ADC

AWS IAM-Rollen auf der NetScaler VPX-Instanz konfigurieren

Anwendungen, die auf einer Amazon EC2-Instanz ausgeführt werden, müssen AWS-Anmeldeinformationen in den AWS-API-Anfragen enthalten. Sie können AWS-Anmeldeinformationen direkt in der Amazon EC2-Instanz speichern und Anwendungen in dieser Instanz erlauben, diese Anmeldeinformationen zu verwenden. Dann müssen Sie jedoch die Anmeldeinformationen verwalten und sicherstellen, dass sie die Anmeldeinformationen sicher an jede Instanz weitergeben, und jede Amazon EC2-Instanz aktualisieren, wenn es Zeit ist, die Anmeldeinformationen zu wechseln. Das ist eine Menge zusätzlicher Arbeit.

Stattdessen können und müssen Sie eine Identity and Access Management (IAM) -Rolle verwenden, um temporäre Anmeldeinformationen für Anwendungen zu verwalten, die auf einer Amazon EC2-Instanz ausgeführt werden. Wenn Sie eine Rolle verwenden, müssen Sie keine langfristigen Anmeldeinformationen (wie Benutzername und Kennwort oder Zugriffsschlüssel) an eine Amazon EC2-Instanz verteilen. Stattdessen bietet die Rolle temporäre Berechtigungen, die Anwendungen verwenden können, wenn sie andere AWS-Ressourcen aufrufen. Wenn Sie eine Amazon EC2-Instanz starten, geben Sie eine IAM-Rolle an, die der Instanz zugeordnet werden soll. Anwendungen, die auf der Instanz ausgeführt werden, können dann die von der Rolle bereitgestellten temporären Anmeldeinformationen verwenden, um API-Anfragen zu signieren.

Die mit Ihrem AWS-Konto verknüpfte IAM-Rolle muss für verschiedene Szenarien über die folgenden IAM-Berechtigungen verfügen.

HA-Paar mit IPv4-Adressen in derselben AWS-Zone:

"ec2:DescribeInstances",
"ec2:AssignPrivateIpAddresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->

HA-Paar mit IPv6-Adressen in derselben AWS-Zone:

"ec2:DescribeInstances",
"ec2:AssignIpv6Addresses",
"ec2:UnassignIpv6Addresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->

HA-Paar mit IPv4- und IPv6-Adressen in derselben AWS-Zone:

"ec2:DescribeInstances",
"ec2:AssignPrivateIpAddresses",
"ec2:AssignIpv6Addresses",
"ec2:UnassignIpv6Addresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->

HA-Paar mit elastischen IP-Adressen über verschiedene AWS-Zonen hinweg:

"ec2:DescribeInstances",
"ec2:DescribeAddresses",
"ec2:AssociateAddress",
"ec2:DisassociateAddress",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->

HA-Paar mit privaten IP-Adressen über verschiedene AWS-Zonen hinweg:

"ec2:DescribeInstances",
"ec2:DescribeRouteTables",
"ec2:DeleteRoute",
"ec2:CreateRoute",
"ec2:ModifyNetworkInterfaceAttribute",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->

HA-Paar mit privaten IP- und Elastic IP-Adressen über verschiedene AWS-Zonen hinweg:

"ec2:DescribeInstances",
"ec2:DescribeAddresses",
"ec2:AssociateAddress",
"ec2:DisassociateAddress",
"ec2:DescribeRouteTables",
"ec2:DeleteRoute",
"ec2:CreateRoute",
"ec2:ModifyNetworkInterfaceAttribute",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->

Autoscaling des AWS-Backends:

"ec2:DescribeInstances",
"autoscaling:*",
"sns:CreateTopic",
"sns:DeleteTopic",
"sns:ListTopics",
"sns:Subscribe",
"sqs:CreateQueue",
"sqs:ListQueues",
"sqs:DeleteMessage",
"sqs:GetQueueAttributes",
"sqs:SetQueueAttributes",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->

Zu beachtende Punkte:

  • Wenn Sie eine Kombination der vorhergehenden Funktionen verwenden, verwenden Sie die Kombination von IAM-Berechtigungen für jede der Funktionen.
  • Wenn Sie die Citrix CloudFormation-Vorlage verwenden, wird die IAM-Rolle automatisch erstellt. Die Vorlage erlaubt es nicht, eine bereits erstellte IAM-Rolle auszuwählen.
  • Wenn Sie sich über die GUI bei der VPX-Instanz anmelden, wird eine Aufforderung zur Konfiguration der erforderlichen Berechtigungen für die IAM-Rolle angezeigt. Ignorieren Sie die Aufforderung, wenn Sie die Berechtigungen bereits konfiguriert haben.
  • Eine IAM-Rolle ist sowohl für eigenständige als auch für Hochverfügbarkeitsbereitstellungen obligatorisch.

Erstellen einer IAM-Rolle

Dieses Verfahren beschreibt, wie Sie eine IAM-Rolle für die AWS-Back-End-Autoscaling-Funktion erstellen.

Hinweis:

Sie können dasselbe Verfahren anwenden, um alle IAM-Rollen zu erstellen, die anderen Funktionen entsprechen.

  1. Melden Sie sich an der AWS-Managementkonsole für EC2an.
  2. Gehen Sie zur EC2-Instanz-Seite und wählen Sie Ihre ADC-Instanz aus.

    Wählen Sie eine ADC-Instanz

  3. Navigieren Sie zu Aktionen > Sicherheit > IAM-Rolle ändern.

    Aktionen

  4. Auf der Seite “ IAM-Rolle ändern “ können Sie entweder eine bestehende IAM-Rolle auswählen oder eine IAM-Rolle erstellen.

  5. Gehen Sie wie folgt vor, um eine IAM-Rolle zu erstellen:

    1. Klicken Sie auf der Seite “ IAM-Rolle ändern “ auf Neue IAM-Rolle erstellen.

      IAM-Rolle erstellen

    2. Klicken Sie auf der Seite Rollen auf Rolle erstellen.

      Rolle erstellen

    3. Wählen Sie AWS-Service unter Trusted Entity Type und EC2 unter Common Use Cases aus und klicken Sie dann auf Weiter.

      Vertrauenswürdige Entität

    4. Klicken Sie auf der Seite “ Berechtigungen hinzufügen “ auf Richtlinie erstellen.

      Richtlinie erstellen

    5. Klicken Sie auf den JSON-Tab, um den JSON-Editor zu öffnen.

      JSON

    6. Löschen Sie im JSON-Editor alles und fügen Sie die IAM-Berechtigungen für die Funktion ein, die Sie verwenden möchten.

      Fügen Sie beispielsweise die folgenden IAM-Berechtigungen für die AWS-Back-End-Autoscaling-Funktion ein:

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "VisualEditor0",
                  "Effect": "Allow",
                  "Action": [
                      "ec2:DescribeInstances",
                      "autoscaling:\*",
                      "sns:CreateTopic",
                      "sns:DeleteTopic",
                      "sns:ListTopics",
                      "sns:Subscribe",
                      "sqs:CreateQueue",
                      "sqs:ListQueues",
                      "sqs:DeleteMessage",
                      "sqs:GetQueueAttributes",
                      "sqs:SetQueueAttributes",
                      "iam:SimulatePrincipalPolicy",
                      "iam:GetRole"
                  ],
                  "Resource": "\*"
              }
          ]
      }
      
      <!--NeedCopy-->
      

      Stellen Sie sicher, dass das Schlüsselwertpaar “Version”, das Sie angeben, mit dem identisch ist, das automatisch von AWS generiert wird.

    7. Klicken Sie auf Weiter: Überprüfen.

      Bewertung IAM

    8. Geben Sie auf der Registerkarte Richtlinie überprüfen der Richtlinie einen gültigen Namen und klicken Sie auf Richtlinie erstellen.

      Richtlinie überprüfen

    9. Klicken Sie auf der Seite Identity Access Management auf den Richtliniennamen, den Sie erstellt haben. Erweitern Sie die Richtlinie, um den gesamten JSON-Code zu überprüfen, und klicken Sie auf Weiter.

      Verwaltung von Identitätszugriffen

    10. Geben Sie der Rolle auf der Seite Name, Überprüfung und Erstellen einen gültigen Namen.

      IAM-Informationen überprüfen

    11. Klicken Sie auf Rolle erstellen.

      Rolle erstellen

  6. Wiederholen Sie die Schritte 1, 2 und 3. Wählen Sie die Schaltfläche Aktualisieren und dann das Dropdownmenü aus, um die von Ihnen erstellte Rolle zu sehen.

    Überprüfen Sie die Rolle "Erstellen"

  7. Klicken Sie auf IAM-Rolle aktualisieren.

    IAM-Rolle aktualisieren

Testen Sie IAM-Richtlinien mit dem IAM-Richtliniensimulator

Der IAM-Richtliniensimulator ist ein Tool, mit dem Sie die Auswirkungen von IAM-Zugriffskontrollrichtlinien testen können, bevor Sie sie in die Produktion übernehmen. Es ist einfacher, Berechtigungen zu überprüfen und Fehler zu beheben.

  1. Wählen Sie auf der IAM-Seite die IAM-Rolle aus, die Sie testen möchten, und klicken Sie auf Simulieren. Im folgenden Beispiel ist “ADC_IAMRole” die IAM-Rolle.

    IAM-Simulator

  2. Wählen Sie in der IAM-Policy Simulator-KonsoleExisting PoliciesalsModus aus.

    IAM-Simulatormodus

  3. Wählen Sie auf der Registerkarte Benutzer, Gruppen und Rollen die Option Rollen aus dem Dropdownmenü aus und wählen Sie eine vorhandene Rolle aus.

    Bestehende Rolle auswählen

  4. Nachdem Sie die vorhandene Rolle ausgewählt haben, wählen Sie die darunter befindliche Richtlinie aus.

    Wählen Sie eine bestehende Richtlinie aus

  5. Nachdem Sie die Richtlinie ausgewählt haben, können Sie den genauen JSON-Code auf der linken Seite des Bildschirms sehen. Wählen Sie die gewünschten Aktionen im Dropdownmenü Aktionen auswählen aus.

    Wählen Sie die gewünschte Richtlinie

  6. Klicken Sie auf Simulation ausführen.

    Wählen Sie die gewünschte Richtlinie

Detaillierte Informationen finden Sie in der AWS IAM-Dokumentation.

Andere Referenzen

Verwenden einer IAM-Rolle zur Erteilung von Berechtigungen für Anwendungen, die auf Amazon EC2-Instanzen ausgeführt werden

AWS IAM-Rollen auf der NetScaler VPX-Instanz konfigurieren