AWS-IAM-Rollen auf NetScaler VPX-Instanz konfigurieren
Anwendungen, die auf einer Amazon EC2-Instanz ausgeführt werden, müssen AWS-Anmeldeinformationen in den AWS-API-Anfragen enthalten. Sie können AWS-Anmeldeinformationen direkt in der Amazon EC2-Instanz speichern und Anwendungen in dieser Instanz die Verwendung dieser Anmeldeinformationen gestatten. Sie müssen dann jedoch die Anmeldeinformationen verwalten und sicherstellen, dass sie sicher an jede Instanz übergeben werden, und jede Amazon EC2-Instanz aktualisieren, wenn es an der Zeit ist, die Anmeldeinformationen zu rotieren. Das ist eine Menge zusätzlicher Arbeit.
Stattdessen können und müssen Sie eine Identity and Access Management (IAM)-Rolle verwenden, um temporäre Anmeldeinformationen für Anwendungen zu verwalten, die auf einer Amazon EC2-Instanz ausgeführt werden. Wenn Sie eine Rolle verwenden, müssen Sie keine langfristigen Anmeldeinformationen (wie Benutzername und Passwort oder Zugriffsschlüssel) an eine Amazon EC2-Instanz verteilen. Stattdessen bietet die Rolle temporäre Berechtigungen, die Anwendungen verwenden können, wenn sie Aufrufe an andere AWS-Ressourcen tätigen. Wenn Sie eine Amazon EC2-Instanz starten, geben Sie eine IAM-Rolle an, die mit der Instanz verknüpft werden soll. Anwendungen, die auf der Instanz ausgeführt werden, können dann die von der Rolle bereitgestellten temporären Anmeldeinformationen verwenden, um API-Anfragen zu signieren.
Die mit Ihrem AWS-Konto verknüpfte IAM-Rolle muss die folgenden IAM-Berechtigungen für verschiedene Szenarien besitzen.
HA-Paar mit IPv4-Adressen in derselben AWS-Zone:
"ec2:DescribeInstances",
"ec2:AssignPrivateIpAddresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
HA-Paar mit IPv6-Adressen in derselben AWS-Zone:
"ec2:DescribeInstances",
"ec2:AssignIpv6Addresses",
"ec2:UnassignIpv6Addresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
HA-Paar mit sowohl IPv4- als auch IPv6-Adressen in derselben AWS-Zone:
"ec2:DescribeInstances",
"ec2:AssignPrivateIpAddresses",
"ec2:AssignIpv6Addresses",
"ec2:UnassignIpv6Addresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
HA-Paar mit elastischen IP-Adressen über verschiedene AWS-Zonen hinweg:
"ec2:DescribeInstances",
"ec2:DescribeAddresses",
"ec2:AssociateAddress",
"ec2:DisassociateAddress",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
HA-Paar mit privaten IP-Adressen über verschiedene AWS-Zonen hinweg:
"ec2:DescribeInstances",
"ec2:DescribeRouteTables",
"ec2:DeleteRoute",
"ec2:CreateRoute",
"ec2:ModifyNetworkInterfaceAttribute",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
HA-Paar mit sowohl privaten IP- als auch elastischen IP-Adressen über verschiedene AWS-Zonen hinweg:
"ec2:DescribeInstances",
"ec2:DescribeAddresses",
"ec2:AssociateAddress",
"ec2:DisassociateAddress",
"ec2:DescribeRouteTables",
"ec2:DeleteRoute",
"ec2:CreateRoute",
"ec2:ModifyNetworkInterfaceAttribute",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
AWS-Backend-Autoscaling:
"ec2:DescribeInstances",
"autoscaling:*",
"sns:CreateTopic",
"sns:DeleteTopic",
"sns:ListTopics",
"sns:Subscribe",
"sqs:CreateQueue",
"sqs:ListQueues",
"sqs:DeleteMessage",
"sqs:GetQueueAttributes",
"sqs:SetQueueAttributes",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Hinweise:
- Wenn Sie eine beliebige Kombination der vorstehenden Funktionen verwenden, verwenden Sie die Kombination der IAM-Berechtigungen für jede der Funktionen.
- Wenn Sie die Citrix CloudFormation-Vorlage verwenden, wird die IAM-Rolle automatisch erstellt. Die Vorlage erlaubt nicht die Auswahl einer bereits erstellten IAM-Rolle.
- Wenn Sie sich über die GUI bei der VPX-Instanz anmelden, wird eine Aufforderung zur Konfiguration der erforderlichen Berechtigungen für die IAM-Rolle angezeigt. Ignorieren Sie die Aufforderung, wenn Sie die Berechtigungen bereits konfiguriert haben.
- Eine IAM-Rolle ist sowohl für Standalone- als auch für Hochverfügbarkeitsbereitstellungen obligatorisch.
Eine IAM-Rolle erstellen
Diese Prozedur beschreibt, wie eine IAM-Rolle für die AWS-Backend-Autoscaling-Funktion erstellt wird.
Hinweis:
Sie können dieselbe Prozedur befolgen, um beliebige IAM-Rollen zu erstellen, die anderen Funktionen entsprechen.
- Melden Sie sich bei der AWS Management Console für EC2 an.
-
Gehen Sie zur EC2-Instanzseite und wählen Sie Ihre ADC-Instanz aus.
-
Navigieren Sie zu Aktionen > Sicherheit > IAM-Rolle ändern.
-
Auf der Seite IAM-Rolle ändern können Sie entweder eine vorhandene IAM-Rolle auswählen oder eine IAM-Rolle erstellen.
-
Gehen Sie wie folgt vor, um eine IAM-Rolle zu erstellen:
-
Klicken Sie auf der Seite IAM-Rolle ändern auf Neue IAM-Rolle erstellen.
-
Klicken Sie auf der Seite Rollen auf Rolle erstellen.
-
Wählen Sie AWS-Dienst unter Vertrauenswürdiger Entitätstyp und EC2 unter Häufige Anwendungsfälle aus und klicken Sie dann auf Weiter.
-
Auf der Seite Berechtigungen hinzufügen klicken Sie auf Richtlinie erstellen.
-
Klicken Sie auf die Registerkarte JSON, um den JSON-Editor zu öffnen.
-
Im JSON-Editor löschen Sie alles und fügen die IAM-Berechtigungen für die Funktion ein, die Sie verwenden möchten.
Fügen Sie beispielsweise die folgenden IAM-Berechtigungen für die AWS-Backend-Autoscaling-Funktion ein:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "autoscaling:*", "sns:CreateTopic", "sns:DeleteTopic", "sns:ListTopics", "sns:Subscribe", "sqs:CreateQueue", "sqs:ListQueues", "sqs:DeleteMessage", "sqs:GetQueueAttributes", "sqs:SetQueueAttributes", "iam:SimulatePrincipalPolicy", "iam:GetRole" ], "Resource": "*" } ] } <!--NeedCopy-->Stellen Sie sicher, dass das Schlüssel-Wert-Paar „Version“, das Sie angeben, dasselbe ist wie das, das automatisch von AWS generiert wird.
-
Klicken Sie auf Weiter: Überprüfen.
-
Auf der Registerkarte Richtlinie überprüfen geben Sie der Richtlinie einen gültigen Namen und klicken auf Richtlinie erstellen.
-
Auf der Seite Identity and Access Management klicken Sie auf den Richtliniennamen, den Sie erstellt haben. Erweitern Sie die Richtlinie, um das gesamte JSON zu überprüfen, und klicken Sie auf Weiter.
-
Auf der Seite Name, überprüfen und erstellen geben Sie der Rolle einen gültigen Namen.
-
Klicken Sie auf Rolle erstellen.
-
-
Wiederholen Sie die Schritte: 1, 2 und 3. Wählen Sie die Schaltfläche Aktualisieren und wählen Sie das Dropdown-Menü, um die von Ihnen erstellte Rolle anzuzeigen.
-
Klicken Sie auf IAM-Rolle aktualisieren.
IAM-Richtlinien mit dem IAM-Richtliniensimulator testen
Der IAM-Richtliniensimulator ist ein Tool, mit dem Sie die Auswirkungen von IAM-Zugriffssteuerungsrichtlinien testen können, bevor Sie diese in die Produktion übernehmen. Es ist einfacher, Berechtigungen zu überprüfen und Fehler zu beheben.
-
Auf der Seite IAM wählen Sie die IAM-Rolle aus, die Sie testen möchten, und klicken Sie auf Simulieren. Im folgenden Beispiel ist „ADC_IAMRole“ die IAM-Rolle.
-
In der Konsole des IAM-Richtliniensimulators wählen Sie Existing Policies als Modus aus.
-
Wählen Sie auf der Registerkarte Benutzer, Gruppen und Rollen die Option Rollen aus dem Dropdown-Menü und wählen Sie eine vorhandene Rolle aus.
-
Nachdem Sie die vorhandene Rolle ausgewählt haben, wählen Sie die darunterliegende vorhandene Richtlinie aus.
-
Nachdem Sie die Richtlinie ausgewählt haben, sehen Sie die genaue JSON-Struktur auf der linken Seite des Bildschirms. Wählen Sie die gewünschten Aktionen im Dropdown-Menü Aktionen auswählen aus.
-
Klicken Sie auf Simulation ausführen.
Ausführliche Informationen finden Sie unter AWS IAM-Dokumentation.