Configurar roles de IAM de AWS en la instancia de NetScaler VPX
Las aplicaciones que se ejecutan en una instancia de Amazon EC2 deben incluir credenciales de AWS en las solicitudes de la API de AWS. Puede almacenar las credenciales de AWS directamente dentro de la instancia de Amazon EC2 y permitir que las aplicaciones de esa instancia utilicen esas credenciales. Pero entonces tendrá que administrar las credenciales y asegurarse de que las pasen de forma segura a cada instancia y actualizar cada instancia de Amazon EC2 cuando sea el momento de rotar las credenciales. Eso es mucho trabajo adicional.
En su lugar, puede y debe usar un rol de Identity and Access Management (IAM) para administrar credenciales temporales para las aplicaciones que se ejecutan en una instancia de Amazon EC2. Cuando utiliza un rol, no tiene que distribuir credenciales a largo plazo (como un nombre de usuario y contraseña o claves de acceso) a una instancia de Amazon EC2. En su lugar, el rol proporciona permisos temporales que las aplicaciones pueden usar cuando realizan llamadas a otros recursos de AWS. Cuando inicia una instancia de Amazon EC2, especifica un rol de IAM para asociarlo a la instancia. Las aplicaciones que se ejecutan en la instancia pueden usar las credenciales temporales proporcionadas por el rol para firmar las solicitudes de la API.
El rol de IAM asociado a su cuenta de AWS debe tener los siguientes permisos de IAM para varios escenarios.
Par de alta disponibilidad con direcciones IPv4 en la misma zona de AWS:
"ec2:DescribeInstances",
"ec2:AssignPrivateIpAddresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Par de alta disponibilidad con direcciones IPv6 en la misma zona de AWS:
"ec2:DescribeInstances",
"ec2:AssignIpv6Addresses",
"ec2:UnassignIpv6Addresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Par de alta disponibilidad con direcciones IPv4 e IPv6 en la misma zona de AWS:
"ec2:DescribeInstances",
"ec2:AssignPrivateIpAddresses",
"ec2:AssignIpv6Addresses",
"ec2:UnassignIpv6Addresses",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Par de alta disponibilidad con direcciones IP elásticas en diferentes zonas de AWS:
"ec2:DescribeInstances",
"ec2:DescribeAddresses",
"ec2:AssociateAddress",
"ec2:DisassociateAddress",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Par de alta disponibilidad con direcciones IP privadas en diferentes zonas de AWS:
"ec2:DescribeInstances",
"ec2:DescribeRouteTables",
"ec2:DeleteRoute",
"ec2:CreateRoute",
"ec2:ModifyNetworkInterfaceAttribute",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Par de alta disponibilidad con direcciones IP privadas y elásticas en diferentes zonas de AWS:
"ec2:DescribeInstances",
"ec2:DescribeAddresses",
"ec2:AssociateAddress",
"ec2:DisassociateAddress",
"ec2:DescribeRouteTables",
"ec2:DeleteRoute",
"ec2:CreateRoute",
"ec2:ModifyNetworkInterfaceAttribute",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Autoescalado de backend de AWS:
"ec2:DescribeInstances",
"autoscaling:*",
"sns:CreateTopic",
"sns:DeleteTopic",
"sns:ListTopics",
"sns:Subscribe",
"sqs:CreateQueue",
"sqs:ListQueues",
"sqs:DeleteMessage",
"sqs:GetQueueAttributes",
"sqs:SetQueueAttributes",
"iam:SimulatePrincipalPolicy",
"iam:GetRole"
<!--NeedCopy-->
Puntos a tener en cuenta:
- Si utiliza cualquier combinación de las características anteriores, utilice la combinación de permisos de IAM para cada una de ellas.
- Si utiliza la plantilla de Citrix CloudFormation, el rol de IAM se crea automáticamente. La plantilla no permite seleccionar un rol de IAM ya creado.
- Cuando inicia sesión en la instancia VPX a través de la GUI, aparece un mensaje para configurar los privilegios necesarios para el rol de IAM. Ignore el mensaje si ya ha configurado los privilegios.
- Un rol de IAM es obligatorio tanto para implementaciones independientes como para implementaciones de alta disponibilidad.
Crear un rol de IAM
Este procedimiento describe cómo crear un rol de IAM para la función de autoescalado de back-end de AWS.
Nota:
Puede seguir el mismo procedimiento para crear cualquier rol de IAM correspondiente a otras funciones.
- Inicie sesión en la Consola de administración de AWS para EC2.
-
Vaya a la página de instancias de EC2 y seleccione su instancia de ADC.
-
Vaya a Acciones > Seguridad > Modificar rol de IAM.
-
En la página Modificar rol de IAM, puede elegir un rol de IAM existente o crear uno nuevo.
-
Para crear un rol de IAM, siga estos pasos:
-
En la página Modificar rol de IAM, haga clic en Crear nuevo rol de IAM.
-
En la página Roles, haga clic en Crear rol.
-
Seleccione Servicio de AWS en Tipo de entidad de confianza y EC2 en Casos de uso comunes y, a continuación, haga clic en Siguiente.
-
En la página Agregar permisos, haga clic en Crear política.
-
Haga clic en la ficha JSON para abrir el editor JSON.
-
En el editor JSON, elimine todo y pegue los permisos de IAM para la función que desea utilizar.
Por ejemplo, pegue los siguientes permisos de IAM para la función de autoescalado de back-end de AWS:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "autoscaling:*", "sns:CreateTopic", "sns:DeleteTopic", "sns:ListTopics", "sns:Subscribe", "sqs:CreateQueue", "sqs:ListQueues", "sqs:DeleteMessage", "sqs:GetQueueAttributes", "sqs:SetQueueAttributes", "iam:SimulatePrincipalPolicy", "iam:GetRole" ], "Resource": "*" } ] } <!--NeedCopy-->Asegúrese de que el par clave-valor “Versión” que proporcione sea el mismo que el generado automáticamente por AWS.
-
Haga clic en Siguiente: Revisar.
-
En la ficha Revisar política, asigne un nombre válido a la política y haga clic en Crear política.
-
En la página Administración de acceso de identidad, haga clic en el nombre de la política que creó. Expanda la política para comprobar todo el JSON y haga clic en Siguiente.
-
En la página Nombre, revisar y crear, asigne un nombre válido al rol.
-
Haga clic en Crear rol.
-
-
Repita los pasos: 1, 2 y 3. Seleccione el botón Actualizar y seleccione el menú desplegable para ver el rol que ha creado.
-
Haga clic en Actualizar rol de IAM.
Probar políticas de IAM con el simulador de políticas de IAM
El simulador de políticas de IAM es una herramienta que le permite probar los efectos de las políticas de control de acceso de IAM antes de implementarlas en producción. Facilita la verificación y la resolución de problemas de permisos.
-
En la página de IAM, seleccione el rol de IAM que desea probar y haga clic en Simular. En el siguiente ejemplo, “ADC_IAMRole” es el rol de IAM.
-
En la consola del simulador de políticas de IAM, seleccione Políticas existentes como Modo.
-
En la pestaña Usuarios, grupos y roles, seleccione Roles del menú desplegable y elija un rol existente.
-
Después de seleccionar el rol existente, seleccione la política existente debajo de él.
-
Después de seleccionar la política, puede ver el JSON exacto en el lado izquierdo de la pantalla. Seleccione las acciones deseadas en el menú desplegable Seleccionar acciones.
-
Haga clic en Ejecutar simulación.
Para obtener información detallada, consulte la documentación de AWS IAM.