AWS Application Discovery Service 不再向新客戶開放。或者，使用 AWS Transform 提供類似的功能。如需詳細資訊，請參閱 [AWS Application Discovery Service 可用性變更](https://docs.aws.amazon.com/application-discovery/latest/userguide/application-discovery-service-availability-change.html)。
本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 中的安全性 AWS Application Discovery Service
的雲端安全 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構是為了滿足最安全敏感組織的需求而建置。
安全性是 AWS 與您之間的共同責任。[共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/) 將此描述為雲端*的*安全和雲端*內*的安全：
+ **雲端的安全性** – AWS 負責保護在 Cloud AWS 中執行 AWS 服務的基礎設施。 AWS 也為您提供可安全使用的服務。第三方稽核人員定期檢測及驗證安全的效率也是我們 [AWS 合規計劃](https://aws.amazon.com/compliance/programs/)的一部分。
+ **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對資料敏感度、組織要求，以及適用法律和法規等其他因素負責。
若要使用 AWS Application Discovery Agent 或 Application Discovery Service Agentless Collector，您必須將存取金鑰提供給 AWS 您的帳戶。然後，此資訊會存放在您的本機基礎設施上。作為共同責任模型的一部分，您有責任保護對基礎設施的存取。
本文件將協助您了解如何在使用 Application Discovery Service 時套用共同責任模型。下列主題說明如何設定 Application Discovery Service 以符合您的安全與合規目標。您也將了解如何使用其他 AWS 服務，協助您監控和保護 Application Discovery Service 資源。
**Topics**
+ [的 Identity and Access Management AWS Application Discovery Service](security-iam.md)
+ [使用 記錄 Application Discovery Service API 呼叫 AWS CloudTrail](logging-using-cloudtrail.md)
# 的 Identity and Access Management AWS Application Discovery Service
AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 Application Discovery Service 資源。IAM 是 AWS 服務 您可以免費使用的 。
**Topics**
+ [目標對象](#security_iam_audience)
+ [使用身分驗證](#security_iam_authentication)
+ [使用政策管理存取權](#security_iam_access-manage)
+ [AWS Application Discovery Service 如何使用 IAM](security_iam_service-with-iam.md)
+ [AWS 的 受管政策 AWS Application Discovery Service](security-iam-awsmanpol.md)
+ [AWS Application Discovery Service 身分型政策範例](security_iam_id-based-policy-examples.md)
+ [使用 Application Discovery Service 的服務連結角色](using-service-linked-roles.md)
+ [對 AWS Application Discovery Service Identity and Access 進行故障診斷](security_iam_troubleshoot.md)
## 目標對象
使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同：
+ **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS Application Discovery Service Identity and Access 進行故障診斷](security_iam_troubleshoot.md))
+ **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS Application Discovery Service 如何使用 IAM](security_iam_service-with-iam.md))
+ **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [AWS Application Discovery Service 身分型政策範例](security_iam_id-based-policy-examples.md))
## 使用身分驗證
身分驗證是您 AWS 使用身分憑證登入 的方式。您必須驗證為 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色。
您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。
對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。
### AWS 帳戶 根使用者
當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
### IAM 使用者和群組
*IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。
[IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。
### IAM 角色
*IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。
IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
## 使用政策管理存取權
您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。
管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。
預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。
### 身分型政策
身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。
### 資源型政策
資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。
資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。
### 存取控制清單 (ACL)
存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。
Amazon S3 AWS WAF和 Amazon VPC 是支援 ACLs的服務範例。如需進一步了解 ACL，請參閱《Amazon Simple Storage Service 開發人員指南》**中的[存取控制清單 (ACL) 概觀](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。
### 其他政策類型
AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可：
+ **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。
+ **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。
+ **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
### 多種政策類型
當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 決定是否在涉及多個政策類型時允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
# AWS Application Discovery Service 如何使用 IAM
使用 IAM 管理 Application Discovery Service 的存取權之前，您應該了解哪些 IAM 功能可與 Application Discovery Service 搭配使用。若要全面了解 Application Discovery Service 和其他 AWS 服務如何與 IAM 搭配使用，請參閱《*IAM 使用者指南*》中的與 [AWS IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
**Topics**
+ [Application Discovery Service 身分型政策](#security_iam_service-with-iam-id-based-policies)
+ [Application Discovery Service 資源型政策](#security_iam_service-with-iam-resource-based-policies)
+ [以 Application Discovery Service 標籤為基礎的授權](#security_iam_service-with-iam-tags)
+ [Application Discovery Service IAM 角色](#security_iam_service-with-iam-roles)
## Application Discovery Service 身分型政策
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。Application Discovery Service 支援特定動作、資源和條件索引鍵。若要了解您在 JSON 政策中使用的所有元素，請參閱 *IAM 使用者指南*中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### 動作
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
Application Discovery Service 中的政策動作在動作之前使用下列字首：`discovery:`。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Application Discovery Service 會定義自己的一組動作，描述您可以使用此服務執行的任務。
若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示：
```
"Action": [
"discovery:action1",
"discovery:action2"
```
您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Describe` 文字的所有動作，請包含以下動作：
```
"Action": "discovery:Describe*"
```
若要查看 Application Discovery Service 動作的清單，請參閱《*IAM 使用者指南*》中的 [定義的動作 AWS Application Discovery Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_applicationdiscovery.html#awskeymanagementservice-actions-as-permissions)。
### Resources
Application Discovery Service 不支援在政策中指定資源 ARNs。若要區隔存取，請建立並使用個別的 AWS 帳戶。
### 條件索引鍵
Application Discovery Service 不提供任何服務特定的條件金鑰，但支援使用一些全域條件金鑰。若要查看所有 AWS 全域條件金鑰，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
### 範例
若要檢視 Application Discovery Service 身分型政策的範例，請參閱 [AWS Application Discovery Service 身分型政策範例](security_iam_id-based-policy-examples.md)。
## Application Discovery Service 資源型政策
Application Discovery Service 不支援以資源為基礎的政策。
## 以 Application Discovery Service 標籤為基礎的授權
Application Discovery Service 不支援標記資源或根據標籤控制存取。
## Application Discovery Service IAM 角色
[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。
### 搭配 Application Discovery Service 使用臨時登入資料
Application Discovery Service 不支援使用臨時登入資料。
### 服務連結角色
[服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)可讓 AWS 服務存取其他服務中的資源，以代表您完成 動作。服務連結角色會顯示在您的 IAM 帳戶中，並由該服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
Application Discovery Service 支援服務連結角色。如需建立或管理 Application Discovery Service 服務連結角色的詳細資訊，請參閱 [使用 Application Discovery Service 的服務連結角色](using-service-linked-roles.md)。
### 服務角色
此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，且由該帳戶所擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。
Application Discovery Service 支援服務角色。
# AWS 的 受管政策 AWS Application Discovery Service
若要新增許可給使用者、群組和角色，使用 AWS 受管政策比自行撰寫政策更容易。建立 [IAM 客戶受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要時間和專業知識，而受管政策可為您的團隊提供其所需的許可。若要快速開始使用，您可以使用我們的 AWS 受管政策。這些政策涵蓋常見的使用案例，並可在您的 AWS 帳戶中使用。如需 AWS 受管政策的詳細資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
AWS 服務會維護和更新 AWS 受管政策。您無法變更 AWS 受管政策中的許可。服務偶爾會在 AWS 受管政策中新增其他許可以支援新功能。此類型的更新會影響已連接政策的所有身分識別 (使用者、群組和角色)。當新功能啟動或新操作可用時，服務很可能會更新 AWS 受管政策。服務不會從 AWS 受管政策移除許可，因此政策更新不會破壞您現有的許可。
此外， AWS 支援跨多個 服務之任務函數的受管政策。例如，**ReadOnlyAccess** AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時， 會為新操作和資源 AWS 新增唯讀許可。如需任務職能政策的清單和說明，請參閱 *IAM 使用者指南*中[有關任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
## AWS 受管政策：AWSApplicationDiscoveryServiceFullAccess
此`AWSApplicationDiscoveryServiceFullAccess`政策會授予 IAM 使用者帳戶對 Application Discovery Service 和 Migration Hub APIs存取權。
連接此政策的 IAM 使用者帳戶可以設定 Application Discovery Service、啟動和停止代理程式、啟動和停止無代理程式探索，以及從 AWS Discovery Service 資料庫查詢資料。如需此政策的範例，請參閱 [授予 Application Discovery Service 的完整存取權](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-ads-fullaccess)。
## AWS 受管政策：AWSApplicationDiscoveryAgentlessCollectorAccess
`AWSApplicationDiscoveryAgentlessCollectorAccess` 受管政策授予 Application Discovery Service Agentless Collector (Agentless Collector) 註冊和與 Application Discovery Service 通訊，以及與其他 AWS 服務通訊的存取權。
此政策必須連接到登入資料用於設定 Agentless Collector 的 IAM 使用者。
**許可詳細資訊**
此政策包含以下許可。
+ `arsenal` – 允許收集器向 Application Discovery Service 應用程式註冊。這對於能夠將收集的資料傳回 是必要的 AWS。
+ `ecr-public` – 允許收集器呼叫 Amazon Elastic Container Registry Public (Amazon ECR Public)，其中會為收集器找到最新的更新。
+ `mgh` – 允許收集器呼叫 AWS Migration Hub 來擷取用於設定收集器之帳戶的主區域。這對於知道應將收集的資料傳送到哪個區域是必要的。
+ `sts` – 允許收集器擷取服務承載字符，以便收集器可以呼叫 Amazon ECR Public 以取得最新的更新。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"arsenal:RegisterOnPremisesAgent"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"ecr-public:DescribeImages"
],
"Resource": "arn:aws:ecr-public::446372222237:repository/6e5498e4-8c31-4f57-9991-13b4b992ff7b"
},
{
"Effect": "Allow",
"Action": [
"ecr-public:GetAuthorizationToken"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"mgh:GetHomeRegion"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"sts:GetServiceBearerToken"
],
"Resource": "*"
}
]
}
```
------
## AWS 受管政策：AWSApplicationDiscoveryAgentAccess
`AWSApplicationDiscoveryAgentAccess` 政策授予 Application Discovery Agent 註冊和與 Application Discovery Service 通訊的存取權。
您可以將此政策連接至任何使用者，其登入資料由 Application Discovery Agent 使用。
此政策也會授予使用者 Arsenal 的存取許可。Arsenal 是由 管理和託管的代理程式服務 AWS。Arsenal 會將資料轉送至雲端中的 Application Discovery Service。如需此政策的範例，請參閱 [授予探索代理程式的存取權](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-ads-agentaccess)。
## AWS 受管政策：AWSAgentlessDiscoveryService
此`AWSAgentlessDiscoveryService`政策會授予在 VMware vCenter Server 中執行的 AWS Agentless Discovery Connector 存取權，以向 Application Discovery Service 註冊、通訊和共用連接器運作狀態指標。
您將此政策連接到其登入資料要為連接器所使用的任何使用者。
## AWS 受管政策：ApplicationDiscoveryServiceContinuousExportServiceRolePolicy
如果您的 IAM 帳戶已連接 `AWSApplicationDiscoveryServiceFullAccess`政策，當您在 Amazon Athena 中開啟資料探勘時`ApplicationDiscoveryServiceContinuousExportServiceRolePolicy`， 會自動連接到您的帳戶。
此政策允許 AWS Application Discovery Service 建立 Amazon Data Firehose 串流，以將 AWS Application Discovery Service 客服人員收集的資料轉換和交付至您 AWS 帳戶中的 Amazon S3 儲存貯體。
此外，此政策 AWS Glue Data Catalog 會使用稱為 *application\$1discovery\$1service\$1database* 的新資料庫和資料表結構描述來建立 ，以映射代理程式所收集的資料。如需此政策的範例，請參閱 [授予代理程式資料收集的許可](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-ads-export-service)。
## AWS 受管政策：AWSDiscoveryContinuousExportFirehosePolicy
在 Amazon Athena 中使用資料探勘需要此`AWSDiscoveryContinuousExportFirehosePolicy`政策。它允許 Amazon Data Firehose 將從 Application Discovery Service 收集的資料寫入 Amazon S3。如需有關使用此政策的資訊，請參閱 [建立 AWSApplicationDiscoveryServiceFirehose 角色](#security-iam-awsmanpol-create-firehose-role)。如需此政策的範例，請參閱 [授予資料探勘的許可](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-ads-export-firehose)。
## 建立 AWSApplicationDiscoveryServiceFirehose 角色
管理員會將受管政策連接至您的 IAM 使用者帳戶。使用`AWSDiscoveryContinuousExportFirehosePolicy`政策時，管理員必須先建立名為 **AWSApplicationDiscoveryServiceFirehose** 的角色，並將 Firehose 做為信任的實體，然後將`AWSDiscoveryContinuousExportFirehosePolicy`政策連接至角色，如下列程序所示。
**建立 **AWSApplicationDiscoveryServiceFirehose** IAM 角色**
1. 在 IAM 主控台中，選擇導覽窗格中**的角色**。
1. 選擇**建立角色**。
1. 選擇 **Kinesis (Kinesis)**。
1. 選擇 **Kinesis Firehose (Kinesis Firehose)** 做為您的使用案例。
1. 選擇**下一步：許可**。
1. 在 **Filter Policies (篩選條件政策)** 下搜尋 **AWSDiscoveryContinuousExportFirehosePolicy**。
1. 選取 **AWSDiscoveryContinuousExportFirehosePolicy** 旁邊的方塊，然後選擇 **Next: Review (下一步：檢閱)**。
1. 輸入 **AWSApplicationDiscoveryServiceFirehose** 做為角色名稱，然後選擇 **Create role (建立角色)**。
## AWS 受管政策的 Application Discovery Service 更新
檢視自此服務開始追蹤這些變更以來，Application Discovery Service AWS 受管政策更新的詳細資訊。如需有關此頁面變更的自動提醒，請訂閱 [的文件歷史記錄 AWS Application Discovery Service](doc-history.md) 頁面的 RSS 摘要。
| 變更 | 描述 | Date |
| --- | --- | --- |
| [AWSApplicationDiscoveryAgentlessCollectorAccess](#security-iam-awsmanpol-AWSApplicationDiscoveryAgentlessCollectorAccess) – 無代理程式收集器啟動時提供的新政策 | Application Discovery Service 新增了新的受管政策`AWSApplicationDiscoveryAgentlessCollectorAccess`，授予 Agentless Collector 註冊和與 Application Discovery Service 通訊，以及與其他 AWS 服務通訊的存取權。 | 2022 年 8 月 16 日 |
| Application Discovery Service 已開始追蹤變更 | Application Discovery Service 開始追蹤其 AWS 受管政策的變更。 | 2021 年 3 月 1 日 |
# AWS Application Discovery Service 身分型政策範例
根據預設，IAM 使用者和角色沒有建立或修改 Application Discovery Service 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予使用者和角色在指定資源上執行特定 API 作業的所需許可。管理員接著必須將這些政策連接至需要這些許可的 IAM 使用者或群組。
若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《IAM 使用者指南》**中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。
**Topics**
+ [政策最佳實務](#security_iam_service-with-iam-policy-best-practices)
+ [授予 Application Discovery Service 的完整存取權](#security_iam_id-based-policy-examples-ads-fullaccess)
+ [授予探索代理程式的存取權](#security_iam_id-based-policy-examples-ads-agentaccess)
+ [授予代理程式資料收集的許可](#security_iam_id-based-policy-examples-ads-export-service)
+ [授予資料探勘的許可](#security_iam_id-based-policy-examples-ads-export-firehose)
+ [授予使用 Migration Hub 主控台網路圖表的許可](#security_iam_id-based-policy-examples-network-connection-graph)
## 政策最佳實務
身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Application Discovery Service 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 授予 Application Discovery Service 的完整存取權
AWSApplicationDiscoveryServiceFullAccess 受管政策會授予 IAM 使用者帳戶對 Application Discovery Service 和 Migration Hub APIs存取權。
將此政策連接到其帳戶的 IAM 使用者可以設定 Application Discovery Service、啟動和停止代理程式、啟動和停止無代理程式探索，以及從 AWS Discovery Service 資料庫查詢資料。如需此政策的詳細資訊，請參閱 [AWS 的 受管政策 AWS Application Discovery Service](security-iam-awsmanpol.md)。
**Example AWSApplicationDiscoveryServiceFullAccess 政策**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"mgh:*",
"discovery:*"
],
"Effect": "Allow",
"Resource": "*"
},
{
"Action": [
"iam:GetRole"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
## 授予探索代理程式的存取權
AWSApplicationDiscoveryAgentAccess 受管政策授予 Application Discovery Agent 註冊和與 Application Discovery Service 通訊的存取權。如需此政策的詳細資訊，請參閱 [AWS 的 受管政策 AWS Application Discovery Service](security-iam-awsmanpol.md)。
將此政策連接到任何使用者，其登入資料由 Application Discovery Agent 使用。
此政策也會授予使用者 Arsenal 的存取許可。Arsenal 是由 管理和託管的代理程式服務 AWS。Arsenal 會將資料轉送至雲端中的 Application Discovery Service。
**Example AWSApplicationDiscoveryAgentAccess 政策**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"arsenal:RegisterOnPremisesAgent"
],
"Resource": "*"
}
]
}
```
## 授予代理程式資料收集的許可
ApplicationDiscoveryServiceContinuousExportServiceRolePolicy 受管政策允許 AWS Application Discovery Service 建立 Amazon Data Firehose 串流，以將 Application Discovery Service 代理程式所收集的資料轉換和交付至您 AWS 帳戶中的 Amazon S3 儲存貯體。
此外，此政策會使用名為 的新資料庫`application_discovery_service_database`和資料表結構描述來建立 AWS Glue Data Catalog，以映射代理程式所收集的資料。
如需有關使用此政策的資訊，請參閱 [AWS 的 受管政策 AWS Application Discovery Service](security-iam-awsmanpol.md)。
**Example ApplicationDiscoveryServiceContinuousExportServiceRolePolicy**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"glue:CreateDatabase",
"glue:UpdateDatabase",
"glue:CreateTable",
"glue:UpdateTable",
"firehose:CreateDeliveryStream",
"firehose:DescribeDeliveryStream",
"logs:CreateLogGroup"
],
"Effect": "Allow",
"Resource": "*"
},
{
"Action": [
"firehose:DeleteDeliveryStream",
"firehose:PutRecord",
"firehose:PutRecordBatch",
"firehose:UpdateDestination"
],
"Effect": "Allow",
"Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*"
},
{
"Action": [
"s3:CreateBucket",
"s3:ListBucket",
"s3:PutBucketLogging",
"s3:PutEncryptionConfiguration"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::aws-application-discovery-service*"
},
{
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::aws-application-discovery-service*/*"
},
{
"Action": [
"logs:CreateLogStream",
"logs:PutRetentionPolicy"
],
"Effect": "Allow",
"Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*"
},
{
"Action": [
"iam:PassRole"
],
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose",
"Condition": {
"StringLike": {
"iam:PassedToService": "firehose.amazonaws.com"
}
}
},
{
"Action": [
"iam:PassRole"
],
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose",
"Condition": {
"StringLike": {
"iam:PassedToService": "firehose.amazonaws.com"
}
}
}
]
}
```
## 授予資料探勘的許可
在 Amazon Athena 中使用資料探勘需要 AWSDiscoveryContinuousExportFirehosePolicy 政策。它允許 Amazon Data Firehose 將從 Application Discovery Service 收集的資料寫入 Amazon S3。如需有關使用此政策的資訊，請參閱 [建立 AWSApplicationDiscoveryServiceFirehose 角色](security-iam-awsmanpol.md#security-iam-awsmanpol-create-firehose-role)。
**Example AWSDiscoveryContinuousExportFirehosePolicy**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"glue:GetTableVersions"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"s3:AbortMultipartUpload",
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListBucket",
"s3:ListBucketMultipartUploads",
"s3:PutObject"
],
"Resource": [
"arn:aws:s3:::aws-application-discovery-service-*",
"arn:aws:s3:::aws-application-discovery-service-*/*"
]
},
{
"Effect": "Allow",
"Action": [
"logs:PutLogEvents"
],
"Resource": [
"arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose:log-stream:*"
]
}
]
}
```
## 授予使用 Migration Hub 主控台網路圖表的許可
若要在建立允許或拒絕存取 Application Discovery Service 或 Migration Hub 的身分型政策時授予 AWS Migration Hub 主控台網路圖表的存取權，您可能需要將 `discovery:GetNetworkConnectionGraph`動作新增至政策。
您必須在新政策中使用 `discovery:GetNetworkConnectionGraph`動作，或在政策為 true 時更新較舊的政策：
+ 此政策允許或拒絕存取 Application Discovery Service 或 Migration Hub。
+ 政策會使用比 更具體的探索動作來授予存取許可，`discovery:action-name`而不是 `discovery:*`。
下列範例示範如何在 IAM 政策中使用 `discovery:GetNetworkConnectionGraph`動作。
**Example**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": ["discovery:GetNetworkConnectionGraph"],
"Resource": "*"
}
]
}
```
如需有關 Migration Hub 網路圖表的資訊，請參閱在 [Migration Hub 中檢視網路連線](https://docs.aws.amazon.com/migrationhub/latest/ug/network-diagram.html)。
# 使用 Application Discovery Service 的服務連結角色
AWS Application Discovery Service use AWS Identity and Access Management (IAM)[ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Application Discovery Service 的唯一 IAM 角色類型。服務連結角色由 Application Discovery Service 預先定義，並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓您更輕鬆地設定 Application Discovery Service，因為您不必手動新增必要的許可。Application Discovery Service 定義其服務連結角色的許可，除非另有定義，否則只有 Application Discovery Service 可以擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
您必須先刪除服務連結角色的相關資源，才能將其刪除。這可保護您的 Application Discovery Service 資源，因為您不會不小心移除存取資源的許可。
**Topics**
+ [Application Discovery Service 的服務連結角色許可](service-linked-role-permissions.md)
+ [為 Application Discovery Service 建立服務連結角色](create-service-linked-role.md)
+ [刪除 Application Discovery Service 的服務連結角色](delete-service-linked-role.md)
如需關於支援服務連結角色的其他服務的資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並尋找 **Service-Linked Role** (服務連結角色) 欄顯示為 **Yes** (是) 的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
# Application Discovery Service 的服務連結角色許可
Application Discovery Service 使用名為 **AWSServiceRoleForApplicationDiscoveryServiceContinuousExport** 的服務連結角色 – 允許存取使用或管理的 AWS 服務和資源 AWS Application Discovery Service。
AWSServiceRoleForApplicationDiscoveryServiceContinuousExport 服務連結角色信任下列服務擔任該角色：
+ `continuousexport.discovery.amazonaws.com`
角色許可政策允許 Application Discovery Service 完成下列動作：
glue
`CreateDatabase`
`UpdateDatabase`
`CreateTable`
`UpdateTable`
firehose
`CreateDeliveryStream`
`DeleteDeliveryStream`
`DescribeDeliveryStream`
`PutRecord`
`PutRecordBatch`
`UpdateDestination`
s3
`CreateBucket`
`ListBucket`
`GetObject`
日誌
`CreateLogGroup`
`CreateLogStream`
`PutRetentionPolicy`
iam
`PassRole`
此為顯示以上動作可套用於哪些資源的完整政策：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"glue:CreateDatabase",
"glue:UpdateDatabase",
"glue:CreateTable",
"glue:UpdateTable",
"firehose:CreateDeliveryStream",
"firehose:DescribeDeliveryStream",
"logs:CreateLogGroup"
],
"Effect": "Allow",
"Resource": "*"
},
{
"Action": [
"firehose:DeleteDeliveryStream",
"firehose:PutRecord",
"firehose:PutRecordBatch",
"firehose:UpdateDestination"
],
"Effect": "Allow",
"Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*"
},
{
"Action": [
"s3:CreateBucket",
"s3:ListBucket",
"s3:PutBucketLogging",
"s3:PutEncryptionConfiguration"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::aws-application-discovery-service*"
},
{
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::aws-application-discovery-service*/*"
},
{
"Action": [
"logs:CreateLogStream",
"logs:PutRetentionPolicy"
],
"Effect": "Allow",
"Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*"
},
{
"Action": [
"iam:PassRole"
],
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose",
"Condition": {
"StringLike": {
"iam:PassedToService": "firehose.amazonaws.com"
}
}
},
{
"Action": [
"iam:PassRole"
],
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose",
"Condition": {
"StringLike": {
"iam:PassedToService": "firehose.amazonaws.com"
}
}
}
]
}
```
------
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
# 為 Application Discovery Service 建立服務連結角色
您不需要手動建立服務連結角色，當您使用 AWSServiceRoleForApplicationDiscoveryServiceContinuousExport 服務連結角色會在以下情況下自動建立：a) 在您選擇「開始資料收集」，或按一下標記為「在 Athena 中探索資料」或 b) AWS 的滑桿後，從資料收集器頁面顯示的對話方塊中確認選項。 StartContinuousExport
**重要**
此服務連結角色可以顯示在您的帳戶，如果您於其他服務中完成一項動作時，可以使用支援此角色的功能。若要進一步了解，請參閱[我的 IAM 帳戶中出現的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。
## 從 Migration Hub 主控台建立服務連結角色
您可以使用 Migration Hub 主控台來建立 AWSServiceRoleForApplicationDiscoveryServiceContinuousExport 服務連結角色。
**建立該服務連結角色 (主控台)**
1. 在導覽窗格中，選擇 **Data Collectors (資料收集器)**。
1. 選擇 **Agents (代理程式)** 索引標籤。
1. 將 **Athena 滑桿中的資料探索**切換到開啟位置。
1. 在上一步驟產生的對話方塊中，按一下核取方塊以同意相關成本並選擇 **Continue (繼續)** 或 **Enable (啟用)**。
## 從 建立服務連結角色 AWS CLI
您可以從 使用 Application Discovery Service 命令 AWS Command Line Interface 來建立 AWSServiceRoleForApplicationDiscoveryServiceContinuousExport 服務連結角色。
當您從 開始連續匯出時，會自動建立此服務連結角色 AWS CLI ( AWS CLI 必須先在您的環境中安裝 )。
**從 開始連續匯出，以建立服務連結角色 (CLI) AWS CLI**
1. AWS CLI 為您的作業系統 (Linux、macOS 或 Windows) 安裝 。如需說明，請參閱 [AWS Command Line Interface 使用者指南](https://docs.aws.amazon.com/cli/latest/userguide/)。
1. 開啟命令提示字元 (Windows) 或終端機 (Linux 或 macOS)。
1. 輸入 `aws configure` 然後按 Enter 鍵。
1. 輸入您的 AWS 存取金鑰 ID 和 AWS 私密存取金鑰。
1. 輸入預設區域名稱的 `us-west-2`。
1. 輸入預設輸出格式的 `text`。
1. 鍵入以下命令：
```
aws discovery start-continuous-export
```
您也可以使用 IAM 主控台，透過 **Discovery Service - Continuous Export **使用案例建立服務連結角色。在 IAM CLI 或 IAM API 中，建立一個使用 `continuousexport.discovery.amazonaws.com` 服務名稱的服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。
# 刪除 Application Discovery Service 的服務連結角色
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，務必清除您的服務連結角色，之後才能以手動方式將其刪除。
## 清除 服務連結角色
在您使用 IAM 刪除服務連結角色之前，您必須先刪除該角色所使用的任何資源。
**注意**
如果 Application Discovery Service 在您嘗試刪除資源時使用角色，則刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。
**從 Migration Hub 主控台刪除 AWSServiceRoleForApplicationDiscoveryServiceContinuousExport 服務連結角色所使用的 Application Discovery Service 資源**
1. 在導覽窗格中，選擇 **Data Collectors (資料收集器)**。
1. 選擇 **Agents (代理程式)** 索引標籤。
1. 將 **Athena 滑桿中的資料探索**切換到關閉位置。
**從 刪除 AWSServiceRoleForApplicationDiscoveryServiceContinuousExport 服務連結角色所使用的 Application Discovery Service 資源 AWS CLI**
1. AWS CLI 為您的作業系統 (Linux、macOS 或 Windows) 安裝 。如需說明，請參閱 [AWS Command Line Interface 使用者指南](https://docs.aws.amazon.com/cli/latest/userguide/)。
1. 開啟命令提示字元 (Windows) 或終端機 (Linux 或 macOS)。
1. 輸入 `aws configure` 然後按 Enter 鍵。
1. 輸入您的 AWS 存取金鑰 ID 和 AWS 私密存取金鑰。
1. 輸入預設區域名稱的 `us-west-2`。
1. 輸入預設輸出格式的 `text`。
1. 鍵入以下命令：
```
aws discovery stop-continuous-export --export-id
```
1. 如果您不知道想停止之持續匯出的匯出 ID，請輸入下列命令，以查看持續匯出的 ID：
```
aws discovery describe-continuous-exports
```
1. 輸入下列命令，確認其傳回狀態為「INACTIVE」，以確保持續匯出已停止：
```
aws discovery describe-continuous-export
```
## 手動刪除服務連結角色
您可以使用 IAM 主控台、IAM CLI 或 IAM API 刪除 AWSServiceRoleForApplicationDiscoveryServiceContinuousExport 服務連結角色。如果您不再需要使用需要此服務連結角色的 Discovery Service - 持續匯出功能，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
**注意**
您必須先清除您的服務連結角色才能將其刪除。請參閱[清除 服務連結角色](#service-linked-role-review-before-delete)。
# 對 AWS Application Discovery Service Identity and Access 進行故障診斷
使用以下資訊來協助您診斷和修正使用 Application Discovery Service 和 IAM 時可能遇到的常見問題。
**Topics**
+ [我未獲得執行 iam：PassRole 的授權](#security_iam_troubleshoot-passrole)
## 我未獲得執行 iam：PassRole 的授權
如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞給 Application Discovery Service。
有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。
當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 Application Discovery Service 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。
如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。
# 使用 記錄 Application Discovery Service API 呼叫 AWS CloudTrail
AWS Application Discovery Service 已與 服務整合 AWS CloudTrail，此服務提供使用者、角色或 Application Discovery Service 中 AWS 服務所採取動作的記錄。您可以使用 CloudTrail 記錄、持續監控和保留帳戶活動，以進行疑難排解和稽核。CloudTrail 會提供 AWS 帳戶活動的事件歷史記錄，包括透過 AWS 管理主控台、 AWS SDKs和命令列工具採取的動作。
CloudTrail 會將 Application Discovery Service 的所有 API 呼叫擷取為事件。擷取的呼叫包括來自 Application Discovery Service 主控台的呼叫，以及對 Application Discovery Service API 操作的程式碼呼叫。
如果您建立線索，則可以將 CloudTrail 事件持續交付至 Amazon S3 儲存貯體，包括 Application Discovery Service 的事件。即使您未設定追蹤，依然可以透過 CloudTrail 主控台中的**事件歷史記錄**檢視最新事件。您可以使用 CloudTrail 所收集的資訊，判斷向 Application Discovery Service 提出的請求、提出請求的 IP 地址、提出請求的人員、提出請求的時間，以及其他詳細資訊。
若要進一步了解 CloudTrail，請參閱[「AWS CloudTrail 使用者指南」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)。
## CloudTrail 中的 Application Discovery Service 資訊
當您建立 AWS 帳戶時，會在您的帳戶上啟用 CloudTrail。當 Application Discovery Service 中發生活動時，該活動會與**事件歷史記錄**中的其他服務 AWS 事件一起記錄在 CloudTrail 事件中。您可以在 AWS 帳戶中檢視、搜尋和下載最近的事件。如需詳細資訊，請參閱《使用 CloudTrail 事件歷史記錄檢視事件》[https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。
若要持續記錄您 AWS 帳戶中的事件，包括 Application Discovery Service 的事件，請建立追蹤。*線索*能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。根據預設，當您在主控台中建立線索時，線索會套用至所有 AWS 區域。線索會記錄 AWS 分割區中所有區域的事件，並將日誌檔案傳送到您指定的 Amazon S3 儲存貯體。此外，您可以設定其他 AWS 服務，以進一步分析和處理 CloudTrail 日誌中所收集的事件資料。如需詳細資訊，請參閱下列內容：
+ [建立追蹤的概觀](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [CloudTrail 支援的服務和整合](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html#cloudtrail-aws-service-specific-topics-integrations)
+ [設定 CloudTrail 的 Amazon SNS 通知](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/getting_notifications_top_level.html)
+ [從多個區域接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html)，以及[從多個帳戶接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
CloudTrail 會記錄所有 Application Discovery Service 動作，並記錄在 [Application Discovery Service API 參考](https://docs.aws.amazon.com/application-discovery/latest/APIReference/)中。例如，對 `CreateTags`、`DescribeTags` 以及 `GetDiscoverySummary` 動作發出的呼叫會在 CloudTrail 日誌檔案中產生項目。
每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項：
+ 是否使用根或 AWS Identity and Access Management (IAM) 使用者登入資料提出請求。
+ 提出該請求時，是否使用了特定角色或聯合身分使用者的暫時安全憑證。
+ 請求是否由其他 AWS 服務提出。
如需詳細資訊，請參閱 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。
## 了解 Application Discovery Service 日誌檔案項目
追蹤是一種組態，能讓事件以日誌檔案的形式交付到您指定的 Amazon S3 儲存貯體。CloudTrail 日誌檔案包含一或多個日誌專案。一個事件為任何來源提出的單一請求，並包含請求動作、請求的日期和時間、請求參數等資訊。CloudTrail 日誌檔並非依公有 API 呼叫的堆疊追蹤排序，因此不會以任何特定順序出現。
以下範例顯示的是展示 `DescribeTags` 動作的 CloudTrail 日誌項目。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AROAJBHMC4H6EKEXAMPLE:sample-user",
"arn": "arn:aws:sts::444455556666:assumed-role/ReadOnly/sample-user",
"accountId": "123456789012",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AIDAJQABLZS4A3QDU576Q",
"arn": "arn:aws:iam::444455556666:role/ReadOnly",
"accountId": "444455556666",
"userName": "sampleAdmin"
},
"webIdFederationData": {},
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2020-05-05T15:19:03Z"
}
}
},
"eventTime": "2020-05-05T17:02:40Z",
"eventSource": "discovery.amazonaws.com",
"eventName": "DescribeTags",
"awsRegion": "us-west-2",
"sourceIPAddress": "20.22.33.44",
"userAgent": "Coral/Netty4",
"requestParameters": {
"maxResults": 0,
"filters": [
{
"values": [
"d-server-0315rfdjreyqsq"
],
"name": "configurationId"
}
]
},
"responseElements": null,
"requestID": "mgh-console-eb1cf315-e2b4-4696-93e5-b3a3b9346b4b",
"eventID": "7b32b778-91c9-4c75-9cb0-6c852791b2eb",
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}
```