Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Sicherheitskonfigurationen und IAM-Rollen

Der eb migrate Befehl verwaltet AWS Sicherheitskonfigurationen mithilfe von IAM-Rollen, Instanzprofilen und Servicerollen. Das Verständnis dieser Komponenten gewährleistet eine angemessene Zugriffskontrolle und Einhaltung der Sicherheitsbestimmungen während der Migration.

Konfiguration des Instanzprofils

Ein Instance-Profil dient als Container für eine IAM-Rolle, die Elastic Beanstalk an EC2 Instances in Ihrer Umgebung anhängt. Bei der Ausführung eb migrate können Sie ein benutzerdefiniertes Instanzprofil angeben:

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

Wenn Sie kein Instanzprofil angeben, eb migrate erstellt ein Standardprofil mit diesen Berechtigungen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

Verwaltung von Servicerollen

Eine Servicerolle ermöglicht es Elastic Beanstalk, AWS Ressourcen in Ihrem Namen zu verwalten. Geben Sie während der Migration mit dem folgenden Befehl eine benutzerdefinierte Servicerolle an:

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

Falls nicht angegeben, eb migrate wird eine Standard-Servicerolle aws-elasticbeanstalk-service-role mit einer Vertrauensrichtlinie erstellt, die es Elastic Beanstalk ermöglicht, die Rolle zu übernehmen. Diese Servicerolle ist für Elastic Beanstalk unverzichtbar, um den Zustand Ihrer Umgebung zu überwachen und verwaltete Plattform-Updates durchzuführen. Für die Servicerolle sind zwei verwaltete Richtlinien erforderlich:

Mit diesen Richtlinien hat die Servicerolle folgende Rechte:

Weitere Informationen zu Servicerollen finden Sie Elastic Beanstalk-Servicerolle im Elastic Beanstalk Developer Guide.

Sicherheitsgruppenkonfiguration

Der eb migrate Befehl konfiguriert automatisch Sicherheitsgruppen auf der Grundlage Ihrer IIS-Site-Bindungen. Wenn Ihre Quellumgebung beispielsweise Websites enthält, die die Ports 80, 443 und 8081 verwenden, ergibt sich die folgende Konfiguration:

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

Der Migrationsprozess schließt die folgenden Aktionen ab:

Standardmäßig ist der Application Load Balancer für öffentlichen Zugriff über das Internet konfiguriert. Wenn Sie dieses Verhalten anpassen müssen, z. B. den Zugriff auf bestimmte IP-Bereiche einschränken oder einen privaten Load Balancer verwenden, können Sie die standardmäßige VPC- und Sicherheitsgruppenkonfiguration mit dem folgenden Parameter überschreiben: --vpc-config

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

Mit der folgenden vpc-config.json Konfiguration wird beispielsweise ein privater Load Balancer in einem privaten Subnetz erstellt:

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

Weitere Informationen zu VPC-Konfigurationsoptionen finden Sie unterVPC-Konfiguration.

Integration von SSL-Zertifikaten

Integrieren Sie bei der Migration von Websites mit HTTPS-Bindungen SSL-Zertifikate über AWS Certificate Manager (ACM):

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

Mit dieser Konfiguration werden die folgenden Aktionen abgeschlossen:

Windows-Authentifizierung

Bei Anwendungen, die die Windows-Authentifizierung eb migrate verwenden, werden die Authentifizierungseinstellungen der Anwendung web.config wie folgt beibehalten:

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

Integrierte Windows-Konten wie IUSR und Gruppen wie IIS_IUSRS sowie alle anderen integrierten Konten und Gruppen sind standardmäßig in den Windows Server-Zielinstanzen enthalten. Weitere Informationen zu integrierten IIS-Konten und -Gruppen finden Sie in der Microsoft-Dokumentation unter Grundlegendes zu integrierten Benutzer- und Gruppenkonten in IIS.

Wenn Ihre Anwendung auf benutzerdefinierten Windows-Benutzerkonten oder der Active Directory-Integration basiert, müssen Sie diese Aspekte nach Abschluss der Migration separat konfigurieren.

Bewährte Methoden und Problembehandlung

Rollenverwaltung

Implementieren Sie bewährte AWS IAM-Praktiken bei der Rollenverwaltung für Ihre Elastic Beanstalk Beanstalk-Umgebungen:

Verwaltung von Zertifikaten

Implementieren Sie diese Verfahren für SSL/TLS-Zertifikate in Ihren Elastic Beanstalk Beanstalk-Umgebungen:

Verwaltung der Sicherheitsgruppe

Implementieren Sie die folgenden bewährten Methoden für Sicherheitsgruppen:

Protokollierung und Überwachung

Für eine effektive Sicherheitsüberwachung konfigurieren Sie die folgenden Protokolle:

Bei anhaltenden Problemen sammeln Sie diese Protokolle und wenden Sie sich AWS -Support mit den folgenden Informationen an: