Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurations de sécurité et rôles IAM

La eb migrate commande gère les configurations AWS de sécurité via les rôles IAM, les profils d'instance et les rôles de service. La compréhension de ces composants garantit un contrôle d'accès approprié et une conformité en matière de sécurité pendant la migration.

Configuration du profil d'instance

Un profil d'instance sert de conteneur pour un rôle IAM qu'Elastic Beanstalk EC2 attache aux instances de votre environnement. Lors de l'exécutioneb migrate, vous pouvez spécifier un profil d'instance personnalisé :

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

Si vous ne spécifiez aucun profil d'instance, eb migrate crée un profil par défaut avec les autorisations suivantes :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

Gestion des rôles de service

Un rôle de service permet à Elastic Beanstalk AWS de gérer les ressources en votre nom. Spécifiez un rôle de service personnalisé lors de la migration à l'aide de la commande suivante :

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

S'il n'est pas spécifié, eb migrate crée un rôle de service par défaut nommé aws-elasticbeanstalk-service-role avec une politique de confiance qui permet à Elastic Beanstalk d'assumer ce rôle. Ce rôle de service est essentiel pour qu'Elastic Beanstalk puisse surveiller l'état de votre environnement et effectuer des mises à jour de plateforme gérées. Le rôle de service nécessite deux politiques gérées :

Avec ces politiques, le rôle de service est autorisé à :

Pour plus d'informations sur les rôles de service, consultez Rôle de service Elastic Beanstalk le manuel Elastic Beanstalk Developer Guide.

Configuration du groupe de sécurité

La eb migrate commande configure automatiquement les groupes de sécurité en fonction de vos liaisons de site IIS. Par exemple, si votre environnement source comporte des sites utilisant les ports 80, 443 et 8081, les résultats de configuration suivants sont les suivants :

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

Le processus de migration exécute les actions suivantes :

Par défaut, l'Application Load Balancer est configuré avec un accès public depuis Internet. Si vous devez personnaliser ce comportement, par exemple en restreignant l'accès à des plages d'adresses IP spécifiques ou en utilisant un équilibreur de charge privé, vous pouvez remplacer la configuration par défaut du VPC et du groupe de sécurité à l'aide du paramètre : --vpc-config

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

Par exemple, la vpc-config.json configuration suivante crée un équilibreur de charge privé dans un sous-réseau privé :

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

Pour plus d'informations sur les options de configuration VPC, consultez. Configuration VPC

Intégration des certificats SSL

Lorsque vous migrez des sites avec des liaisons HTTPS, intégrez les certificats SSL via AWS Certificate Manager (ACM) :

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

Cette configuration exécute les actions suivantes :

Authentification Windows

Pour les applications utilisant l'authentification Windows, eb migrate préserve les paramètres d'authentification de l'application web.config comme suit :

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

Les comptes IUSR et groupes Windows intégrésIIS_IUSRS, ainsi que tous les autres comptes et groupes intégrés, sont inclus par défaut dans les instances Windows Server cibles. Pour plus d'informations sur les comptes et groupes IIS intégrés, consultez la section Présentation des comptes d'utilisateurs et de groupes intégrés dans IIS dans la documentation Microsoft.

Si votre application repose sur des comptes utilisateur Windows personnalisés ou sur l'intégration d'Active Directory, vous devrez configurer ces aspects séparément une fois la migration terminée.

Bonnes pratiques et résolution des problèmes

Gestion des rôles

Mettez en œuvre les meilleures pratiques AWS IAM lors de la gestion des rôles dans vos environnements Elastic Beanstalk :

Gestion des certificats

Mettez en œuvre les pratiques suivantes pour les certificats SSL/TLS dans vos environnements Elastic Beanstalk :

Gestion des groupes de sécurité

Mettez en œuvre les meilleures pratiques suivantes en matière de groupes de sécurité :

Journalisation et surveillance

Pour une surveillance efficace de la sécurité, configurez les journaux suivants :

Pour les problèmes persistants, collectez ces journaux et contactez-nous AWS Support avec les informations suivantes :