本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 擴展計畫的身分和存取管理 AWS Identity and Access Management (IAM) 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行驗證* （登入） 和*授權* （具有許可） 來使用 AWS Auto Scaling 資源。IAM 是您可以免費使用 AWS 服務 的 。 如需完整的 IAM 文件，請參閱 [IAM 使用者指南](https://docs.aws.amazon.com/IAM/latest/UserGuide/)。 ## 存取控制 您可以持有效憑證來驗證請求，但還須具備許可，才能建立或存取擴展計畫。例如，您必須具有建立擴展計劃、設定預測性擴展等許可。 下列章節詳細說明 IAM 管理員如何藉由控制可執行擴展計畫的人員，使用 IAM 以協助保護您的擴展計畫。 **Topics** + [存取控制](#access-control) + [擴展計畫與 IAM 搭配運作的方式](security_iam_service-with-iam.md) + [預測擴展服務連結角色](aws-auto-scaling-service-linked-roles.md) + [擴展計畫的身分型政策範例](security_iam_id-based-policy-examples.md) # 擴展計畫與 IAM 搭配運作的方式 在使用 IAM 管理誰可以建立、存取和管理 AWS Auto Scaling 擴展計劃之前，您應該了解哪些 IAM 功能可用於擴展計劃。 **Topics** + [身分型政策](#security_iam_service-with-iam-id-based-policies) + [資源型政策](#security_iam_service-with-iam-resource-based-policies) + [存取控制清單 (ACL)](#security_iam_service-with-iam-acls) + [以標籤為基礎的授權](#security_iam_service-with-iam-tags) + [IAM 角色](#security_iam_service-with-iam-roles) ## 身分型政策 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。擴展計畫支援特定動作、資源和條件索引鍵。若要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 動作 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 IAM 政策陳述式中的擴展計畫動作會在動作之前使用以下字首：`autoscaling-plans:`。政策陳述式必須包含 `Action` 或 `NotAction` 元素。擴展計畫有自己的一組動作，描述您可以使用此服務執行的任務。 若要在單一陳述式中指定多個動作，請以逗號分隔它們，如下列範例所示。 ``` "Action": [ "autoscaling-plans:DescribeScalingPlans", "autoscaling-plans:DescribeScalingPlanResources" ``` 您也可以使用萬用字元 (\$1) 來指定多個動作。例如，如需指定開頭是 `Describe` 文字的所有動作，請包含以下動作： ``` "Action": "autoscaling-plans:Describe*" ``` 若要查看可在政策陳述式中使用的擴展計畫動作的完整清單，請參閱*服務授權參考*中的 [AWS Auto Scaling的動作、資源和條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsautoscaling.html)。 ### Resources `Resource` 元素可指定動作套用的物件。 擴展計畫並無任何服務定義的資源可供作為 IAM 政策陳述式的 `Resource` 元素。因此，本服務沒有適合您在 IAM 政策中使用的 Amazon 資源名稱 (ARN)。若要控制對擴展計畫動作的存取，撰寫 IAM 政策時請一律使用 \$1 (星號) 作為資源。 ### 條件索引鍵 `Condition` 元素 (或 `Condition` *區塊*) 可讓您指定使陳述式生效的條件。例如，建議只在特定日期之後套用政策。若要表示條件，請使用預先定義的條件金鑰。 擴展計畫不提供任何服務專用條件索引鍵，但支援使用一些全域條件索引鍵。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 `Condition` 元素是選用項目。 ### 範例 若要檢視擴展計畫的身分型政策範例，請參閱[擴展計畫的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## 資源型政策 其他 Amazon Web Services 服務 (例如 Amazon Simple Storage Service) 也支援資源型許可政策。例如，您可以將許可政策連接至 S3 儲存貯體，以管理該儲存貯體的存取許可。 擴展計畫不支援資源型政策。 ## 存取控制清單 (ACL) 擴展計畫不支援存取控制清單 (ACL)。 ## 以標籤為基礎的授權 擴展計畫無法標記，也沒有可以標記的服務定義資源。因此，它不支援根據資源上的標籤來控制存取。 擴展計畫可能包含可標記的資源 (例如 Auto Scaling 群組)，這些資源支援根據標籤控制存取。如需詳細資訊，請參閱該 AWS 服務的文件。 ## IAM 角色 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶 中具備特定許可的實體。 ### 使用暫時登入資料 您可以使用暫時憑證來以聯合身分登入、擔任 IAM 角色，或是擔任跨帳戶角色。您取得暫時安全憑證的方式是透過呼叫 AWS STS API 作業 (例如，[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html))。 擴展計畫支援使用臨時憑證。 ### 擴展計畫的服務連結角色 AWS Auto Scaling 會將服務連結角色用於代表您呼叫其他 AWS 服務所需的許可。服務連結角色可讓設定擴展計畫更為簡單，因為您不必手動新增必要的許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的[使用服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html)。 AWS Auto Scaling 當您使用擴展計劃時， 會使用幾種類型的服務連結角色 AWS 服務 代表您呼叫其他 ： + *預測擴展服務連結角色* — 允許 AWS Auto Scaling 從 CloudWatch 存取歷史指標資料。同時允許根據負載預測和容量預測，為 Auto Scaling 群組建立排程動作。如需詳細資訊，請參閱[預測擴展服務連結角色](aws-auto-scaling-service-linked-roles.md)。 + *Amazon EC2 Auto Scaling 服務連結角色* — 允許 AWS Auto Scaling 存取和管理 Auto Scaling 群組的目標追蹤擴展政策。如需詳細資訊，請參閱《*Amazon EC2 Auto Scaling 使用者指南*》中的 [Amazon EC2 Auto Scaling 的服務連結角色](https://docs.aws.amazon.com/autoscaling/ec2/userguide/autoscaling-service-linked-role.html)。 + *Application Auto Scaling 服務連結角色* — 允許 AWS Auto Scaling 存取和管理其他可擴展資源的目標追蹤擴展政策。每個服務都有一個服務連結角色。如需詳細資訊，請參閱《*Application Auto Scaling 使用者指南*》中的[適用於 Application Auto Scaling 的服務連結角色](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-service-linked-roles.html)。 您可以使用以下程序，判斷您的帳戶是否已有服務連結角色。 **判斷服務連結角色是否已經存在** 1. 在以下網址開啟 IAM 主控台：[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)。 1. 在導覽窗格中，選擇**角色**。 1. 在清單中搜尋 `AWSServiceRole`，尋找您帳戶中存在的服務連結角色。尋找您要檢查的服務連結角色名稱。 ### 服務角色 AWS Auto Scaling 沒有用於擴展計劃的 服務角色。 # 預測擴展服務連結角色 AWS Auto Scaling 當您使用擴展計劃時， 會將服務連結角色用於 AWS 代表您呼叫其他 所需的許可。如需詳細資訊，請參閱[擴展計畫的服務連結角色](security_iam_service-with-iam.md#security_iam_service-with-iam-roles-service-linked)。 以下幾節描述如何建立和管理預測擴展的服務連結角色。首先設定許可，以允許 IAM 實體 (例如使用者、群組或角色) 建立、編輯或刪除服務連結角色。 ## 服務連結角色授予的許可 AWS Auto Scaling 當您啟用預測擴展時AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling， 會使用名為 的服務連結角色來代表您呼叫其他 AWS 服務。 AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling 信任`autoscaling-plans.amazonaws.com`服務擔任該角色。 此服務連結角色使用受管政策 AWSAutoScalingPlansEC2AutoScalingPolicy。若要檢視此政策的許可，請參閱《 *AWS 受管政策參考*》中的 [AWSAutoScalingPlansEC2AutoScalingPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSAutoScalingPlansEC2AutoScalingPolicy.html)。 ## 建立服務連結角色 (自動) 您不需要手動建立 **AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling** 角色。當您在帳戶中 AWS 建立擴展計劃並啟用預測擴展時， 會為您建立此角色。 若要 AWS 讓 代表您建立服務連結角色，您必須擁有必要的許可。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html#service-linked-role-permissions)。 ## 建立服務連結角色 (手動) 您可以使用 IAM 主控台、IAM CLI 或 IAM API，手動建立服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html)。 **建立服務連結角色 (AWS CLI)** 使用下列 [create-service-linked-role](https://docs.aws.amazon.com/cli/latest/reference/iam/create-service-linked-role.html) 命令來建立服務連結角色。 ``` aws iam create-service-linked-role --aws-service-name autoscaling-plans.amazonaws.com ``` ## 編輯服務連結角色 您可以使用 IAM 來編輯 **AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling** 的描述。如需詳細資訊，請參閱 *IAM 使用者指南*中的[編輯服務連結角色描述](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_update-service-linked-role.html#edit-service-linked-role-iam-console)。 ## 刪除服務連結角色 如果您不再需要使用擴展計畫，建議您刪除 **AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling**。 您必須先刪除 AWS 帳戶 中所有啟用預測擴展的擴展計畫，才能刪除服務連結角色。這可確保避免您不小心移除擴展計畫的存取許可。 您可以使用 IAM 主控台、IAM CLI 或 IAM API 刪除服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html#id_roles_manage_delete_slr)。 刪除AWSServiceRoleForAutoScalingPlans\$1EC2AutoScaling服務連結角色之後，如果您在啟用預測擴展的情況下 AWS Auto Scaling 建立擴展計畫， 會再次建立角色。 ## 支援的區域 AWS Auto Scaling 支援在所有提供 AWS 區域 擴展計劃的 中使用服務連結角色。如需擴展計畫的區域可用性相關資訊，請參閱《AWS 一般參考》中的 [AWS Auto Scaling 端點和配額](https://docs.aws.amazon.com/general/latest/gr/autoscaling_region.html)**。 # 擴展計畫的身分型政策範例 根據預設，全新的 IAM 使用者沒有執行任何動作的許可。IAM 管理員必須建立和指派 IAM 政策，它們可提供 IAM 身分 (例如使用者或角色) 許可，以搭配使用擴展計畫。 若要了解如何使用這些範例 JSON 政策文件建立 IAM 政策，請參閱《IAM 使用者指南》**中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [允許使用者建立擴展計劃](#example-policies-scaling-plans) + [允許使用者啟用預測性擴展](#example-policies-predictive-scaling) + [其他必要許可](#aws-auto-scaling-additional-permissions) + [建立服務連結角色所需的許可](#aws-auto-scaling-slr-permissions) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS Auto Scaling 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並轉向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 ，例如 使用服務動作 AWS 服務，您也可以使用條件來授予存取 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 允許使用者建立擴展計劃 以下顯示授予建立擴展計畫的許可之身分型政策範例。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "autoscaling-plans:*", "cloudwatch:PutMetricAlarm", "cloudwatch:DeleteAlarms", "cloudwatch:DescribeAlarms", "cloudformation:ListStackResources" ], "Resource": "*" } ] } ``` ------ 若要使用擴展計畫，最終使用者必須擁有其他的許可，允許使用者使用帳戶中的特定資源。這些許可會列在[其他必要許可](#aws-auto-scaling-additional-permissions)。 每個主控台使用者還需要許可，讓他們能夠探索其帳戶中可擴展的資源，並從 AWS Auto Scaling 主控台檢視 CloudWatch 指標資料的圖表。使用 AWS Auto Scaling 主控台所需的額外許可集如下所示： + `cloudformation:ListStacks`：列出堆疊。 + `tag:GetTagKeys`：尋找包含特定標籤金鑰的可擴展性資源。 + `tag:GetTagValues`：尋找包含特定標籤值的資源。 + `autoscaling:DescribeTags`：尋找包含特定標籤的 Auto Scaling 群組。 + `cloudwatch:GetMetricData`：檢視指標圖中的資料。 ## 允許使用者啟用預測性擴展 以下顯示授予啟用預測擴展的許可之身分型政策範例。這些許可會延伸設定用來擴展 Auto Scaling 群組之擴展計劃的功能。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData", "autoscaling:DescribeAutoScalingGroups", "autoscaling:DescribeScheduledActions", "autoscaling:BatchPutScheduledUpdateGroupAction", "autoscaling:BatchDeleteScheduledAction" ], "Resource": "*" } ] } ``` ------ ## 其他必要許可 為了成功設定擴展計畫，必須授予終端使用者許可來存取他們將設定擴展的每個目標服務。若要授予使用目標服務所需的最低許可，請參閱本節中的資訊，並在 IAM 政策陳述式的 `Action` 元素中指定相關動作。 **Auto Scaling 群組** 若要將 Auto Scaling 群組新增至擴展計畫，使用者必須具有來自 Amazon EC2 Auto Scaling 的下列許可： + `autoscaling:UpdateAutoScalingGroup` + `autoscaling:DescribeAutoScalingGroups` + `autoscaling:PutScalingPolicy` + `autoscaling:DescribePolicies` + `autoscaling:DeletePolicy` **ECS 服務** 若要將 ECS 服務新增至擴展計劃，使用者必須具有來自 Amazon ECS 和 Application Auto Scaling 的下列許可： + `ecs:DescribeServices` + `ecs:UpdateService` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` **Spot 機群** 若要將 Spot 機群新增至擴展計劃，使用者必須具有來自 Amazon EC2 和 Application Auto Scaling 的下列許可： + `ec2:DescribeSpotFleetRequests` + `ec2:ModifySpotFleetRequest` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` **DynamoDB 資料表或全域索引** 若要將 DynamoDB 資料表或全域索引新增至擴展計劃，使用者必須具有來自 DynamoDB 和 Application Auto Scaling 的下列許可： + `dynamodb:DescribeTable` + `dynamodb:UpdateTable` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` **Aurora 資料庫叢集** 若要將 Aurora DB 叢集新增至擴展計劃，使用者必須具有來自 Amazon Aurora 和 Application Auto Scaling 的下列許可： + `rds:AddTagsToResource` + `rds:CreateDBInstance` + `rds:DeleteDBInstance` + `rds:DescribeDBClusters` + `rds:DescribeDBInstances` + `application-autoscaling:RegisterScalableTarget` + `application-autoscaling:DescribeScalableTargets` + `application-autoscaling:DeregisterScalableTarget` + `application-autoscaling:PutScalingPolicy` + `application-autoscaling:DescribeScalingPolicies` + `application-autoscaling:DeleteScalingPolicy` ## 建立服務連結角色所需的許可 AWS Auto Scaling 當 中的任何使用者第一次建立已啟用預測擴展的擴展計劃時， 需要許可才能 AWS 帳戶 建立服務連結角色。如果服務連結角色尚不存在， 會在您的帳戶中 AWS Auto Scaling 建立該角色。服務連結角色會授予 許可， AWS Auto Scaling 讓它可以代表您呼叫其他 服務。 為能成功自動建立該角色，使用者必須已獲許可執行 `iam:CreateServiceLinkedRole` 動作。 ``` "Action": "iam:CreateServiceLinkedRole" ``` 以下顯示授予建立服務連結角色的許可之身分型政策範例。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/autoscaling-plans.amazonaws.com/AWSServiceRoleForAutoScalingPlans_EC2AutoScaling", "Condition": { "StringLike": { "iam:AWSServiceName":"autoscaling-plans.amazonaws.com" } } } ] } ``` ------ 如需詳細資訊，請參閱[預測擴展服務連結角色](aws-auto-scaling-service-linked-roles.md)。