翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

セキュリティ設定と IAM ロール

eb migrate コマンドは、IAM ロール、インスタンスプロファイル、およびサービスロールを通じて AWS セキュリティ設定を管理します。これらのコンポーネントを理解することで、移行中の適切なアクセスコントロールとセキュリティコンプライアンスを確保できます。

インスタンスプロファイル設定

インスタンスプロファイルは、Elastic Beanstalk が環境内の EC2 インスタンスにアタッチする IAM ロールのコンテナとして機能します。eb migrate を実行するときに、カスタムインスタンスプロファイルを指定できます。

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

インスタンスプロファイルを指定しない場合、eb migrate はこれらのアクセス許可を持つデフォルトプロファイルを作成します。

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

サービスロールの管理

サービスロールを使用すると、Elastic Beanstalk はユーザーに代わって AWS リソースを管理できます。次のコマンドを使用して、移行中にカスタムサービスロールを指定します。

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

指定しない場合、eb migrate は、Elastic Beanstalk がロールを引き受けることを許可する信頼ポリシーを持つ aws-elasticbeanstalk-service-role という名前のデフォルトのサービスロールを作成します。このサービスロールは、Elastic Beanstalk が環境の状態をモニタリングし、マネージドプラットフォームの更新を実行するために不可欠です。サービスロールには、次の 2 つのマネージドポリシーが必要です。

これらのポリシーでは、サービスロールには以下のアクセス許可があります。

サービスロールの詳細については、「Elastic Beanstalk デベロッパーガイド」の「Elastic Beanstalk サービスロール」を参照してください。

セキュリティグループの構成

eb migrate コマンドは、IIS サイトのバインディングに基づいてセキュリティグループを自動的に設定します。例えば、ソース環境にポート 80、443、8081 を使用するサイトがある場合、次の設定結果になります。

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

移行プロセスは、次のアクションを完了します。

デフォルトでは、Application Load Balancer はインターネットからのパブリックアクセスで設定されます。特定の IP 範囲へのアクセスの制限やプライベートロードバランサーの使用など、この動作をカスタマイズする必要がある場合は、--vpc-config パラメータを使用してデフォルトの VPC とセキュリティグループの設定を上書きできます。

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

例えば、次の vpc-config.json 設定では、プライベートサブネットにプライベートロードバランサーを作成します。

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

VPC の設定オプションの詳細については、「VPC の設定」を参照してください。

SSL 証明書の統合

HTTPS バインディングを使用してサイトを移行する場合は、 AWS Certificate Manager (ACM) を介して SSL 証明書を統合します。

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

この設定では、次のアクションが完了します。

Windows 認証

Windows 認証を使用するアプリケーションの場合、eb migrate は次のようにアプリケーションの web.config の認証設定を保持します。

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

IUSR などの組み込み Windows アカウント、IIS_IUSRS などのグループ、および他のすべての組み込みアカウントとグループは、ターゲット Windows Server インスタンスにデフォルトで含まれます。組み込み IIS アカウントとグループの詳細については、Microsoft ドキュメントの「IIS の組み込みユーザーアカウントとグループアカウントを理解する」を参照してください。

アプリケーションがカスタム Windows ユーザーアカウントまたは Active Directory 統合に依存している場合は、移行の完了後にこれらの側面を個別に設定する必要があります。

ベストプラクティスとトラブルシューティング

ロールの管理

Elastic Beanstalk AWS 環境のロールを管理するときに IAM ベストプラクティスを実装します。

証明書管理

Elastic Beanstalk 環境に SSL/TLS 証明書に関する以下のプラクティスを実装します。

セキュリティグループの管理

以下のセキュリティグループのベストプラクティスを実装します。

ログ記録とモニタリング

効果的なセキュリティモニタリングを行うには、次のログを設定します。

永続的な問題については、これらのログを収集し、以下の情報 AWS サポート について にお問い合わせください。