWS root che ha accesso completo a tutte Servizi AWS le risorse. Consigliamo vivamente di non utilizzare l’utente root per le attività quotidiane. Per le attività che richiedono le credenziali come utente root, consulta Attività che richiedono le credenziali dell’utente root nella Guida per l’utente di IAM.

Utenti e gruppi IAM

Un utente IAM è una identità che dispone di autorizzazioni specifiche per una singola persona o applicazione. Ti consigliamo di utilizzare credenziali temporanee invece di utenti IAM con credenziali a lungo termine. Per ulteriori informazioni, consulta Richiedere agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee nella IAM User Guide.

Un gruppo IAM specifica una raccolta di utenti IAM e semplifica la gestione delle autorizzazioni per gestire gruppi di utenti di grandi dimensioni. Per ulteriori informazioni, consulta Casi d’uso per utenti IAM nella Guida per l’utente di IAM.

Ruoli IAM

Un ruolo IAM è un’identità con autorizzazioni specifiche che fornisce credenziali temporanee. Puoi assumere un ruolo passando da un utente a un ruolo IAM (console) o chiamando un'operazione AWS API AWS CLI or. Per ulteriori informazioni, consulta Metodi per assumere un ruolo nella Guida per l’utente di IAM.

I ruoli IAM sono utili per l’accesso degli utenti federati, le autorizzazioni utente IAM temporanee, l’accesso multi-account, l’accesso multi-servizio e le applicazioni in esecuzione su Amazon EC2. Per maggiori informazioni, consultare Accesso a risorse multi-account in IAM nella Guida per l’utente IAM.

Gestione dell’accesso tramite policy

Puoi controllare l'accesso AWS creando policy e associandole a AWS identità o risorse. Una policy definisce le autorizzazioni quando è associata a un'identità o a una risorsa. AWS valuta queste politiche quando un principale effettua una richiesta. La maggior parte delle policy sono archiviate AWS come documenti JSON. Per maggiori informazioni sui documenti delle policy JSON, consulta Panoramica delle policy JSON nella Guida per l’utente IAM.

Utilizzando le policy, gli amministratori specificano chi ha accesso a cosa definendo quale principale può eseguire azioni su quali risorse e in quali condizioni.

Per impostazione predefinita, utenti e ruoli non dispongono di autorizzazioni. Un amministratore IAM crea le policy IAM e le aggiunge ai ruoli, che gli utenti possono quindi assumere. Le policy IAM definiscono le autorizzazioni indipendentemente dal metodo utilizzato per eseguirle.

Identity-based politiche

Identity-based le policy sono documenti relativi alle politiche di autorizzazione JSON che si allegano a un'identità (utente, gruppo o ruolo). Tali policy controllano le operazioni autorizzate per l’identità, nonché le risorse e le condizioni in cui possono essere eseguite. Per informazioni su come creare una policy basata su identità, consultare Definizione di autorizzazioni personalizzate IAM con policy gestite dal cliente nella Guida per l’utente IAM.

Identity-based le politiche possono essere politiche in linea (incorporate direttamente in una singola identità) o politiche gestite (politiche autonome associate a più identità). Per informazioni su come scegliere tra una policy gestita o una policy inline, consulta Scegliere tra policy gestite e policy in linea nella Guida per l’utente di IAM.

Resource-based politiche

Resource-based le policy sono documenti di policy JSON che alleghi a una risorsa. Gli esempi includono le policy di trust dei ruoli IAM e le policy dei bucket di Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarli per controllare l’accesso a una risorsa specifica. In una policy basata sulle risorse è obbligatorio specificare un’entità principale.

Resource-based le policy sono policy in linea che si trovano in quel servizio. Non è possibile utilizzare le policy AWS gestite da IAM in una policy basata sulle risorse.

Liste di controllo degli accessi (ACL)

Le liste di controllo degli accessi (ACL) controllano quali entità principali (membri, utenti o ruoli dell'account) hanno le autorizzazioni per accedere a una risorsa. Le ACL sono simili alle policy basate su risorse, sebbene non utilizzino il formato del documento di policy JSON.

Amazon S3 e Amazon VPC sono esempi di servizi che supportano gli ACL. AWS WAF Per maggiori informazioni sulle ACL, consulta Panoramica delle liste di controllo degli accessi (ACL) nella Guida per gli sviluppatori di Amazon Simple Storage Service.

Altri tipi di policy

AWS supporta tipi di policy aggiuntivi che possono impostare le autorizzazioni massime concesse dai tipi di policy più comuni:

Limiti delle autorizzazioni: imposta il numero massimo di autorizzazioni che una policy basata su identità ha la possibilità di concedere a un’entità IAM. Per ulteriori informazioni, consulta Limiti delle autorizzazioni per le entità IAM nella Guida per l’utente di IAM.
Policy di controllo dei servizi (SCP): specifica il numero massimo di autorizzazioni per un’organizzazione o un’unità organizzativa (OU) in AWS Organizations. Per ulteriori informazioni, consultare Policy di controllo dei servizi nella Guida per l’utente di AWS Organizations .
Policy di controllo delle risorse (RCP): imposta le autorizzazioni massime disponibili per le risorse degli account. Per ulteriori informazioni, consulta Policy di controllo delle risorse (RCP) nella Guida per l’utente di AWS Organizations .
Policy di sessione: policy avanzate passate come parametro quando si crea una sessione temporanea per un ruolo o un utente federato. Per maggiori informazioni, consultare Policy di sessione nella Guida per l’utente IAM.

Più tipi di policy

Quando a una richiesta si applicano più tipi di policy, le autorizzazioni risultanti sono più complicate da comprendere. Per sapere come AWS determinare se consentire una richiesta quando sono coinvolti più tipi di policy, consulta la logica di valutazione delle policy nella IAM User Guide.

Autorizzazioni IAM necessarie per l'utilizzo AWS DMS

Utilizza autorizzazioni IAM e ruoli IAM determinati per usare AWS DMS. Se hai effettuato l'accesso come utente IAM e desideri utilizzarlo AWS DMS, l'amministratore dell'account deve allegare la policy discussa in questa sezione all'utente, al gruppo o al ruolo IAM che usi per l'esecuzione AWS DMS. Per ulteriori informazioni sulle autorizzazioni IAM, consulta la Guida per l'utente di IAM.

La seguente policy fornisce l'accesso AWS DMS e anche le autorizzazioni per determinate azioni necessarie da altri servizi Amazon come IAM AWS KMS, Amazon EC2 e Amazon. CloudWatch CloudWatchmonitora la AWS DMS migrazione in tempo reale e raccoglie e tiene traccia delle metriche che indicano l'avanzamento della migrazione. È possibile utilizzare CloudWatch Logs per eseguire il debug di problemi relativi a un'attività.

Nota

È possibile limitare ulteriormente l'accesso alle AWS DMS risorse utilizzando i tag. Per ulteriori informazioni sulla limitazione dell'accesso alle AWS DMS risorse tramite tag, vedere. Fine-grained controllo degli accessi mediante nomi e tag delle risorse

L'analisi di queste autorizzazioni seguenti potrebbe aiutarti a comprendere meglio il motivo per cui ciascuna di esse è necessaria.

La sezione seguente è necessaria per consentire all'utente di chiamare le operazioni AWS DMS API.


{
            "Effect": "Allow",
            "Action": "dms:*",
            "Resource": "arn:aws:dms:region:account:resourcetype/id"
}

La sezione seguente è necessaria per consentire all'utente di elencare le AWS KMS chiavi e gli alias disponibili per la visualizzazione nella console. Questa voce non è obbligatoria se conosci l'Amazon Resource Name (ARN) per la chiave KMS e stai utilizzando solo (). AWS Command Line Interface AWS CLI


{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases", 
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

La seguente sezione è necessaria per determinati tipi di endpoint che richiedono il trasferimento dell'ARN del ruolo IAM con l'endpoint. Inoltre, se i AWS DMS ruoli richiesti non vengono creati in anticipo, la AWS DMS console può creare il ruolo. Se tutti i ruoli sono configurati in anticipo, tutto ciò di cui hai bisogno è iam:GetRole e iam:PassRole. Per ulteriori informazioni sui ruoli, consulta Creazione dei ruoli IAM da utilizzare con AWS DMS.


{
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:PassRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

La sezione seguente è obbligatoria perché AWS DMS deve creare l'istanza Amazon EC2 e configurare la rete per l'istanza di replica creata. Queste risorse esistono nell'account del cliente, perciò è necessaria la possibilità di eseguire tali azioni per conto del cliente.


{
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

La seguente sezione è necessaria per consentire all'utente di visualizzare i parametri dell'istanza di replica.


{
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Get*",
                "cloudwatch:List*"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

Questa sezione è necessaria per consentire all'utente di visualizzare i log della replica.


{
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams",
                "logs:FilterLogEvents",
                "logs:GetLogEvents"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

Se utilizzi la AWS DMS console, la AWS Command Line Interface (AWS CLI) o l' AWS DMS API per la migrazione, devi aggiungere diversi ruoli al tuo account. Per ulteriori informazioni sull'aggiunta di questi ruoli, consulta Creazione dei ruoli IAM da utilizzare con AWS DMS.

Creazione dei ruoli IAM da utilizzare con AWS DMS

Se utilizzi la AWS DMS console AWS CLI o l' AWS DMS API per la migrazione del database, devi aggiungere tre ruoli IAM al tuo AWS account prima di poter utilizzare le funzionalità di AWS DMS. Due di questi sono dms-vpc-role e dms-cloudwatch-logs-role. Se utilizzi Amazon Redshift come database di destinazione, devi anche aggiungere il ruolo IAM dms-access-for-endpoint al tuo AWS account.

Importante

È necessario utilizzare questi nomi di ruolo esatti come mostrato: dms-vpc-roledms-cloudwatch-logs-role, edms-access-for-endpoint. AWS DMS cerca questi ruoli per nome. Se si utilizzano nomi di ruolo personalizzati, AWS DMS non è possibile trovare i ruoli e il servizio non funziona correttamente.

Gli aggiornamenti alle policy gestite sono automatici. Se stai usando una policy personalizzata con i ruoli IAM, assicurati di controllare periodicamente gli aggiornamenti per la policy gestita in questa documentazione. È possibile visualizzare i dettagli della policy gestita utilizzando una combinazione dei comandi get-policy e get-policy-version.

Ad esempio, il comando get-policy seguente recupera le informazioni sul ruolo IAM specificato.



aws iam get-policy --policy-arn arn:aws:iam::aws:policy/service-role/AmazonDMSVPCManagementRole

Le informazioni restituite dal comando sono le seguenti.



{
    "Policy": {
        "PolicyName": "AmazonDMSVPCManagementRole",
        "PolicyId": "ANPAJHKIGMBQI4AEFFSYO",
        "Arn": "arn:aws:iam::aws:policy/service-role/AmazonDMSVPCManagementRole",
        "Path": "/service-role/",
        "DefaultVersionId": "v4",
        "AttachmentCount": 1,
        "PermissionsBoundaryUsageCount": 0,
        "IsAttachable": true,
        "Description": "Provides access to manage VPC settings for AWS managed customer configurations",
        "CreateDate": "2015-11-18T16:33:19+00:00",
        "UpdateDate": "2024-07-25T15:19:01+00:00",
        "Tags": []
    }
}

Il comando get-policy-version seguente recupera le informazioni sulla policy IAM.



aws iam get-policy-version --policy-arn arn:aws:iam::aws:policy/service-role/AmazonDMSVPCManagementRole --version-id v4

Le informazioni restituite dal comando sono le seguenti.

Gli stessi comandi possono essere utilizzati per ottenere informazioni su AmazonDMSCloudWatchLogsRole e sulla policy gestita AmazonDMSRedshiftS3Role.

Le procedure seguenti creano i ruoli IAM dms-vpc-role, dms-cloudwatch-logs-role e dms-access-for-endpoint.

Per creare il ruolo IAM dms-vpc-role da utilizzare con AWS CLI or AWS DMS "Hello, World!"

Crea un file JSON con la policy IAM seguente. Denominare il file JSON dmsAssumeRolePolicyDocument.json.

Creare il ruolo utilizzando il seguente comando. AWS CLI



aws iam create-role --role-name dms-vpc-role --assume-role-policy-document file://dmsAssumeRolePolicyDocument.json

Collegare la policy AmazonDMSVPCManagementRole a dms-vpc-role utilizzando il comando seguente.



aws iam attach-role-policy --role-name dms-vpc-role --policy-arn arn:aws:iam::aws:policy/service-role/AmazonDMSVPCManagementRole

Per creare il ruolo IAM dms-cloudwatch-logs-role da utilizzare con AWS CLI or AWS DMS "Hello, World!"

Crea un file JSON con la policy IAM seguente. Denominare il file JSON dmsAssumeRolePolicyDocument2.json.

Creare il ruolo utilizzando il seguente comando. AWS CLI



aws iam create-role --role-name dms-cloudwatch-logs-role --assume-role-policy-document file://dmsAssumeRolePolicyDocument2.json

Collegare la policy AmazonDMSCloudWatchLogsRole a dms-cloudwatch-logs-role utilizzando il comando seguente.



aws iam attach-role-policy --role-name dms-cloudwatch-logs-role --policy-arn arn:aws:iam::aws:policy/service-role/AmazonDMSCloudWatchLogsRole

Se utilizzi Amazon Redshift come database di destinazione, è necessario creare il ruolo IAM dms-access-for-endpoint per fornire l'accesso ad Amazon S3.

Per creare il ruolo IAM dms-access-for-endpoint da utilizzare con Amazon Redshift come database di destinazione

Crea un file JSON con la policy IAM seguente. Denominare il file JSON dmsAssumeRolePolicyDocument3.json.

Creare il ruolo AWS CLI utilizzando il seguente comando.



  aws iam create-role --role-name dms-access-for-endpoint --assume-role-policy-document file://dmsAssumeRolePolicyDocument3.json

Collegare la policy AmazonDMSRedshiftS3Role al ruolo dms-access-for-endpoint utilizzando il comando seguente.



aws iam attach-role-policy --role-name dms-access-for-endpoint \
    --policy-arn arn:aws:iam::aws:policy/service-role/AmazonDMSRedshiftS3Role

Ora dovresti disporre delle policy IAM per utilizzare l' AWS DMS API AWS CLI or.

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Cross-region inferenza

In che modo AWS Database Migration Service funziona con IAM