Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuraciones de seguridad y roles de IAM

El eb migrate comando administra las configuraciones AWS de seguridad mediante funciones de IAM, perfiles de instancia y funciones de servicio. La comprensión de estos componentes garantiza un control de acceso adecuado y el cumplimiento de las normas de seguridad durante la migración.

Configuración de perfiles de instancia

Un perfil de instancia sirve como contenedor para una función de IAM que Elastic Beanstalk EC2 asocia a las instancias de su entorno. Cuando ejecuta eb migrate, puede especificar un perfil de instancia personalizado:

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

Si no especifica un perfil de instancia, eb migrate crea un perfil predeterminado con los siguientes permisos:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

Administración de roles de servicio

Un rol de servicio permite a Elastic Beanstalk administrar los recursos en AWS su nombre. Especifique un rol de servicio personalizado durante la migración con el siguiente comando:

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

Si no se especifica, eb migrate crea un rol de servicio predeterminado denominado aws-elasticbeanstalk-service-role con una política de confianza que permite que Elastic Beanstalk asuma el rol. Este rol de servicio es esencial para que Elastic Beanstalk monitoree el estado del entorno y realice actualizaciones de plataformas administradas. El rol de servicio requiere dos políticas administradas:

Con estas políticas, el rol de servicio tiene permisos para lo siguiente:

Para obtener más información sobre los roles de servicio, consulte Rol de servicio de Elastic Beanstalk en la Guía para desarrolladores de Elastic Beanstalk.

Configuración del grupo de seguridad

El comando eb migrate configura automáticamente los grupos de seguridad en función de los enlaces de sitios de IIS. Por ejemplo, si el entorno de origen tiene sitios que utilizan los puertos 80, 443 y 8081, se obtiene la siguiente configuración:

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

Durante el proceso de migración se completan las siguientes acciones:

De forma predeterminada, el Equilibrador de carga de aplicación está configurado con acceso público desde Internet. Si necesita personalizar este comportamiento, por ejemplo, restringir el acceso a rangos de IP específicos o usar un equilibrador de carga privado, puede anular la configuración predeterminada de VPC y de los grupos de seguridad mediante el parámetro --vpc-config:

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

Por ejemplo, la siguiente configuración de vpc-config.json crea un equilibrador de carga privado en una subred privada:

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

Para obtener más información acerca de las opciones de configuración de VPS, consulte Configuración de la VPC.

Integración de certificados SSL

Al migrar sitios con enlaces HTTPS, integre los certificados SSL mediante AWS Certificate Manager (ACM):

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

Esta configuración completa las siguientes acciones:

Autenticación de Windows

En el caso de las aplicaciones que utilizan la autenticación de Windows, eb migrate conserva la configuración de autenticación en la web.config de la aplicación de la siguiente manera:

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

Las cuentas como IUSR y los grupos como IIS_IUSRS, integrados con Windows, además del resto de las cuentas y los grupos integrados, se incluyen de forma predeterminada en las instancias de Windows Server de destino. Para obtener más información acerca de las cuentas y los grupos de IIS integrados, consulte Comprensión de las cuentas de usuario y de grupo integradas en IIS en la documentación de Microsoft.

Si la aplicación se basa en cuentas de usuario de Windows personalizadas o en la integración con Active Directory, tendrá que configurar estos aspectos por separado una vez finalizada la migración.

Prácticas recomendadas y solución de problemas

Administración de roles

Implemente las mejores prácticas de AWS IAM al gestionar las funciones de sus entornos de Elastic Beanstalk:

Administración de certificados

Implemente estas prácticas para SSL/TLS los certificados en sus entornos de Elastic Beanstalk:

Administración de los grupos de seguridad.

Implemente estas prácticas recomendadas para grupos de seguridad:

Registro y supervisión

Para un monitoreo de seguridad eficaz, configure los siguientes registros:

En caso de problemas persistentes, recopile estos registros y póngase en contacto AWS Support con la siguiente información: