翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

セキュリティ設定と IAM ロール

eb migrate コマンドは、IAM ロール、インスタンスプロファイル、およびサービスロールを通じて AWS セキュリティ設定を管理します。これらのコンポーネントを理解することで、移行中の適切なアクセスコントロールとセキュリティコンプライアンスを確保できます。

インスタンスプロファイルの設定

インスタンスプロファイルは、Elastic Beanstalk が環境内の EC2 インスタンスにアタッチする IAM ロールのコンテナとして機能します。を実行するときにeb migrate、カスタムインスタンスプロファイルを指定できます。

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

インスタンスプロファイルを指定しない場合、 は、次のアクセス許可を持つデフォルトプロファイルeb migrateを作成します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

サービスロールの管理

サービスロールにより、Elastic Beanstalk はユーザーに代わって AWS リソースを管理できます。次のコマンドを使用して、移行中にカスタムサービスロールを指定します。

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

指定しない場合、Elastic Beanstalk がロールを引き受けることを許可する信頼ポリシーaws-elasticbeanstalk-service-roleを使用して、 という名前のデフォルトのサービスロールeb migrateを作成します。このサービスロールは、Elastic Beanstalk が環境の状態をモニタリングし、マネージドプラットフォームの更新を実行するために不可欠です。サービスロールには、次の 2 つの管理ポリシーが必要です。

これらのポリシーでは、サービスロールには以下のアクセス許可があります。

サービスロールの詳細については、Elastic Beanstalk デベロッパーガイドElastic Beanstalk サービスロールの「」を参照してください。

セキュリティグループの構成

eb migrate コマンドは、IIS サイトバインディングに基づいてセキュリティグループを自動的に設定します。たとえば、ソース環境にポート 80、443、8081 を使用するサイトがある場合、次の設定結果になります。

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

移行プロセスは、次のアクションを完了します。

デフォルトでは、Application Load Balancer はインターネットからのパブリックアクセスで設定されます。特定の IP 範囲へのアクセスの制限やプライベートロードバランサーの使用など、この動作をカスタマイズする必要がある場合は、 --vpc-configパラメータを使用してデフォルトの VPC とセキュリティグループの設定を上書きできます。

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

たとえば、次のvpc-config.json設定では、プライベートサブネットにプライベートロードバランサーを作成します。

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

VPC 設定オプションの詳細については、「」を参照してくださいVPC の構成。

SSL 証明書の統合

HTTPS バインディングを使用してサイトを移行する場合は、 AWS Certificate Manager (ACM) を介して SSL 証明書を統合します。

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

この設定は、次のアクションを完了します。

Windows 認証

Windows 認証を使用するアプリケーションの場合、 はアプリケーションの認証設定をweb.config次のようにeb migrate保持します。

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

などの組み込み Windows アカウントIUSR、 などのグループIIS_IUSRS、および他のすべての組み込みアカウントとグループは、ターゲット Windows Server インスタンスにデフォルトで含まれます。組み込み IIS アカウントとグループの詳細については、Microsoft ドキュメントの「IIS の組み込みユーザーアカウントとグループアカウントの理解」を参照してください。

アプリケーションがカスタム Windows ユーザーアカウントまたは Active Directory 統合に依存している場合は、移行の完了後にこれらの側面を個別に設定する必要があります。

ベストプラクティスとトラブルシューティング

ロールの管理

Elastic Beanstalk AWS 環境のロールを管理するときは、IAM ベストプラクティスを実装します。

証明書管理

Elastic Beanstalk 環境で SSL/TLS 証明書に以下のプラクティスを実装します。

セキュリティグループの管理

セキュリティグループのベストプラクティスを実装します。

ログ記録とモニタリング

効果的なセキュリティモニタリングを行うには、次のログを設定します。

永続的な問題については、これらのログを収集し、以下の情報 AWS サポート について にお問い合わせください。