本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 扩展计划的身份和访问管理 AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制谁可以*进行身份验证*（登录）和*授权（有权*限）使用 AWS Auto Scaling 资源。您可以使用 IAM AWS 服务 ，无需支付额外费用。 有关完整的 IAM 文档，请参阅 [IAM 用户指南](https://docs.aws.amazon.com/IAM/latest/UserGuide/)。 ## 访问控制 您可以使用有效的凭证来对自己的请求进行身份验证，但除非您拥有权限，否则您不能创建或访问扩缩计划。例如，您必须具有创建扩展计划、配置预测式扩展等的权限。 以下部分详细说明了 IAM 管理员如何使用 IAM 来控制可以使用扩缩计划的用户，从而帮助保护您的扩缩计划。 **Topics** + [ ## 访问控制 ](#access-control) + [ # 扩缩计划如何与 IAM 结合使用 ](security_iam_service-with-iam.md) + [ # 预测性扩缩服务相关角色 ](aws-auto-scaling-service-linked-roles.md) + [ # 基于身份的扩缩计划策略示例 ](security_iam_id-based-policy-examples.md) # 扩缩计划如何与 IAM 结合使用 在使用 IAM 管理谁可以创建、访问和管理 AWS Auto Scaling 扩展计划之前，您应该了解扩展计划中可以使用哪些 IAM 功能。 **Topics** + [ ## 基于身份的策略 ](#security_iam_service-with-iam-id-based-policies) + [ ## 基于资源的策略 ](#security_iam_service-with-iam-resource-based-policies) + [ ## 访问控制列表 (ACLs) ](#security_iam_service-with-iam-acls) + [ ## 基于标签的授权 ](#security_iam_service-with-iam-tags) + [ ## IAM 角色 ](#security_iam_service-with-iam-roles) ## 基于身份的策略 通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。扩缩计划支持特定的操作、资源和条件键。要了解在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》中的 [IAM JSON 策略元素参考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)**。 ### 操作 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。 IAM policy 语句中的扩缩计划操作在操作前使用以下前缀：`autoscaling-plans:`。策略语句必须包含 `Action` 或 `NotAction` 元素。扩缩计划有一组自己的操作，这些操作描述了您可以使用此服务执行的任务。 要在单个语句中指定多项操作，请使用逗号将它们隔开，如下例所示。 ``` "Action": [ "autoscaling-plans:DescribeScalingPlans", "autoscaling-plans:DescribeScalingPlanResources" ``` 您也可以使用通配符 (\$1) 指定多个操作。例如，要指定以单词 `Describe` 开头的所有操作，请包括以下操作。 ``` "Action": "autoscaling-plans:Describe*" ``` 要查看您可以在策略语句中使用的扩缩计划操作的完整列表，请参阅*《服务授权参考》*中的 [AWS Auto Scaling的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsautoscaling.html)。 ### 资源 `Resource` 元素指定要向其应用操作的对象。 扩缩计划没有可用作 IAM policy 语句的 `Resource` 元素的服务定义资源。因此，在 IAM 策略中没有可供您使用的亚马逊资源名称 (ARNs)。要控制对扩缩计划操作的访问权限，请在编写 IAM policy 时始终使用 \$1（星号）作为资源。 ### 条件键 在 `Condition` 元素（或 `Condition` *块*）中，可以指定语句生效的条件。例如，您可能希望策略仅在特定日期后应用。要表示条件，请使用预定义的条件键。 扩缩计划不提供任何服务特定的条件键，但支持使用某些全局条件键。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 `Condition` 元素是可选的。 ### 示例 要查看基于身份的扩缩计划策略示例，请参阅[基于身份的扩缩计划策略示例](security_iam_id-based-policy-examples.md)。 ## 基于资源的策略 其他 Amazon Web Services（如 Amazon Simple Storage Service）支持基于资源的权限策略。例如，您可以将权限策略挂载到 S3 存储桶以管理对该存储桶的访问权限。 扩缩计划不支持基于资源的策略。 ## 访问控制列表 (ACLs) 扩展计划不支持访问控制列表 (ACLs)。 ## 基于标签的授权 无法标记扩缩计划。此外也没有可以标记的服务定义资源。因此，扩缩计划不支持基于资源中标签的访问控制。 扩缩计划可能包含可标记的资源，例如 Auto Scaling 组，这些资源支持基于标签的访问控制。有关更多信息，请参阅该 AWS 服务的文档。 ## IAM 角色 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是 AWS 账户 中具有特定权限的实体。 ### 使用临时凭证 您可以使用临时凭证进行联合身份登录，来担任 IAM 角色或担任跨账户角色。您可以调用 AWS STS API 操作（如[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) ）以获取临时安全凭证。 扩缩计划支持使用临时凭证。 ### 扩缩计划的服务相关角色 AWS Auto Scaling 使用服务相关角色获得代表您调用其他 AWS 服务所需的权限。服务相关角色让您能够更轻松地设置扩缩计划，因为您不必手动添加所需的权限。有关更多信息，请参阅《 IAM 用户指南》**中的[使用服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html)。 AWS Auto Scaling 当您使用扩展计划时，使用几种类型的服务相关角色 AWS 服务 代表您呼叫其他角色： + *预测性扩展服务相关角色*- AWS Auto Scaling 允许访问来自 CloudWatch的历史指标数据。此角色还允许根据负载预测和容量预测为 Auto Scaling 组创建计划操作。有关更多信息，请参阅 [预测性扩缩服务相关角色](aws-auto-scaling-service-linked-roles.md)。 + *Amazon EC2 Auto Scaling 服务相关角色* — AWS Auto Scaling 允许访问和管理 Auto Scaling 群组的目标跟踪扩展策略。有关更多信息，请参阅《Amazon EC2 Auto Scaling 用户指南**中的 [Amazon EC2 Auto Scaling 的服务相关角色](https://docs.aws.amazon.com/autoscaling/ec2/userguide/autoscaling-service-linked-role.html)。 + *Application Auto Scaling 服务相关角色* — 允许 AWS Auto Scaling 访问和管理其他可扩展资源的目标跟踪扩展策略。每个服务都有一个服务相关角色。有关更多信息，请参阅*《Application Auto Scaling 用户指南》*中的 [Application Auto Scaling 服务相关角色](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-service-linked-roles.html)。 您可以使用以下过程来确定您的账户是否已经具有服务相关角色。 **确定服务相关角色是否已存在** 1. 使用 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 打开 IAM 控制台。 1. 在导航窗格中，选择**角色**。 1. 在列表中搜索 `AWSServiceRole` 以查找您账户中存在的服务相关角色。查找您要检查的服务相关角色的名称。 ### 服务角色 AWS Auto Scaling 没有用于扩展计划的服务角色。 # 预测性扩缩服务相关角色 AWS Auto Scaling 使用服务相关角色获得在处理扩展计划时 AWS 代表您呼叫他人所需的权限。有关更多信息，请参阅 [扩缩计划的服务相关角色](security_iam_service-with-iam.md#security_iam_service-with-iam-roles-service-linked)。 以下部分介绍了如何创建和管理预测性扩缩服务相关角色。首先配置权限以允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务相关角色。 ## 服务相关角色授予的权限 AWS Auto Scaling 启用预测性扩展时，使用名AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling为的 AWS 服务相关角色代表您调用其他服务。 AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling 信任 `autoscaling-plans.amazonaws.com` 服务来代入该角色。 此服务相关角色使用托管式策略 AWSAutoScalingPlansEC2AutoScalingPolicy。要查看此策略的权限，请参阅《AWS 托管式策略参考》中的 [AWSAutoScalingPlansEC2AutoScalingPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAutoScalingPlansEC2AutoScalingPolicy.html)**。 ## 创建服务相关角色（自动） 您无需手动创建 **AWSServiceRoleForAutoScalingPlans\$1EC2 AutoScaling** 角色。 AWS 当您在账户中创建扩展计划并启用预测性扩展时，将为您创建此角色。 AWS 要代表您创建服务相关角色，您必须拥有所需的权限。有关更多信息，请参阅*《IAM 用户指南》*中的[服务关联角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html#service-linked-role-permissions)。 ## 创建服务相关角色（手动） 要手动创建服务相关角色，您可以使用 IAM 控制台、IAM CLI 或 IAM API。有关更多信息，请参阅《IAM 用户指南》**中的[创建服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html)。 **创建服务相关角色 (AWS CLI)** 使用以下[create-service-linked-role](https://docs.aws.amazon.com/cli/latest/reference/iam/create-service-linked-role.html)命令创建服务相关角色。 ``` aws iam create-service-linked-role --aws-service-name autoscaling-plans.amazonaws.com ``` ## 编辑服务相关角色 您可以AutoScaling使用 IAM 编辑 **AWSServiceRoleForAutoScalingPlans\$1EC2** 的描述。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务相关角色描述](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_update-service-linked-role.html#edit-service-linked-role-iam-console)。 ## 删除服务相关角色 如果您不再需要使用扩展计划，我们建议您删除 **AWSServiceRoleForAutoScalingPlans\$1EC2 AutoScaling**。 只有在删除您的 AWS 账户 中启用了预测性扩缩的所有扩缩计划后，才能删除服务相关角色。这可确保您不会无意中删除用于访问您的扩缩计划的权限。 您可以使用 IAM 控制台、IAM CLI 或 IAM API 删除服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html#id_roles_manage_delete_slr)。 删除AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling服务相关角色后，如果您 AWS Auto Scaling 创建的扩展计划启用了预测性扩展，则会重新创建该角色。 ## 支持的区域： AWS Auto Scaling 支持在所有可用的扩展计划中使用服务相关角色。 AWS 区域 要了解支持扩缩计划的区域，请参阅《AWS 一般参考》中的 [AWS Auto Scaling 端点和限额](https://docs.aws.amazon.com/general/latest/gr/autoscaling_region.html)**。 # 基于身份的扩缩计划策略示例 默认情况下，全新的 IAM 用户没有执行任何操作的权限。IAM 管理员必须创建并分配 IAM policy，以便为 IAM 身份（例如用户或角色）授予使用扩展计划的权限。 要了解如何使用这些示例 JSON 策略文档创建 IAM policy，请参阅*《IAM 用户指南》*中的[在 JSON 选项卡上创建策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [ ## 策略最佳实践 ](#security_iam_service-with-iam-policy-best-practices) + [ ## 允许用户创建扩展计划 ](#example-policies-scaling-plans) + [ ## 允许用户启用预测式扩展 ](#example-policies-predictive-scaling) + [ ## 其他必需的权限 ](#aws-auto-scaling-additional-permissions) + [ ## 创建服务相关角色所需的权限 ](#aws-auto-scaling-slr-permissions) ## 策略最佳实践 基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 AWS Auto Scaling 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 允许用户创建扩展计划 以下示例所示为用于授予创建扩展计划权限的基于身份的策略。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "autoscaling-plans:*", "cloudwatch:PutMetricAlarm", "cloudwatch:DeleteAlarms", "cloudwatch:DescribeAlarms", "cloudformation:ListStackResources" ], "Resource": "*" } ] } ``` ------ 要使用扩缩计划，终端用户必须拥有额外的权限，以允许他们使用其账户中的特定资源。这些权限在 [其他必需的权限](#aws-auto-scaling-additional-permissions)中列出。 每个控制台用户还需要权限，允许他们发现其账户中的可扩展资源并从 AWS Auto Scaling 控制台查看 CloudWatch 指标数据图表。下面列出了使用 AWS Auto Scaling 控制台所需的其他权限集： + `cloudformation:ListStacks`：列出堆栈。 + `tag:GetTagKeys`：查找包含特定标签键的可扩展资源。 + `tag:GetTagValues`：查找包含特定标签值的资源。 + `autoscaling:DescribeTags`：查找包含特定标签的 Auto Scaling 组。 + `cloudwatch:GetMetricData`：查看指标图表中的数据。 ## 允许用户启用预测式扩展 以下示例所示为用于授予启用预测式扩展权限的基于身份的策略。这些权限可扩展设置为扩展 Auto Scaling 组的扩展计划的功能。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData", "autoscaling:DescribeAutoScalingGroups", "autoscaling:DescribeScheduledActions", "autoscaling:BatchPutScheduledUpdateGroupAction", "autoscaling:BatchDeleteScheduledAction" ], "Resource": "*" } ] } ``` ------ ## 其他必需的权限 要成功配置扩展计划，必须授予最终用户要为其配置扩展的每个目标服务的权限。要授予使用目标服务所需的最低权限，请阅读本章节中的信息，并在 IAM 策略语句的 `Action` 元素中指定相关操作。 **自动扩缩组** 要将 Auto Scaling 组添加到扩展计划，用户必须具有来自 Amazon EC2 Auto Scaling 的以下权限： + `autoscaling:UpdateAutoScalingGroup` + `autoscaling:DescribeAutoScalingGroups` + `autoscaling:PutScalingPolicy` + `autoscaling:DescribePolicies` + `autoscaling:DeletePolicy` **ECS 服务** 要将 ECS 服务添加到扩展计划，用户必须具有来自 Amazon ECS 和 Application Auto Scaling 的以下权限： + `ecs:DescribeServices` + `ecs:UpdateService` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` **竞价型实例集** 要将 Spot 队列添加到扩展计划，用户必须具有来自 Amazon EC2 和 Application Auto Scaling 的以下权限： + `ec2:DescribeSpotFleetRequests` + `ec2:ModifySpotFleetRequest` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` **DynamoDB 表或全局索引** 要将 DynamoDB 表或全局索引添加到扩展计划，用户必须具有来自 DynamoDB 和 Application Auto Scaling 的以下权限： + `dynamodb:DescribeTable` + `dynamodb:UpdateTable` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` **Aurora 数据库集群** 要将 Aurora 数据库集群添加到扩展计划，用户必须具有来自 Amazon Aurora 和 Application Auto Scaling 的以下权限： + `rds:AddTagsToResource` + `rds:CreateDBInstance` + `rds:DeleteDBInstance` + `rds:DescribeDBClusters` + `rds:DescribeDBInstances` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` ## 创建服务相关角色所需的权限 AWS Auto Scaling 当您的任何用户首次创建启用预测性扩展的扩展计划时，需要权限才能 AWS 账户 创建服务相关角色。如果服务相关角色尚不存在，请在您的账户中 AWS Auto Scaling 创建该角色。服务相关角色向授予权限， AWS Auto Scaling 以便它可以代表您调用其他服务。 为使自动角色创建操作成功，用户必须具有 `iam:CreateServiceLinkedRole` 操作的权限。 ``` "Action": "iam:CreateServiceLinkedRole" ``` 以下示例所示为用于授予创建服务相关角色权限的基于身份的策略。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/autoscaling-plans.amazonaws.com/AWSServiceRoleForAutoScalingPlans_EC2AutoScaling", "Condition": { "StringLike": { "iam:AWSServiceName":"autoscaling-plans.amazonaws.com" } } } ] } ``` ------ 有关更多信息，请参阅 [预测性扩缩服务相关角色](aws-auto-scaling-service-linked-roles.md)。