Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuraciones de seguridad y funciones de IAM

El eb migrate comando administra las configuraciones AWS de seguridad mediante funciones de IAM, perfiles de instancia y funciones de servicio. La comprensión de estos componentes garantiza un control de acceso adecuado y el cumplimiento de las normas de seguridad durante la migración.

Configuración del perfil de la instancia

Un perfil de instancia sirve como contenedor para una función de IAM que Elastic Beanstalk EC2 asocia a las instancias de su entorno. Al ejecutareb migrate, puede especificar un perfil de instancia personalizado:

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

Si no especificas un perfil de instancia, eb migrate crea un perfil predeterminado con los siguientes permisos:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

Administración de roles de servicio

Un rol de servicio permite a Elastic Beanstalk administrar los recursos en AWS su nombre. Especifique un rol de servicio personalizado durante la migración con el siguiente comando:

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

Si no se especifica, eb migrate crea un rol de servicio predeterminado denominado aws-elasticbeanstalk-service-role con una política de confianza que permite a Elastic Beanstalk asumir el rol. Esta función de servicio es esencial para que Elastic Beanstalk supervise el estado del entorno y realice actualizaciones gestionadas de la plataforma. La función de servicio requiere dos políticas administradas:

Con estas políticas, el rol de servicio tiene permisos para:

Para obtener más información sobre las funciones de servicio, consulte Rol de servicio de Elastic Beanstalk la Guía para desarrolladores de Elastic Beanstalk.

Configuración del grupo de seguridad

El eb migrate comando configura automáticamente los grupos de seguridad en función de los enlaces de sitios de IIS. Por ejemplo, si el entorno de origen tiene sitios que utilizan los puertos 80, 443 y 8081, se obtiene la siguiente configuración:

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

El proceso de migración completa las siguientes acciones:

De forma predeterminada, el Application Load Balancer está configurado con acceso público desde Internet. Si necesitas personalizar este comportamiento, por ejemplo, restringir el acceso a rangos de IP específicos o usar un balanceador de cargas privado, puedes anular la configuración predeterminada de VPC y grupos de seguridad mediante el parámetro: --vpc-config

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

Por ejemplo, la siguiente vpc-config.json configuración crea un balanceador de cargas privado en una subred privada:

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

Para obtener más información sobre las opciones de configuración de la VPC, consulte. Configuración de la VPC

Integración de certificados SSL

Al migrar sitios con enlaces HTTPS, integre los certificados SSL mediante AWS Certificate Manager (ACM):

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

Esta configuración completa las siguientes acciones:

Autenticación de Windows

En el caso de las aplicaciones que utilizan la autenticación de Windows, eb migrate conserva la configuración de autenticación de la aplicación de la web.config siguiente manera:

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

Las cuentas IUSR y grupos integrados de WindowsIIS_IUSRS, así como todas las demás cuentas y grupos integrados, se incluyen de forma predeterminada en las instancias de Windows Server de destino. Para obtener más información acerca de las cuentas y grupos de IIS integrados, consulte Descripción de las cuentas de usuario y grupo integradas en IIS en la documentación de Microsoft.

Si la aplicación se basa en cuentas de usuario de Windows personalizadas o en la integración con Active Directory, tendrá que configurar estos aspectos por separado una vez finalizada la migración.

Prácticas recomendadas y solución de problemas

Administración de roles

Implemente las mejores prácticas de AWS IAM al gestionar las funciones de sus entornos de Elastic Beanstalk:

Gestión de certificados

Implemente estas prácticas para los certificados SSL/TLS en sus entornos de Elastic Beanstalk:

Administración de los grupos de seguridad.

Implemente estas prácticas recomendadas para grupos de seguridad:

Registro y supervisión

Para una supervisión de seguridad eficaz, configure los siguientes registros:

En caso de problemas persistentes, recopile estos registros y póngase en contacto AWS Support con la siguiente información: