Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Konfigurasi keamanan dan peran IAM

eb migratePerintah mengelola konfigurasi AWS keamanan melalui peran IAM, profil instance, dan peran layanan. Memahami komponen-komponen ini memastikan kontrol akses yang tepat dan kepatuhan keamanan selama migrasi.

Konfigurasi profil instance

Profil instans berfungsi sebagai wadah untuk peran IAM yang dilampirkan Elastic Beanstalk EC2 ke instance di lingkungan Anda. Saat mengeksekusieb migrate, Anda dapat menentukan profil instance khusus:

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

Jika Anda tidak menentukan profil eb migrate instance, buat profil default dengan izin berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

Manajemen peran layanan

Peran layanan memungkinkan Elastic Beanstalk mengelola sumber daya atas nama AWS Anda. Tentukan peran layanan kustom selama migrasi dengan perintah berikut:

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

Jika tidak ditentukan, eb migrate buat peran layanan default yang diberi nama aws-elasticbeanstalk-service-role dengan kebijakan kepercayaan yang memungkinkan Elastic Beanstalk untuk mengambil peran tersebut. Peran layanan ini sangat penting bagi Elastic Beanstalk untuk memantau kesehatan lingkungan Anda dan melakukan pembaruan platform terkelola. Peran layanan memerlukan dua kebijakan terkelola:

Dengan kebijakan ini, peran layanan memiliki izin untuk:

Untuk informasi selengkapnya tentang peran layanan, lihat Peran layanan Elastic Beanstalk di Panduan Pengembang Elastic Beanstalk.

Konfigurasi grup keamanan

eb migratePerintah secara otomatis mengkonfigurasi grup keamanan berdasarkan binding situs IIS Anda. Misalnya, jika lingkungan sumber Anda memiliki situs yang menggunakan port 80, 443, dan 8081 hasil konfigurasi berikut:

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

Proses migrasi menyelesaikan tindakan berikut:

Secara default, Application Load Balancer dikonfigurasi dengan akses publik dari internet. Jika Anda perlu menyesuaikan perilaku ini, seperti membatasi akses ke rentang IP tertentu atau menggunakan penyeimbang beban pribadi, Anda dapat mengganti konfigurasi VPC dan grup keamanan default menggunakan parameter: --vpc-config

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

Misalnya, vpc-config.json konfigurasi berikut membuat penyeimbang beban pribadi di subnet pribadi:

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

Untuk informasi selengkapnya tentang opsi konfigurasi VPC, lihat. Konfigurasi VPC

Integrasi sertifikat SSL

Saat memigrasi situs dengan binding HTTPS, integrasikan sertifikat SSL melalui AWS Certificate Manager (ACM):

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

Konfigurasi ini melengkapi tindakan berikut:

Otentikasi Windows

Untuk aplikasi yang menggunakan Windows Authentication, eb migrate mempertahankan pengaturan otentikasi dalam aplikasi sebagai berikut: web.config

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

Akun Windows bawaan seperti IUSR dan grup sepertiIIS_IUSRS, serta semua akun dan grup bawaan lainnya, disertakan secara default pada instance Windows Server target. Untuk informasi selengkapnya tentang akun dan grup IIS bawaan, lihat Memahami Akun Pengguna dan Grup Bawaan di IIS dalam dokumentasi Microsoft.

Jika aplikasi Anda bergantung pada akun pengguna Windows kustom atau integrasi Active Directory, Anda perlu mengonfigurasi aspek-aspek ini secara terpisah setelah migrasi selesai.

Praktik terbaik dan pemecahan masalah

Manajemen peran

Terapkan praktik terbaik AWS IAM saat mengelola peran untuk lingkungan Elastic Beanstalk Anda:

Manajemen sertifikat

Terapkan praktik ini untuk sertifikat SSL/TLS di lingkungan Elastic Beanstalk Anda:

Manajemen kelompok keamanan

Terapkan praktik terbaik grup keamanan ini:

Pencatatan log dan pemantauan

Untuk pemantauan keamanan yang efektif, konfigurasikan log berikut:

Untuk masalah yang terus-menerus, kumpulkan log ini dan kontak AWS Dukungan dengan informasi berikut: