Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Come AWS Database Migration Service funziona con IAM

Prima di utilizzare IAM per gestire l'accesso a AWS DMS, è necessario comprendere con quali IAM funzionalità è possibile utilizzare AWS DMS. Per avere una panoramica generale del funzionamento AWS DMS degli altri AWS serviziIAM, consulta i AWS servizi che funzionano con IAM nella Guida per l'IAMutente.

Policy AWS DMS basate su identità

Con le politiche IAM basate sull'identità, è possibile specificare azioni e risorse consentite o negate, nonché le condizioni in base alle quali le azioni sono consentite o negate. AWS DMS supporta azioni, risorse e chiavi di condizione specifiche. Per informazioni su tutti gli elementi utilizzati in una JSON politica, consulta il riferimento agli elementi IAM JSON della politica nella Guida per l'IAMutente.

Azioni

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.

L'Actionelemento di una JSON policy descrive le azioni che è possibile utilizzare per consentire o negare l'accesso a una policy. Le azioni politiche in genere hanno lo stesso nome dell' AWS APIoperazione associata. Esistono alcune eccezioni, come le azioni basate solo sulle autorizzazioni che non hanno un'operazione corrispondente. API Esistono anche alcune operazioni che richiedono più operazioni in una policy. Queste operazioni aggiuntive sono denominate operazioni dipendenti.

Includi le operazioni in una policy per concedere le autorizzazioni a eseguire l'operazione associata.

Le azioni politiche AWS DMS utilizzano il seguente prefisso prima dell'azione:. dms: Ad esempio, per concedere a qualcuno l'autorizzazione a creare un'attività di replica con l' AWS DMS CreateReplicationTaskAPIoperazione, è necessario includere l'dms:CreateReplicationTaskazione nella relativa politica. Le dichiarazioni politiche devono includere un NotAction elemento Action or. AWS DMS definisce il proprio set di azioni che descrivono le attività che è possibile eseguire con questo servizio.

Per specificare più operazioni  in una singola istruzione, separarle con una virgola come mostrato di seguito.

"Action": [
      "dms:action1",
      "dms:action2"

Puoi specificare più operazioni tramite caratteri jolly (*). Ad esempio, per specificare tutte le operazioni che iniziano con la parola Describe, includi la seguente operazione.

"Action": "dms:Describe*"

Per visualizzare un elenco di AWS DMS azioni, vedere Azioni definite da AWS Database Migration Service nella Guida per l'IAMutente.

Risorse

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire operazioni su quali risorse, e in quali condizioni.

L'elemento Resource JSON policy specifica l'oggetto o gli oggetti a cui si applica l'azione. Le istruzioni devono includere un elemento Resourceo un elemento NotResource. Come best practice, specifica una risorsa utilizzando il relativo Amazon Resource Name (ARN). Puoi eseguire questa operazione per azioni che supportano un tipo di risorsa specifico, note come autorizzazioni a livello di risorsa.

Per le azioni che non supportano le autorizzazioni a livello di risorsa, ad esempio le operazioni di elenco, utilizza un carattere jolly (*) per indicare che l'istruzione si applica a tutte le risorse.

"Resource": "*"

AWS DMS funziona con le seguenti risorse:

La risorsa o le risorse AWS DMS necessarie dipendono dall'azione o dalle azioni richiamate. È necessaria una politica che consenta queste azioni sulla risorsa o sulle risorse associate specificate dalla risorsa. ARNs

Ad esempio, una risorsa AWS DMS endpoint presenta le seguenti caratteristiche: ARN

arn:${Partition}:dms:${Region}:${Account}:endpoint/${InstanceId}

Per ulteriori informazioni sul formato diARNs, consulta Amazon Resource Names (ARNs) e AWS service namespaces.

Ad esempio, per specificare l'istanza dell'1A2B3C4D5E6F7G8H9I0J1K2L3Mendpoint per la us-east-2 regione nella tua dichiarazione, usa quanto segue. ARN

"Resource": "arn:aws:dms:us-east-2:987654321098:endpoint/1A2B3C4D5E6F7G8H9I0J1K2L3M"

Per specificare tutti gli endpoint che appartengono a un account specifico, utilizza il carattere jolly (*):

"Resource": "arn:aws:dms:us-east-2:987654321098:endpoint/*"

Alcune AWS DMS azioni, come quelle per la creazione di risorse, non possono essere eseguite su una risorsa specifica. In questi casi, è necessario utilizzare il carattere jolly (*).

"Resource": "*"

Alcune AWS DMS API azioni coinvolgono più risorse. Ad esempio, StartReplicationTask avvia e connette un'attività di replica a due risorse endpoint del database, un'origine e una destinazione, quindi un IAM utente deve disporre delle autorizzazioni per leggere l'endpoint di origine e scrivere sull'endpoint di destinazione. Per specificare più risorse in una singola istruzione, separale con virgole. ARNs

"Resource": [
      "resource1",
      "resource2" ]

Per ulteriori informazioni sul controllo dell'accesso alle AWS DMS risorse mediante le politiche, vedereUtilizzo dei nomi delle risorse per il controllo dell'accesso. Per visualizzare un elenco dei tipi di AWS DMS risorse e relativiARNs, vedere Resources Defined by AWS Database Migration Service nella Guida per l'IAMutente. Per sapere con quali azioni è possibile specificare le caratteristiche ARN di ciascuna risorsa, consulta Azioni definite da AWS Database Migration Service.

Chiavi di condizione

Gli amministratori possono utilizzare AWS JSON le policy per specificare chi ha accesso a cosa. Cioè, quale principale può eseguire azioni su quali risorse, e in quali condizioni.

L'elemento Condition(o blocco Condition) consente di specificare le condizioni in cui un'istruzione è in vigore. L'elemento Conditionè facoltativo. Puoi compilare espressioni condizionali che utilizzano operatori di condizione, ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta.

Se specifichi più elementi Conditionin un'istruzione o più chiavi in un singolo elemento Condition, questi vengono valutati da AWS utilizzando un'operazione ANDlogica. Se si specificano più valori per una singola chiave di condizione, AWS valuta la condizione utilizzando un'operazione logicaOR. Tutte le condizioni devono essere soddisfatte prima che le autorizzazioni dell'istruzione vengano concesse.

Puoi anche utilizzare variabili segnaposto quando specifichi le condizioni. Ad esempio, è possibile concedere a un IAM utente l'autorizzazione ad accedere a una risorsa solo se è contrassegnata con il suo nome IAM utente. Per ulteriori informazioni, consulta gli elementi IAM della politica: variabili e tag nella Guida IAM per l'utente.

AWS supporta chiavi di condizione globali e chiavi di condizione specifiche del servizio. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'IAMutente.

AWS DMS definisce il proprio set di chiavi di condizione e supporta anche l'utilizzo di alcune chiavi di condizione globali. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida IAM per l'utente.

AWS DMS definisce un set di tag standard che è possibile utilizzare nelle relative chiavi di condizione e consente inoltre di definire tag personalizzati. Per ulteriori informazioni, consulta Utilizzo dei tag per controllare l'accesso.

Per visualizzare un elenco di chiavi di AWS DMS condizione, consulta Condition Keys AWS Database Migration Service nella Guida per l'IAMutente. Per informazioni su azioni e risorse con cui è possibile utilizzare una chiave di condizione, consulta Operazioni definite da AWS Database Migration Service e Risorse definite da AWS Database Migration Service.

Esempi

Per visualizzare esempi di politiche AWS DMS basate sull'identità, vedere. AWS Database Migration Service esempi di politiche basate sull'identità

Policy di AWS DMS basate sulle risorse

Le politiche basate sulle risorse sono documenti JSON politici che specificano quali azioni un determinato principale può eseguire su una determinata AWS DMS risorsa e in quali condizioni. AWS DMS supporta politiche di autorizzazione basate sulle risorse per le chiavi di AWS KMS crittografia create per crittografare i dati migrati verso gli endpoint di destinazione supportati. Gli endpoint di destinazione supportati includono Amazon Redshift e Amazon S3. Utilizzando le policy basate su risorse, è possibile concedere l'autorizzazione per l'utilizzo di queste chiavi di crittografia ad altri account per ciascun endpoint di destinazione.

Per abilitare l'accesso tra più account, puoi specificare un intero account o IAM entità in un altro account come principale in una politica basata sulle risorse. L'aggiunta di un principale multi-account a una policy basata sulle risorse rappresenta solo una parte della relazione di trust. Quando il principale e la risorsa si trovano in AWS account diversi, è inoltre necessario concedere all'entità principale l'autorizzazione ad accedere alla risorsa. Concedi l'autorizzazione collegando una policy basata sull'identità all'entità. Tuttavia, se una policy basata su risorse concede l'accesso a un'entità principale nello stesso account, non sono richieste ulteriori policy basate su identità. Per ulteriori informazioni, consulta In che modo IAM i ruoli differiscono dalle politiche basate sulle risorse nella Guida per l'IAMutente.

Il AWS DMS servizio supporta solo un tipo di policy basata sulle risorse denominata policy chiave, che è collegata a una chiave di crittografia. AWS KMS Questa policy definisce quali entità principali (account, utenti, ruoli e utenti federati) possono eseguire la crittografia dei dati migrati nell'endpoint di destinazione supportato.

Per informazioni su come collegare una policy basata su risorse a una chiave di crittografia creata per gli endpoint di destinazione supportati, consulta Creazione e utilizzo delle chiavi AWS KMS per la crittografia dei dati di destinazione Amazon Redshift e Creazione di AWS KMS chiavi per crittografare gli oggetti di destinazione di Amazon S3.

Esempi

Per esempi di politiche basate sulle AWS DMS risorse, vedere. Esempi di politiche basate sulle risorse per AWS KMS

Autorizzazione basata su tag AWS DMS

È possibile allegare tag alle AWS DMS risorse o passare tag in una richiesta a. AWS DMS Per controllare l'accesso in base ai tag, fornisci le informazioni sui tag nell'elemento condition di una policy utilizzando il tasto dms:ResourceTag/key-nameaws:RequestTag/key-name, o aws:TagKeys condition. AWS DMS definisce un set di tag standard che è possibile utilizzare nelle relative chiavi di condizione e consente inoltre di definire tag personalizzati. Per ulteriori informazioni, consulta Utilizzo dei tag per controllare l'accesso.

Per un esempio di policy basata su identità che limita l'accesso a una risorsa in base ai tag, consulta Accesso alle risorse AWS DMS in base ai tag.

IAMruoli per AWS DMS

Un IAMruolo è un'entità all'interno del tuo AWS account che dispone di autorizzazioni specifiche.

Utilizzo di credenziali temporanee con AWS DMS

Puoi utilizzare credenziali temporanee per accedere con la federazione, assumere un IAM ruolo o assumere un ruolo tra account. È possibile ottenere credenziali di sicurezza temporanee chiamando AWS STS API operazioni come o. AssumeRoleGetFederationToken

AWS DMS supporta l'utilizzo di credenziali temporanee.

Ruoli collegati ai servizi

I ruoli collegati ai AWS servizi consentono ai servizi di accedere alle risorse di altri servizi per completare un'azione per conto dell'utente. I ruoli collegati ai servizi vengono visualizzati nell'IAMaccount e sono di proprietà del servizio. Un IAM amministratore può visualizzare ma non modificare le autorizzazioni per i ruoli collegati al servizio.

Per informazioni dettagliate sulla creazione o la gestione di ruoli collegati AWS DMS ai servizi, consulta. Utilizzo di ruoli collegati ai servizi

Ruoli dei servizi

Questa caratteristica consente a un servizio di assumere un ruolo di servizio per conto dell'utente. Questo ruolo consente al servizio di accedere alle risorse in altri servizi per completare un'azione per conto dell'utente. I ruoli di servizio vengono visualizzati nell'IAMaccount e sono di proprietà dell'account. Ciò significa che un IAM amministratore può modificare le autorizzazioni per questo ruolo. Tuttavia, il farlo potrebbe pregiudicare la funzionalità del servizio.

AWS DMS supporta due tipi di ruoli di servizio che è necessario creare per utilizzare determinati endpoint di origine o destinazione:

Scelta di un IAM ruolo in AWS DMS

Se utilizzi AWS CLI o the AWS DMS API per la migrazione del database, devi aggiungere determinati IAM ruoli al tuo AWS account prima di poter utilizzare le funzionalità di AWS DMS. Due di questi sono dms-vpc-role e dms-cloudwatch-logs-role. Se utilizzi Amazon Redshift come database di destinazione, devi anche aggiungere il IAM ruolo dms-access-for-endpoint al tuo AWS account. Per ulteriori informazioni, consulta Creazione dei IAM ruoli da utilizzare con AWS CLI e AWS DMS API.

Gestione delle identità e degli accessi per DMS Fleet Advisor

Con le politiche IAM basate sull'identità, puoi specificare azioni e risorse consentite o negate, nonché le condizioni in base alle quali le azioni sono consentite o negate. DMSFleet Advisor supporta azioni, risorse e chiavi di condizione specifiche. Per conoscere tutti gli elementi utilizzati in una JSON politica, consulta il riferimento agli elementi IAM JSON della politica nella Guida per l'IAMutente.

DMSFleet Advisor utilizza IAM i ruoli per accedere ad Amazon Simple Storage Service. Un IAMruolo è un'entità all'interno del tuo AWS account che dispone di autorizzazioni specifiche. Per ulteriori informazioni, consulta Creazione di risorse IAM.