Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazioni di sicurezza e ruoli IAM

Il eb migrate comando gestisce le configurazioni AWS di sicurezza tramite ruoli IAM, profili di istanza e ruoli di servizio. La comprensione di questi componenti garantisce il corretto controllo degli accessi e la conformità alla sicurezza durante la migrazione.

Configurazione del profilo dell'istanza

Un profilo di istanza funge da contenitore per un ruolo IAM che Elastic Beanstalk EC2 collega alle istanze del tuo ambiente. Durante l'esecuzioneeb migrate, puoi specificare un profilo di istanza personalizzato:

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

Se non specifichi un profilo di istanza, eb migrate crea un profilo predefinito con queste autorizzazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

Gestione dei ruoli di servizio

Un ruolo di servizio consente a Elastic Beanstalk di gestire le risorse AWS per tuo conto. Specificate un ruolo di servizio personalizzato durante la migrazione con il seguente comando:

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

Se non specificato, eb migrate crea un ruolo di servizio predefinito denominato aws-elasticbeanstalk-service-role con una policy di fiducia che consente a Elastic Beanstalk di assumere il ruolo. Questo ruolo di servizio è essenziale per Elastic Beanstalk per monitorare lo stato dell'ambiente ed eseguire aggiornamenti gestiti della piattaforma. Il ruolo di servizio richiede due politiche gestite:

Con queste politiche, il ruolo di servizio dispone delle autorizzazioni per:

Per ulteriori informazioni sui ruoli di servizio, consulta Ruolo di servizio Elastic Beanstalk la Elastic Beanstalk Developer Guide.

Configurazione del gruppo di sicurezza

Il eb migrate comando configura automaticamente i gruppi di sicurezza in base alle associazioni del sito IIS. Ad esempio, se l'ambiente di origine ha siti che utilizzano le porte 80, 443 e 8081, i seguenti risultati di configurazione:

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

Il processo di migrazione completa le seguenti azioni:

Per impostazione predefinita, l'Application Load Balancer è configurato con accesso pubblico da Internet. Se è necessario personalizzare questo comportamento, ad esempio limitando l'accesso a intervalli IP specifici o utilizzando un sistema di bilanciamento del carico privato, è possibile sovrascrivere la configurazione predefinita del VPC e del gruppo di sicurezza utilizzando il parametro: --vpc-config

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

Ad esempio, la seguente vpc-config.json configurazione crea un sistema di bilanciamento del carico privato in una sottorete privata:

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

Per ulteriori informazioni sulle opzioni di configurazione del VPC, vedere. Configurazione VPC

Integrazione del certificato SSL

Durante la migrazione di siti con collegamenti HTTPS, integra i certificati SSL tramite (ACM): AWS Certificate Manager

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

Questa configurazione completa le seguenti azioni:

Autenticazione Windows

Per le applicazioni che utilizzano l'autenticazione di Windows, eb migrate conserva le impostazioni di autenticazione nell'applicazione web.config come segue:

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

Gli account IUSR e i gruppi predefiniti di WindowsIIS_IUSRS, nonché tutti gli altri account e gruppi predefiniti, sono inclusi per impostazione predefinita nelle istanze di Windows Server di destinazione. Per ulteriori informazioni sugli account e i gruppi IIS incorporati, vedere Comprendere gli account utente e di gruppo incorporati in IIS nella documentazione Microsoft.

Se l'applicazione si basa su account utente Windows personalizzati o sull'integrazione con Active Directory, sarà necessario configurare questi aspetti separatamente dopo il completamento della migrazione.

Procedure ottimali e risoluzione dei problemi

Gestione del ruolo

Implementa le best practice AWS IAM nella gestione dei ruoli per i tuoi ambienti Elastic Beanstalk:

Gestione dei certificati

Implementa queste pratiche per i certificati SSL/TLS nei tuoi ambienti Elastic Beanstalk:

Gestione dei gruppi di sicurezza

Implementa queste best practice per i gruppi di sicurezza:

Registrazione di log e monitoraggio

Per un monitoraggio efficace della sicurezza, configura i seguenti registri:

Per problemi persistenti, raccogli questi registri e contatta Supporto AWS le seguenti informazioni: