AWS O Application Discovery Service não está mais aberto a novos clientes. Como alternativa, use AWS Transform o que fornece recursos semelhantes. Para obter mais informações, consulte [Alteração de disponibilidade AWS do Application Discovery Service](https://docs.aws.amazon.com/application-discovery/latest/userguide/application-discovery-service-availability-change.html). As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # AWS Application Discovery Service exemplos de políticas baseadas em identidade Por padrão, os usuários e funções do IAM não têm permissão para criar ou modificar recursos do Application Discovery Service. Eles também não podem realizar tarefas usando a AWS API Console de gerenciamento da AWS AWS CLI, ou. Um administrador do IAM deve criar políticas do IAM que concedam aos usuários e perfis permissão para executarem operações de API específicas nos recursos especificados de que precisam. O administrador deve anexar essas políticas aos usuários ou grupos do IAM que exigem essas permissões. Para saber como criar uma política baseada em identidade do IAM usando esses exemplos de documentos de política JSON, consulte [Criar políticas na guia JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) no *Guia do usuário do IAM*. **Topics** + [Práticas recomendadas de política](#security_iam_service-with-iam-policy-best-practices) + [Concedendo acesso total ao Application Discovery Service](#security_iam_id-based-policy-examples-ads-fullaccess) + [Concedendo acesso a agentes de descoberta](#security_iam_id-based-policy-examples-ads-agentaccess) + [Conceder permissões para coleta de dados do agente](#security_iam_id-based-policy-examples-ads-export-service) + [Concedendo permissões para exploração de dados](#security_iam_id-based-policy-examples-ads-export-firehose) + [Concedendo permissões para usar o diagrama de rede do console do Migration Hub](#security_iam_id-based-policy-examples-network-connection-graph) ## Práticas recomendadas de política As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do Application Discovery Service em sua conta. Essas ações podem incorrer em custos para sua Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações: + **Comece com as políticas AWS gerenciadas e avance para as permissões de privilégios mínimos — Para começar a conceder permissões** aos seus usuários e cargas de trabalho, use as *políticas AWS gerenciadas* que concedem permissões para muitos casos de uso comuns. Eles estão disponíveis no seu Conta da AWS. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo AWS cliente que sejam específicas para seus casos de uso. Para saber mais, consulte [Políticas gerenciadas pela AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [Políticas gerenciadas pela AWS para funções de trabalho](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) no *Guia do usuário do IAM*. + **Aplique permissões de privilégio mínimo**: ao definir permissões com as políticas do IAM, conceda apenas as permissões necessárias para executar uma tarefa. Você faz isso definindo as ações que podem ser executadas em recursos específicos sob condições específicas, também conhecidas como *permissões de privilégio mínimo*. Para saber mais sobre como usar o IAM para aplicar permissões, consulte [Políticas e permissões no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) no *Guia do usuário do IAM*. + **Use condições nas políticas do IAM para restringir ainda mais o acesso**: é possível adicionar uma condição às políticas para limitar o acesso a ações e recursos. Por exemplo, é possível escrever uma condição de política para especificar que todas as solicitações devem ser enviadas usando SSL. Você também pode usar condições para conceder acesso às ações de serviço se elas forem usadas por meio de uma ação específica AWS service (Serviço da AWS), como CloudFormation. Para saber mais, consulte [Elementos da política JSON do IAM: condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) no *Guia do usuário do IAM*. + **Use o IAM Access Analyzer para validar suas políticas do IAM a fim de garantir permissões seguras e funcionais**: o IAM Access Analyzer valida as políticas novas e existentes para que elas sigam a linguagem de política do IAM (JSON) e as práticas recomendadas do IAM. O IAM Access Analyzer oferece mais de cem verificações de política e recomendações práticas para ajudar a criar políticas seguras e funcionais. Para saber mais, consulte [Validação de políticas do IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) no *Guia do Usuário do IAM*. + **Exigir autenticação multifator (MFA**) — Se você tiver um cenário que exija usuários do IAM ou um usuário root, ative Conta da AWS a MFA para obter segurança adicional. Para exigir MFA quando as operações de API forem chamadas, adicione condições de MFA às suas políticas. Para saber mais, consulte [Configuração de acesso à API protegido por MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) no *Guia do Usuário do IAM*. Para saber mais sobre as práticas recomendadas do IAM, consulte [Práticas recomendadas de segurança no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) no *Guia do usuário do IAM*. ## Concedendo acesso total ao Application Discovery Service A política AWSApplication DiscoveryServiceFullAccess gerenciada concede à conta de usuário do IAM acesso ao Application Discovery Service e ao Migration Hub APIs. Um usuário do IAM com essa política anexada à sua conta pode configurar o Application Discovery Service, iniciar e interromper agentes, iniciar e interromper a descoberta sem agente e consultar dados do banco de dados do AWS Discovery Service. Para obter mais informações sobre essa política, consulte [AWS políticas gerenciadas para AWS Application Discovery Service](security-iam-awsmanpol.md). **Example AWSApplicationDiscoveryServiceFullAccess política** **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "mgh:*", "discovery:*" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "iam:GetRole" ], "Effect": "Allow", "Resource": "*" } ] } ``` ## Concedendo acesso a agentes de descoberta A política AWSApplication DiscoveryAgentAccess gerenciada concede ao Application Discovery Agent acesso para se registrar e se comunicar com o Application Discovery Service. Para obter mais informações sobre essa política, consulte [AWS políticas gerenciadas para AWS Application Discovery Service](security-iam-awsmanpol.md). Anexe essa política a qualquer usuário cujas credenciais sejam usadas pelo Application Discovery Agent. Essa política também concede acesso de usuário ao Arsenal. O Arsenal é um serviço de agente gerenciado e hospedado por AWS. O Arsenal encaminha os dados para o Application Discovery Service na nuvem. **Example AWSApplicationDiscoveryAgentAccess Política** **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "arsenal:RegisterOnPremisesAgent" ], "Resource": "*" } ] } ``` ## Conceder permissões para coleta de dados do agente A política ApplicationDiscoveryServiceContinuousExportServiceRolePolicy gerenciada permite AWS Application Discovery Service criar fluxos do Amazon Data Firehose para transformar e entregar dados coletados pelos agentes do Application Discovery Service para um bucket do Amazon S3 em sua conta. AWS Além disso, essa política cria um catálogo de AWS Glue dados com um novo banco de dados chamado `application_discovery_service_database` e esquemas de tabela para mapear dados coletados pelos agentes. Para obter mais informações sobre como usar essa política, consulte [AWS políticas gerenciadas para AWS Application Discovery Service](security-iam-awsmanpol.md). **Example ApplicationDiscoveryServiceContinuousExportServiceRolePolicy** **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "glue:CreateDatabase", "glue:UpdateDatabase", "glue:CreateTable", "glue:UpdateTable", "firehose:CreateDeliveryStream", "firehose:DescribeDeliveryStream", "logs:CreateLogGroup" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "firehose:DeleteDeliveryStream", "firehose:PutRecord", "firehose:PutRecordBatch", "firehose:UpdateDestination" ], "Effect": "Allow", "Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*" }, { "Action": [ "s3:CreateBucket", "s3:ListBucket", "s3:PutBucketLogging", "s3:PutEncryptionConfiguration" ], "Effect": "Allow", "Resource": "arn:aws:s3:::aws-application-discovery-service*" }, { "Action": [ "s3:GetObject" ], "Effect": "Allow", "Resource": "arn:aws:s3:::aws-application-discovery-service*/*" }, { "Action": [ "logs:CreateLogStream", "logs:PutRetentionPolicy" ], "Effect": "Allow", "Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*" }, { "Action": [ "iam:PassRole" ], "Effect": "Allow", "Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose", "Condition": { "StringLike": { "iam:PassedToService": "firehose.amazonaws.com" } } }, { "Action": [ "iam:PassRole" ], "Effect": "Allow", "Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose", "Condition": { "StringLike": { "iam:PassedToService": "firehose.amazonaws.com" } } } ] } ``` ## Concedendo permissões para exploração de dados A AWSDiscovery ContinuousExportFirehosePolicy política é necessária para usar a exploração de dados no Amazon Athena. Ele permite que o Amazon Data Firehose grave dados coletados do Application Discovery Service no Amazon S3. Para obter mais informações sobre como usar essa política, consulte [Criando a AWSApplication DiscoveryServiceFirehose função](security-iam-awsmanpol.md#security-iam-awsmanpol-create-firehose-role). **Example AWSDiscoveryContinuousExportFirehosePolicy** **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glue:GetTableVersions" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "s3:AbortMultipartUpload", "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:PutObject" ], "Resource": [ "arn:aws:s3:::aws-application-discovery-service-*", "arn:aws:s3:::aws-application-discovery-service-*/*" ] }, { "Effect": "Allow", "Action": [ "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose:log-stream:*" ] } ] } ``` ## Concedendo permissões para usar o diagrama de rede do console do Migration Hub Para conceder acesso ao diagrama de rede do AWS Migration Hub console ao criar uma política baseada em identidade que permite ou nega acesso ao Application Discovery Service ou ao Migration Hub, talvez seja necessário adicionar a `discovery:GetNetworkConnectionGraph` ação à política. Você deve usar a `discovery:GetNetworkConnectionGraph` ação em novas políticas ou atualizar políticas antigas se o seguinte for verdadeiro para a política: + A política permite ou nega acesso ao Application Discovery Service ou ao Migration Hub. + A política concede permissões de acesso usando mais uma ação de descoberta específica, como `discovery:{{action-name}}` em vez de`discovery:*`. O exemplo a seguir mostra como usar a `discovery:GetNetworkConnectionGraph` ação em uma política do IAM. **Example** **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": ["discovery:GetNetworkConnectionGraph"], "Resource": "*" } ] } ``` Para obter informações sobre o diagrama de rede do Migration Hub, consulte [Visualizando conexões de rede no Migration Hub](https://docs.aws.amazon.com/migrationhub/latest/ug/network-diagram.html).