AWS Application Discovery Service 以身分為基礎的原則範例 - AWS Application Discovery Service
政策最佳實務授予完整存取權 授與代理程式存取權 授與代理程式資料收集的權限 授與資料探索的權限 授與使用網路圖的權限

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS Application Discovery Service 以身分為基礎的原則範例

依預設，IAM使用者和角色沒有建立或修改 Application Discovery Service 資源的權限。他們也無法使用 AWS Management Console AWS CLI、或執行工作 AWS API。IAM管理員必須建立IAM政策，授與使用者和角色權限，才能對他們所需的指定資源執行特定API作業。然後，系統管理員必須將這些原則附加到需要這些權限的IAM使用者或群組。

若要瞭解如何使用這些範例原則文件建立以IAM身分識別為基礎的JSON策略，請參閱使用IAM者指南中的JSON標籤上建立策略。

政策最佳實務

以身分識別為基礎的原則會決定某人是否可以建立、存取或刪除您帳戶中的 Application Discovery Service 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

  • 開始使用 AWS 受管原則並邁向最低權限權限 — 若要開始將權限授與使用者和工作負載，請使用可授與許多常見使用案例權限的AWS 受管理原則。它們可用在您的 AWS 帳戶. 建議您透過定義特定於您使用案例的 AWS 客戶管理政策，進一步降低使用權限。如需詳細資訊，請參閱AWS 《IAM使用指南》中針對工作職能的AWS 受管理策略或受管理的策略。

  • 套用最低權限權限 — 當您使用原則設定權限時，IAM只授與執行工作所需的權限。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需有關使用套用權限IAM的詳細資訊，請參閱《使用指南》IAM中的IAM《策略與權限》。

  • 使用IAM策略中的條件進一步限制存取 — 您可以在策略中新增條件，以限制對動作和資源的存取。例如，您可以撰寫政策條件，以指定必須使用傳送所有要求SSL。您也可以使用條件來授與對服務動作的存取權 (如透過特定) 使用這些動作 AWS 服務，例如 AWS CloudFormation。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。

  • 使用 IAM Access Analyzer 驗證您的原IAM則，以確保安全和功能性的權限 — IAM Access Analyzer 會驗證新的和現有的原則，以便原則遵循IAM原則語言 (JSON) 和IAM最佳做法。IAMAccess Analyzer 提供超過 100 項原則檢查和可採取動作的建議，協助您撰寫安全且功能正常的原則。如需詳細資訊，請參閱IAM使IAM用指南中的存取分析器原則驗證。

  • 需要多因素驗證 (MFA) — 如果您的案例需要使IAM用者或 root 使用者 AWS 帳戶，請開啟以取得額外MFA的安全性。若要在呼叫API作業MFA時需要，請在原則中新增MFA條件。如需詳細資訊，請參閱《IAM使用指南》中的 ＜ 設定MFA受保護的API存取 ＞。

如需有關中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

授與 Application Discovery Service 的完整存取

受 AWSApplicationDiscoveryServiceFullAccess 管理的策略會授與IAM使用者帳戶存取 Application Discovery Service 和 Migration Hub APIs。

將此原則附加至其帳戶的IAM使用者可以設定 Application Discovery Service、啟動和停止代理程式、啟動和停止無代理程式探索，以及查詢 Disco AWS very Service 資料庫中的資料。如需此政策的詳細資訊，請參閱 AWS 受管理的政策 AWS Application Discovery Service。

範例 AWSApplicationDiscoveryServiceFullAccess政策
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "mgh:*",
                "discovery:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "iam:GetRole"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

授與探索代理程式存取權

AWSApplicationDiscoveryAgentAccess 受管理的原則會授與應用程式探索代理程式存取權，以便註冊並與 Application Discovery Service 如需此政策的詳細資訊，請參閱 AWS 受管理的政策 AWS Application Discovery Service。

將此原則附加至「應用程式探索代理程式」使用其認證的任何使用者。

此政策也會授予使用者 Arsenal 的存取許可。阿森納是由管理和託管的代理服務 AWS。阿仙奴會將資料轉送至雲端中的 Application Discovery Service。

範例 AWSApplicationDiscoveryAgentAccess政策
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "arsenal:RegisterOnPremisesAgent"
            ],
            "Resource": "*"
        }
    ]
}

授與代理程式資料收集的權限

受 ApplicationDiscoveryServiceContinuousExportServiceRolePolicy 管政策 AWS Application Discovery Service 允許建立 Amazon Data Firehose 串流，以將應用程式探索服務代理程式收集的資料轉換並交付到 AWS 帳戶中的 Amazon S3 儲存貯體。

此外，此原則還會建立「 AWS Glue 資料目錄」，其中包含名為的新資料庫application_discovery_service_database和資料表結構描述，以對應代理程式所收集的資料。

如需有關使用此政策的資訊，請參閱 AWS 受管理的政策 AWS Application Discovery Service。

範例 ApplicationDiscoveryServiceContinuousExportServiceRolePolicy
{
   "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "glue:CreateDatabase",
                "glue:UpdateDatabase",
                "glue:CreateTable",
                "glue:UpdateTable",
                "firehose:CreateDeliveryStream",
                "firehose:DescribeDeliveryStream",
                "logs:CreateLogGroup"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "firehose:DeleteDeliveryStream",
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:UpdateDestination"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:PutBucketLogging",
                "s3:PutEncryptionConfiguration"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*/*"
        },
        {
            "Action": [
                "logs:CreateLogStream",
                "logs:PutRetentionPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        }
    ]        
}

授與資料探索的權限

必須有 AWSDiscoveryContinuousExportFirehosePolicy 政策才能在 Amazon Athena 使用資料探索。它可讓 Amazon 資料 Firehose 將從 Application Discovery Service 收集到的資料寫入 Amazon S3。如需有關使用此政策的資訊，請參閱 建立角 AWSApplicationDiscoveryServiceFirehose 色。

範例 AWSDiscoveryContinuousExportFirehosePolicy
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetTableVersions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::aws-application-discovery-service-*",
                "arn:aws:s3:::aws-application-discovery-service-*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose:log-stream:*"
            ]
        }
    ]
}

授與使用 Migration Hub 主控台網路圖表的權限

若要在建立允許或拒絕存取 Application Discovery Service 或 Migration Hub 的身分識別型原則時授與 AWS Migration Hub 主控台網路圖的存取權，您可能需要將discovery:GetNetworkConnectionGraph動作新增至原則。

您必須在新策略中使用該discovery:GetNetworkConnectionGraph動作，或更新較舊的策略，如果策略的下列情況均成立：

  • 此原則允許或拒絕存取應用程式探索服務或 Migration Hub。

  • 原則會使用一個更特定的探索動作 (例如，discovery:action-name而非) 來授與存取權限discovery:*。

下列範例顯示如何在IAM策略中使用discovery:GetNetworkConnectionGraph動作。

範例 
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["discovery:GetNetworkConnectionGraph"],
            "Resource": "*"
        }
    ]
}

如需 Migration Hub 網路圖表的相關資訊，請參閱在 Migration Hub 中檢視網路連線。