本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

安全配置和 IAM 角色

该eb migrate命令通过 IAM 角色、实例配置文件和服务角色管理 AWS 安全配置。了解这些组件可确保在迁移期间实现适当的访问控制和安全合规。

实例配置文件配置

实例配置文件充当 Elastic Beanstalk EC2 附加到您环境中实例的 IAM 角色的容器。执行 eb migrate 时，您可以指定自定义实例配置文件：

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

如果不指定实例配置文件，eb migrate 会使用以下权限创建默认配置文件：

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

服务角色管理

服务角色允许 Elastic Beanstalk 代表你管理资源 AWS 。使用以下命令指定迁移期间的自定义服务角色：

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

如果不指定，eb migrate 会创建名为 aws-elasticbeanstalk-service-role 的默认服务角色，而且该服务角色具有允许 Elastic Beanstalk 担任服务角色的信任策略。要让 Elastic Beanstalk 监控环境运行状况和执行托管平台更新，此服务角色必不可少。该服务角色需要两个受管策略：

使用这些策略，服务角色有权执行以下操作：

有关服务角色的更多信息，请参阅《Elastic Beanstalk 开发人员指南》中的 Elastic Beanstalk 服务角色。

安全组配置

eb migrate 命令会根据您的 IIS 站点绑定情况自动配置安全组。例如，如果您的源环境中有使用端口 80、443 和 8081 的站点，则配置结果如下：

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

迁移过程会完成以下操作：

默认情况下，应用程序负载均衡器会配置为可通过互联网进行公共访问。如果您需要自定义此行为，例如限制对特定 IP 范围的访问或使用私有负载均衡器，则可以使用 --vpc-config 参数覆盖默认 VPC 和安全组配置：

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

例如，下列 vpc-config.json 配置会在私有子网中创建私有负载均衡器：

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

有关 VPC 配置选项的更多信息，请参阅 VPC 配置。

SSL 证书集成

迁移具有 HTTPS 绑定的网站时，请通过 AWS Certificate Manager (ACM) 集成 SSL 证书：

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

此配置会完成以下操作：

Windows 身份验证

对于使用 Windows 身份验证的应用程序，eb migrate 会按如下方式保留应用程序 web.config 中的身份验证设置：

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

默认情况下，目标 Windows 服务器实例中会包含内置 Windows 账户（例如 IIS_IUSRS）和组（例如 IUSR）以及所有其他内置账户和组。有关内置 IIS 账户和组的更多信息，请参阅 Microsoft 文档中的了解 IIS 7 中的内置用户和组帐户。

如果您的应用程序依赖自定义 Windows 用户账户或 Active Directory 集成，则需要在迁移完成后单独配置这些方面。

最佳实践和故障排除

角色管理

在 Elastic Beanstalk 环境中管理角色时实施 AWS IAM 最佳实践：

证书管理

在 Elastic Beanstalk 环境中对 SSL/TLS 证书实施以下做法：

安全组管理

实施以下安全组最佳实践：

日志记录和监控

为了进行有效的安全监控，请配置以下日志：

对于持续存在的问题，请收集这些日志并联系 AWS 支持 以获取以下信息：