本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # AWS 彈性中樞的 Identity and Access Management AWS Identity and Access Management (IAM) 是一種 AWS 服務，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入）和*授權* （具有許可），以使用 AWS Resilience Hub 資源。IAM 是您可以免費使用 AWS 服務的。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [AWS Resilience Hub 如何與 IAM 搭配使用](security_iam_service-with-iam.md) + [設定 IAM 角色和許可](setting-up-permissions.md) + [對 AWS Resilience Hub 身分和存取進行故障診斷](security_iam_troubleshoot.md) + [AWS Resilience Hub 存取許可參考](security-iam-resilience-hub-permissions.md) + [AWS 的受管政策 AWS Resilience Hub](security-iam-awsmanpol.md) + [AWS Resilience Hub 角色和 IAM 許可參考](security-iam-resilience-hub-personas.md) + [將 Terraform 狀態檔案匯入至 AWS Resilience Hub](security-iam-resilience-hub-terraform-secondary.md) + [啟用對 Amazon Elastic Kubernetes Service 叢集的 AWS Resilience Hub 存取](enabling-eks-in-arh.md) + [啟用 AWS Resilience Hub 以發佈到您的 Amazon Simple Notification Service 主題](enabling-sns-in-arh.md) + [限制包含或排除 AWS Resilience Hub 建議的許可](include-exclude-limit-permissions.md) ## 目標對象使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS Resilience Hub 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS Resilience Hub 如何與 IAM 搭配使用](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [AWS Resilience Hub 的身分型政策範例](security_iam_id-based-policy-examples.md)) ## 使用身分驗證身分驗證是您 AWS 使用身分憑證登入的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶根使用者當您建立時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分可完整存取所有 AWS 服務和資源。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務使用臨時憑證存取。 *聯合身分*是您企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務憑證存取 Directory Service 。聯合身分會擔任角色，而該角色會提供臨時憑證。若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者，以 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色（主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ，會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 決定是否在涉及多個政策類型時允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS Resilience Hub 如何與 IAM 搭配使用在您使用 IAM 管理對 AWS Resilience Hub 的存取之前，請先了解哪些 IAM 功能可與 AWS Resilience Hub 搭配使用。 **您可以搭配 AWS Resilience Hub 使用的 IAM 功能** | IAM 功能 | AWS Resilience Hub 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵 (服務特定)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [ACL](#security_iam_service-with-iam-acls) | 否 | | [ABAC(政策中的標籤)](#security_iam_service-with-iam-tags) | 部分 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [轉送存取工作階段 (FAS)](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 是 | 若要全面了解 AWS Resilience Hub 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## AWS Resilience Hub 的身分型政策 **支援身分型政策：**是身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### AWS Resilience Hub 的身分型政策範例若要檢視 AWS Resilience Hub 身分型政策的範例，請參閱 [AWS Resilience Hub 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## AWS Resilience Hub 中的資源型政策 **支援資源型政策：**否資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## AWS Resilience Hub 的政策動作 **支援政策動作：**是管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。若要查看 AWS Resilience Hub 動作的清單，請參閱*服務授權參考*中的 [AWS Resilience Hub 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions)。 AWS Resilience Hub 中的政策動作在動作之前使用下列字首： ``` resiliencehub ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "resiliencehub:action1", "resiliencehub:action2" ] ``` 若要檢視 AWS Resilience Hub 身分型政策的範例，請參閱 [AWS Resilience Hub 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## AWS Resilience Hub 的政策資源 **支援政策資源：**是管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 若要查看 AWS Resilience Hub 資源類型及其 ARNs的清單，請參閱*服務授權參考*中的 [AWS Resilience Hub 定義的資源](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS Resilience Hub 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions)。若要檢視 AWS Resilience Hub 身分型政策的範例，請參閱 [AWS Resilience Hub 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## AWS Resilience Hub 的政策條件索引鍵 **支援服務特定政策條件金鑰：**是管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。若要查看 AWS Resilience Hub 條件索引鍵的清單，請參閱《*服務授權參考*》中的 [AWS Resilience Hub 的條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-policy-keys)。若要了解您可以使用條件金鑰的動作和資源，請參閱 [AWS Resilience Hub 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions)。若要檢視 AWS Resilience Hub 身分型政策的範例，請參閱 [AWS Resilience Hub 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## AWS Resilience Hub ACLs **支援 ACL：**否存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 ## ABAC with AWS Resilience Hub **支援 ABAC (政策中的標籤)：**部分屬性型存取控制 (ABAC) 是一種授權策略，根據稱為標籤的屬性定義許可權。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 搭配 AWS Resilience Hub 使用臨時登入資料 **支援臨時憑證：**是臨時登入資料提供對 AWS 資源的短期存取，並在您使用聯合或切換角色時自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 轉送 AWS 彈性中樞的存取工作階段 **支援轉寄存取工作階段 (FAS)：**是轉送存取工作階段 (FAS) 使用呼叫的委託人許可 AWS 服務，並結合 AWS 服務請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## AWS Resilience Hub 的服務角色 **支援服務角色：**是服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 變更服務角色的許可可能會中斷 AWS Resilience Hub 功能。只有在 AWS Resilience Hub 提供指引時，才能編輯服務角色。 # AWS Resilience Hub 的身分型政策範例根據預設，使用者和角色沒有建立或修改 AWS Resilience Hub 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。如需 AWS Resilience Hub 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [AWS Resilience Hub 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 AWS Resilience Hub 主控台](#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) + [列出可用的 AWS Resilience Hub 應用程式](#security-iam-policy-examples-list-apps) + [啟動應用程式評估](#security-iam-policy-examples-start-app-assessment) + [刪除應用程式評估](#security-iam-policy-examples-delete-app-assessment) + [為特定應用程式建立建議範本](#security-iam-policy-examples-create-app-reco-template) + [刪除特定應用程式的建議範本](#security-iam-policy-examples-delete-app-reco-template) + [更新具有特定彈性政策的應用程式](#security-iam-policy-examples-update-app-resiliency-policy) ## 政策最佳實務身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS Resilience Hub 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定，例如使用服務動作 AWS 服務，您也可以使用條件來授予存取 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 AWS Resilience Hub 主控台若要存取 AWS Resilience Hub 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視中 AWS Resilience Hub 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。為了確保使用者和角色仍然可以使用 AWS Resilience Hub 主控台，請將 AWS Resilience Hub `ConsoleAccess`或`ReadOnly` AWS 受管政策連接到實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。下列政策授予使用者許可，以列出和檢視 AWS Resilience Hub 主控台中的所有資源，但不能建立、更新或刪除這些資源。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "resiliencehub:List*", "resiliencehub:Describe*" ], "Resource": "*" } ] } ``` ------ ## 允許使用者檢視他們自己的許可此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 列出可用的 AWS Resilience Hub 應用程式下列政策授予使用者列出可用 AWS Resilience Hub 應用程式的許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "PolicyExample", "Effect": "Allow", "Action": [ "resiliencehub:ListApps" ], "Resource": [ "*" ] } ] } ``` ------ ## 啟動應用程式評估下列政策授予使用者啟動特定 AWS Resilience Hub 應用程式評估的許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "PolicyExample", "Effect": "Allow", "Action": [ "resiliencehub:StartAppAssessment" ], "Resource": [ "arn:aws:resiliencehub:*:*:app/appId" ] } ] } ``` ------ ## 刪除應用程式評估下列政策授予使用者刪除特定 AWS Resilience Hub 應用程式評估的許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "PolicyExample", "Effect": "Allow", "Action": [ "resiliencehub:DeleteAppAssessment" ], "Resource": [ "arn:aws:resiliencehub:*:*:app/appId" ] } ] } ``` ------ ## 為特定應用程式建立建議範本下列政策授予使用者為特定 AWS Resilience Hub 應用程式建立建議範本的許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "PolicyExample", "Effect": "Allow", "Action": [ "resiliencehub:CreateRecommendationTemplate" ], "Resource": [ "arn:aws:resiliencehub:*:*:app/appId" ] } ] } ``` ------ ## 刪除特定應用程式的建議範本下列政策授予使用者刪除特定 AWS Resilience Hub 應用程式建議範本的許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "PolicyExample", "Effect": "Allow", "Action": [ "resiliencehub:DeleteRecommendationTemplate" ], "Resource": [ "arn:aws:resiliencehub:*:*:app/appId" ] } ] } ``` ------ ## 更新具有特定彈性政策的應用程式下列政策授予使用者使用特定彈性政策更新 AWS Resilience Hub 應用程式的許可。 # 設定 IAM 角色和許可 AWS Resilience Hub 可讓您設定要在應用程式執行評估時使用的 IAM 角色。有多種方式可以設定 AWS Resilience Hub 來取得應用程式資源的唯讀存取權。不過， AWS Resilience Hub 建議下列方式： + **角色型存取** – 此角色已定義並在目前帳戶中使用。 AWS Resilience Hub 將擔任此角色來存取您應用程式的資源。若要提供角色型存取，角色必須包含下列項目： + 讀取資源的唯讀許可 (AWS Resilience Hub 建議您使用 `AWSResilienceHubAsssessmentExecutionPolicy`受管政策）。 + 擔任此角色的信任政策，允許 AWS Resilience Hub Service Principal 擔任此角色。如果您的帳戶中未設定此類角色， AWS Resilience Hub 會顯示建立該角色的指示。如需詳細資訊，請參閱[設定許可](setup-permissions.md)。 **注意** 如果您只提供叫用者角色名稱，而且您的資源位於另一個帳戶中，則 AWS Resilience Hub 會在其他帳戶中使用此角色名稱來存取跨帳戶資源。或者，您可以為其他帳戶設定角色 ARNs，這將用來取代叫用者角色名稱。 + **目前的 IAM 使用者存取 ** – AWS Resilience Hub 將使用目前的 IAM 使用者存取您的應用程式資源。當您的資源位於不同的帳戶中時， AWS Resilience Hub 將擔任下列 IAM 角色來存取資源： + `AwsResilienceHubAdminAccountRole` 目前帳戶中的 + `AwsResilienceHubExecutorAccountRole` 在其他帳戶中此外，當您設定排定的評估時， AWS Resilience Hub 將擔任該`AwsResilienceHubPeriodicAssessmentRole`角色。不過，`AwsResilienceHubPeriodicAssessmentRole`不建議使用，因為您必須手動設定角色和許可，某些功能（例如**偏離通知**) 可能無法如預期運作。 # 對 AWS Resilience Hub 身分和存取進行故障診斷使用以下資訊來協助您診斷和修正使用 AWS Resilience Hub 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 AWS Resilience Hub 中執行動作](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要允許以外的人員 AWS 帳戶存取我的 AWS Resilience Hub 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 AWS Resilience Hub 中執行動作如果您收到錯誤，告知您未獲授權執行動作，您的政策必須更新，允許您執行動作。下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `resiliencehub:GetWidget` 許可時發生。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: resiliencehub:GetWidget on resource: my-example-widget ``` 在此情況下，必須更新 `mateojackson` 使用者的政策，允許使用 `resiliencehub:GetWidget` 動作存取 `my-example-widget` 資源。如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我未獲得執行 iam:PassRole 的授權如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞給 AWS Resilience Hub。有些 AWS 服務可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。當名為的 IAM `marymajor` 使用者嘗試使用主控台在 AWS Resilience Hub 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許以外的人員 AWS 帳戶存取我的 AWS Resilience Hub 資源您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。如需進一步了解，請參閱以下內容： + 若要了解 AWS Resilience Hub 是否支援這些功能，請參閱 [AWS Resilience Hub 如何與 IAM 搭配使用](security_iam_service-with-iam.md)。 + 若要了解如何在您擁有 AWS 帳戶的資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶的另一個中提供存取權給](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) *IAM* 使用者。 + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # AWS Resilience Hub 存取許可參考您可以使用 AWS Identity and Access Management (IAM) 來管理應用程式資源的存取，並建立適用於使用者、群組或角色的 IAM 政策。每個 AWS Resilience Hub 應用程式都可以設定為使用 [Invoker 角色](security-iam-resilience-hub-invoker-role.md)(IAM 角色），或使用目前的 IAM 使用者許可（以及一組跨帳戶和排程評估的預先定義角色）。在此角色中，您可以連接政策，定義 AWS Resilience Hub 存取其他 AWS 資源或應用程式資源所需的許可。呼叫者角色必須具有新增至 AWS Resilience Hub Service Principal 的信任政策。若要管理應用程式的許可，建議使用 [AWS 的受管政策 AWS Resilience Hub](security-iam-awsmanpol.md)。您可以使用這些受管政策，而無需進行任何修改，也可以將其用作編寫您自己的限制性政策的起點。政策可以使用其他選用條件，限制不同動作的資源層級使用者許可。如果您的應用程式資源位於不同的帳戶（次要/資源帳戶），您必須在包含應用程式資源的每個帳戶中設定新角色。 **注意** 如果您為工作負載資源定義 VPC 端點，請確定 VPC 端點政策提供存取資源 AWS Resilience Hub 的唯讀存取權。如需詳細資訊，請參閱[使用端點政策控制對 VPC 端點的存取](https://docs.aws.amazon.com//vpc/latest/privatelink/vpc-endpoints-access.html)。 **主題** + [使用 IAM 角色](security-iam-resilience-hub-using-iam-role.md) + [使用目前的 IAM 使用者許可](security-iam-resilience-hub-current-user-permissions.md) # 使用 IAM 角色 AWS Resilience Hub 將使用預先定義的現有 IAM 角色來存取主要帳戶或次要/資源帳戶中的資源。這是存取資源的建議許可選項。 **主題** + [Invoker 角色](security-iam-resilience-hub-invoker-role.md) + [不同 AWS 帳戶中跨帳戶存取的角色 - 選用](security-iam-resilience-cross-account-roles.md) # Invoker 角色 AWS Resilience Hub 叫用者角色是擔任存取 AWS 服務和資源的 AWS Identity and Access Management AWS Resilience Hub (IAM) 角色。例如，您可以建立叫用者角色，該角色具有存取 CFN 範本及其建立的資源的許可。此頁面提供如何建立、檢視和管理應用程式呼叫者角色的相關資訊。當您建立應用程式時，您會提供叫用者角色。 AWS Resilience Hub 當您匯入資源或開始評估時，會擔任此角色來存取您的資源。若要 AWS Resilience Hub 讓正確擔任您的叫用者角色，角色的信任政策必須將 AWS Resilience Hub 服務委託人 (**resiliencehub.amazonaws.com**：//) 指定為信任的服務。若要檢視應用程式的叫用者角色，請從導覽窗格中選擇**應用程式**，然後從**應用程式**頁面**的動作**選單中選擇**更新許可**。您可以隨時從應用程式呼叫者角色新增或移除許可，或將應用程式設定為使用不同的角色來存取應用程式資源。 **主題** + [在 IAM 主控台中建立調用者角色](#security-iam-resilience-hub-create-invoker-role) + [使用 IAM API 管理角色](#security-iam-resilience-hub-manage-roles-with-IAM-API) + [使用 JSON 檔案定義信任政策](#security-iam-resilience-define-policy) ## 在 IAM 主控台中建立調用者角色若要讓 AWS Resilience Hub 存取 AWS 服務和資源，您必須使用 IAM 主控台在主要帳戶中建立叫用者角色。如需使用 IAM 主控台建立角色的詳細資訊，請參閱[為 AWS 服務建立角色（主控台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html#roles-creatingrole-service-console)。 **使用 IAM 主控台在主要帳戶中建立調用者角色** 1. 在 `https://console.aws.amazon.com/iam/` 開啟 IAM 主控台。 1. 從導覽窗格中，選擇**角色**，然後選擇**建立角色**。 1. 選取**自訂信任政策**，在**自訂信任政策**視窗中複製下列政策，然後選擇**下一步**。 **注意** 如果您的資源位於不同的帳戶中，則必須在每個帳戶中建立角色，並為其他帳戶使用次要帳戶信任政策。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "resiliencehub.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` ------ 1. 在**新增許可**頁面的**許可政策**區段`AWSResilienceHubAsssessmentExecutionPolicy`中，**輸入依屬性或政策名稱篩選政策，然後按 Enter** 鍵。 1. 選取政策，然後選擇**下一步**。 1. 在**角色詳細資訊**區段中，在角色名稱方塊中輸入唯一的**角色名稱** （例如 `AWSResilienceHubAssessmentRole`)。此欄位只接受英數字元和「`+=,.@-_/`」字元。 1. （選用）在描述方塊中輸入角色的**描述**。 1. 選擇**建立角色**。若要編輯使用案例和許可，請在步驟 6 中，選擇**步驟 1：選取信任的實體**或**步驟 2：新增許可**區段右側的**編輯**按鈕。建立叫用者角色和資源角色（如果適用）之後，您可以將應用程式設定為使用這些角色。 **注意** 在建立或更新應用程式時，您必須在目前的 IAM 使用者/角色中擁有呼叫者角色的`iam:passRole`許可。不過，您不需要此許可即可執行評估。 ## 使用 IAM API 管理角色角色的信任政策會提供指定主體擔任角色的許可。若要使用 AWS Command Line Interface (AWS CLI) 建立角色，請使用 `create-role`命令。使用此命令時，您可以內嵌指定信任政策。下列範例顯示如何授予 AWS Resilience Hub 服務主體擔任您的角色的許可。 **注意** JSON 字串中逸出引號 (`' '`) 的需求可能會根據您的 Shell 版本而有所不同。 **範例 `create-role`** ``` aws iam create-role --role-name AWSResilienceHubAssessmentRole --assume-role-policy-document '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": {"Service": "resiliencehub.amazonaws.com"}, "Action": "sts:AssumeRole" } ] }' ``` ## 使用 JSON 檔案定義信任政策您可以使用單獨的 JSON 檔案來定義角色的信任政策，然後執行 `create-role`命令。在下列範例中， **`trust-policy.json`** 是在目前目錄中包含信任政策的檔案。此政策透過執行 **`create-role`**命令連接到角色。`create-role` 命令的輸出會顯示在**範例輸出**中。若要將許可新增至角色，請使用 **attach-policy-to-role** 命令，您可以從新增 `AWSResilienceHubAsssessmentExecutionPolicy`受管政策開始。如需此受管政策的詳細資訊，請參閱 [AWSResilienceHubAsssessmentExecutionPolicy](security-iam-awsmanpol.md#security_iam_aws-assessment-policy)。 **範例 `trust-policy.json`** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [{ "Effect": "Allow", "Principal": { "Service": "resiliencehub.amazonaws.com" }, "Action": "sts:AssumeRole" }] } ``` ------ **範例 `create-role`** `aws iam create-role --role-name AWSResilienceHubAssessmentRole --assume-role-policy-document file://trust-policy.json` **範例輸出** **範例 `attach-policy-to-role`** `aws iam attach-role-policy --role-name AWSResilienceHubAssessmentRole --policy-arn arn:aws:iam::aws:policy/AWSResilienceHubAsssessmentExecutionPolicy` # 不同 AWS 帳戶中跨帳戶存取的角色 - 選用當您的資源位於次要/資源帳戶中時，您必須在這些帳戶中建立角色，讓 AWS Resilience Hub 能夠成功評估您的應用程式。角色建立程序類似於叫用者角色建立程序，但信任政策組態除外。 **注意** 您必須在資源所在的次要帳戶中建立角色。 **主題** + [在次要/資源帳戶的 IAM 主控台中建立角色](#security-iam-resilience-cross-create-roles-infra-account) + [使用 IAM API 管理角色](#security-iam-resilience-cross-create-roles-infra-account-api) + [使用 JSON 檔案定義信任政策](#security-iam-resilience-cross-define-trust-policy-infra-account) ## 在次要/資源帳戶的 IAM 主控台中建立角色若要讓 AWS Resilience Hub 存取其他 AWS 帳戶中 AWS 的服務和資源，您必須在這些帳戶中建立角色。 **使用 IAM 主控台在 IAM 主控台中為次要/資源帳戶建立角色** 1. 在 `https://console.aws.amazon.com/iam/` 開啟 IAM 主控台。 1. 從導覽窗格中，選擇**角色**，然後選擇**建立角色**。 1. 選取**自訂信任政策**，在**自訂信任政策**視窗中複製下列政策，然後選擇**下一步**。 **注意** 如果您的資源位於不同的帳戶中，則必須在每個帳戶中建立角色，並為其他帳戶使用次要帳戶信任政策。 1. 在**新增許可**頁面的**許可政策**區段`AWSResilienceHubAsssessmentExecutionPolicy`中，**輸入依屬性或政策名稱篩選政策，然後按 Enter** 方塊。 1. 選取政策，然後選擇**下一步**。 1. 在**角色詳細資訊**區段中，在角色名稱方塊中輸入唯一的**角色名稱** （例如 `AWSResilienceHubAssessmentRole`)。 1. （選用）在描述方塊中輸入角色的**描述**。 1. 選擇**建立角色**。若要編輯使用案例和許可，請在步驟 6 中，選擇**步驟 1：選取信任的實體**或**步驟 2：新增許可**區段右側的**編輯**按鈕。此外，您也需要將 `sts:assumeRole`許可新增至叫用者角色，讓它能夠擔任次要帳戶中的角色。針對您建立的每個次要角色，將下列政策新增至您的呼叫者角色： ``` { "Effect": "Allow", "Resource": [ "arn:aws:iam::secondary_account_id_1:role/RoleInSecondaryAccount_1", "arn:aws:iam::secondary_account_id_2:role/RoleInSecondaryAccount_2", ... ], "Action": [ "sts:AssumeRole" ] } ``` ### 使用 IAM API 管理角色角色的信任政策會提供指定主體擔任角色的許可。若要使用 AWS Command Line Interface (AWS CLI) 建立角色，請使用 `create-role`命令。使用此命令時，您可以指定內嵌信任政策。下列範例顯示如何授予 AWS Resilience Hub 服務委託人擔任您角色的許可。 **注意** JSON 字串中逸出引號 (`' '`) 的需求可能會根據您的 Shell 版本而有所不同。 **範例 `create-role`** ``` aws iam create-role --role-name AWSResilienceHubAssessmentRole --assume-role-policy-document '{"Version": "2012-10-17", "Statement": [{"Effect": "Allow","Principal": {"AWS": ["arn:aws:iam::primary_account_id:role/InvokerRoleName"]},"Action": "sts:AssumeRole"}]}' ``` 您也可使用單獨的 JSON 檔案來定義角色的信任政策。在下列範例中，`trust-policy.json` 為當前目錄中的檔案。 ### 使用 JSON 檔案定義信任政策您可以使用單獨的 JSON 檔案來定義角色的信任政策，然後執行 `create-role`命令。在下列範例中， **`trust-policy.json`** 是在目前目錄中包含信任政策的檔案。此政策透過執行 **`create-role`**命令連接到角色。`create-role` 命令的輸出會顯示在**範例輸出**中。若要將許可新增至角色，請使用 **attach-policy-to-role** 命令，您可以從新增 `AWSResilienceHubAsssessmentExecutionPolicy`受管政策開始。如需此受管政策的詳細資訊，請參閱 [AWSResilienceHubAsssessmentExecutionPolicy](security-iam-awsmanpol.md#security_iam_aws-assessment-policy)。 **範例 `trust-policy.json`** **範例 `create-role`** ``` aws iam create-role --role-name AWSResilienceHubAssessmentRole --assume-role-policy-document file://trust-policy.json ``` **範例輸出** **範例 `attach-policy-to-role`** `aws iam attach-role-policy --role-name AWSResilienceHubAssessmentRole --policy-arn arn:aws:iam::aws:policy/AWSResilienceHubAsssessmentExecutionPolicy`. # 使用目前的 IAM 使用者許可如果您想要使用目前的 IAM 使用者許可來建立和執行評估，請使用此方法。您可以將 `AWSResilienceHubAsssessmentExecutionPolicy`受管政策連接至您的 IAM 使用者或與使用者相關聯的角色。 ## 單一帳戶設定使用上述受管政策就足以對與 IAM 使用者在相同帳戶中受管的應用程式執行評估。 ## 排定的評估設定您必須建立新的角色`AwsResilienceHubPeriodicAssessmentRole`，讓 AWS Resilience Hub 執行排定的評估相關任務。 **注意** 使用角色型存取（具有上述叫用者角色）時，不需要此步驟。角色名稱必須是 `AwsResilienceHubPeriodicAssessmentRole`。 **若要讓 AWS Resilience Hub 執行排定的評估相關任務** 1. 將 `AWSResilienceHubAsssessmentExecutionPolicy` 受管政策連接至角色。 1. 新增下列政策，其中 `primary_account_id`是定義應用程式並將執行評估 AWS 的帳戶。此外，您必須為排程評估的角色新增相關聯的信任政策 (`AwsResilienceHubPeriodicAssessmentRole`)，以授予 AWS Resilience Hub 服務擔任排程評估角色的許可。 **排程評估角色的信任政策 (`AwsResilienceHubPeriodicAssessmentRole`)** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "resiliencehub.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` ------ ## 跨帳戶設定如果您將 AWS Resilience Hub 與多個帳戶搭配使用，則需要下列 IAM 許可政策。根據您的使用案例，每個 AWS 帳戶可能需要不同的許可。設定 AWS Resilience Hub 進行跨帳戶存取時，會考慮下列帳戶和角色： + **主要帳戶** – AWS 您要在其中建立應用程式並執行評估的帳戶。 + **次要/資源帳戶 (s)** – 資源所在的 AWS 帳戶 (s)。 **注意** 使用角色型存取（具有上述叫用者角色）時，不需要此步驟。如需設定許可以存取 Amazon Elastic Kubernetes Service 的詳細資訊，請參閱 [啟用對 Amazon Elastic Kubernetes Service 叢集的 AWS Resilience Hub 存取](enabling-eks-in-arh.md)。 ### 主要帳戶設定您必須在主要帳戶中建立新的角色`AwsResilienceHubAdminAccountRole`，並啟用 AWS Resilience Hub 存取以擔任該角色。此角色將用於存取 AWS 帳戶中包含資源的另一個角色。它不應具有讀取資源的許可。 **注意** 角色名稱必須是 `AwsResilienceHubAdminAccountRole`。它必須在主要帳戶中建立。您目前的 IAM 使用者/角色必須具有擔任此角色的`iam:assumeRole`許可。將取代`secondary_account_id_1/2/...`為相關的次要帳戶識別符。下列政策為您的角色提供執行器許可，以存取 AWS 您帳戶中另一個角色中的資源：管理員角色 (`AwsResilienceHubAdminAccountRole`) 的信任政策如下所示： ### 次要/資源帳戶 (s) 設定在每個次要帳戶中，您必須建立新的，`AwsResilienceHubExecutorAccountRole`並啟用上述建立的管理員角色，才能擔任此角色。由於此角色將由 AWS Resilience Hub 用來掃描和評估您的應用程式資源，因此也需要適當的許可。不過，您必須將 `AWSResilienceHubAsssessmentExecutionPolicy`受管政策連接到角色，並連接執行器角色政策。執行器角色信任政策如下所示： # AWS 的受管政策 AWS Resilience Hub AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有委託人身分（使用者、群組和角色）。當新的 AWS 服務啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWSResilienceHubAsssessmentExecutionPolicy 您可以將 `AWSResilienceHubAsssessmentExecutionPolicy` 連接至您的 IAM 身分。執行評估時，此政策會授予其他 AWS 服務的存取許可，以執行評估。 ### 許可詳細資訊此政策提供足夠的許可，將警示 AWS FIS 和 SOP 範本發佈到您的 Amazon Simple Storage Service (Amazon S3) 儲存貯體。Amazon S3 儲存貯體名稱必須以開頭`aws-resilience-hub-artifacts-`。如果您想要發佈到另一個 Amazon S3 儲存貯體，您可以在呼叫 `CreateRecommendationTemplate` API 時執行此操作。如需詳細資訊，請參閱 [CreateRecommendationTemplate](https://docs.aws.amazon.com/resilience-hub/latest/APIReference/API_CreateRecommendationTemplate.html)。此政策包含以下許可： + Amazon CloudWatch (CloudWatch) – 取得您在 Amazon CloudWatch 中設定的所有實作警示，以監控應用程式。此外，我們使用 `cloudwatch:PutMetricData`來發佈`ResilienceHub`命名空間中應用程式彈性分數的 CloudWatch 指標。 + Amazon Data Lifecycle Manager – 取得與 AWS 您的帳戶相關聯的 Amazon Data Lifecycle Manager 資源並提供其`Describe`許可。 + Amazon DevOps Guru – 列出與 AWS 您的帳戶相關聯的 Amazon DevOps Guru 資源並提供`Describe`許可。 + Amazon DocumentDB – 列出與您的帳戶 AWS 相關聯的 Amazon DocumentDB 資源並提供`Describe`許可。 + Amazon DynamoDB (DynamoDB) – 列出與您的帳戶 AWS 相關聯的 Amazon DynamoDB 資源並提供其`Describe`許可。 + Amazon ElastiCache (ElastiCache) – 為與您 AWS 帳戶相關聯的 ElastiCache 資源提供`Describe`許可。 + Amazon ElastiCache (Redis OSS) Serverless (ElastiCache (Redis OSS) Serverless) – 為與您 AWS 帳戶相關聯的 ElastiCache (Redis OSS) Serverless 組態提供`Describe`許可。 + Amazon Elastic Compute Cloud (Amazon EC2) – 列出與您的帳戶 AWS 相關聯的 Amazon EC2 資源並提供其`Describe`許可。 + Amazon Elastic Container Registry (Amazon ECR) – 為與您 AWS 帳戶相關聯的 Amazon ECR 資源提供`Describe`許可。 + Amazon Elastic Container Service (Amazon ECS) – 為與您 AWS 帳戶相關聯的 Amazon ECS 資源提供`Describe`許可。 + Amazon Elastic File System (Amazon EFS) – 為與您 AWS 帳戶相關聯的 Amazon EFS 資源提供`Describe`許可。 + Amazon Elastic Kubernetes Service (Amazon EKS) – 列出與您的帳戶 AWS 相關聯的 Amazon EKS 資源並提供其`Describe`許可。 + Amazon EC2 Auto Scaling – 列出與 AWS 您的帳戶相關聯的 Amazon EC2 Auto Scaling 資源並提供其`Describe`許可。 + Amazon EC2 Systems Manager (SSM) – 為與您 AWS 帳戶相關聯的 SSM 資源提供`Describe`許可。 + AWS Fault Injection Service (AWS FIS) – 列出並提供與 AWS 您的帳戶相關聯的 AWS FIS 實驗和實驗範本的`Describe`許可。 + Amazon FSx for Windows File Server (Amazon FSx) – 列出與您的帳戶 AWS 相關聯的 Amazon FSx 資源並提供其`Describe`許可。 + Amazon RDS – 列出與 AWS 您的帳戶相關聯的 Amazon RDS 資源並提供`Describe`許可。 + Amazon Route 53 (Route 53) – 列出與您的帳戶 AWS 相關聯的 Route 53 資源並提供其`Describe`許可。 + Amazon Route 53 Resolver – 列出與 AWS 您的帳戶相關聯的 Amazon Route 53 Resolver 資源並提供`Describe`許可。 + Amazon Simple Notification Service (Amazon SNS) – 列出與您的帳戶 AWS 相關聯的 Amazon SNS 資源並提供其`Describe`許可。 + Amazon Simple Queue Service (Amazon SQS) – 列出與您的帳戶 AWS 相關聯的 Amazon SQS 資源並提供其`Describe`許可。 + Amazon Simple Storage Service (Amazon S3) – 列出與您的帳戶 AWS 相關聯的 Amazon S3 資源並提供其`Describe`許可。 **注意** 執行評估時，如果有任何遺漏的許可需要從受管政策更新， AWS Resilience Hub 將使用 s3：GetBucketLogging 許可成功完成評估。不過， AWS Resilience Hub 會顯示警告訊息，其中列出缺少的許可，並提供寬限期來新增相同的許可。如果您未在指定的寬限期內新增缺少的許可，評估將會失敗。 + AWS Backup – 列出並取得與您 AWS 帳戶相關聯之 Amazon EC2 Auto Scaling 資源的`Describe`許可。 + AWS CloudFormation – 列出並取得與您 AWS 帳戶相關聯之 AWS CloudFormation 堆疊上資源的`Describe`許可。 + AWS DataSync – 列出與 AWS 您的帳戶相關聯的 AWS DataSync 資源並提供`Describe`許可。 + Directory Service – 列出與 AWS 您的帳戶相關聯的 Directory Service 資源並提供`Describe`許可。 + AWS Elastic Disaster Recovery （彈性災難復原） – 為與您 AWS 帳戶相關聯的彈性災難復原資源提供`Describe`許可。 + AWS Lambda (Lambda) – 列出與您的帳戶 AWS 相關聯的 Lambda 資源並提供其`Describe`許可。 + AWS Resource Groups （資源群組） – 列出與您的帳戶 AWS 相關聯的資源群組資源並提供其`Describe`許可。 + AWS Service Catalog （服務目錄） – 列出與您的帳戶 AWS 相關聯的 Service Catalog 資源並提供其`Describe`許可。 + AWS Step Functions – 列出與 AWS 您的帳戶相關聯的 AWS Step Functions 資源並提供`Describe`許可。 + Elastic Load Balancing – 列出與 AWS 您的帳戶相關聯的 Elastic Load Balancing 資源並提供其`Describe`許可。 + `ssm:GetParametersByPath` – 我們使用此許可來管理為您的應用程式設定的 CloudWatch 警示、測試或 SOPs。 AWS 帳戶需要下列 IAM 政策，才能為使用者、使用者群組和角色新增許可，這些使用者、使用者群組和角色為您的團隊提供在執行評估時存取 AWS 服務所需的許可。 ## AWS Resilience Hub AWS 受管政策的更新檢視自此服務開始追蹤這些變更 AWS Resilience Hub 以來， AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 AWS Resilience Hub 文件歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSResilienceHubAsssessmentExecutionPolicy](#security_iam_aws-assessment-policy) – 變更 | AWS Resilience Hub 已更新 AWSResilienceHubAsssessmentExecutionPolicy以授予 List和 Get許可，讓您在執行評估 AWS FIS 時從存取實驗。 | 2024 年 12 月 17 日 | | [AWSResilienceHubAsssessmentExecutionPolicy](#security_iam_aws-assessment-policy) – 變更 | AWS Resilience Hub 已更新 AWSResilienceHubAsssessmentExecutionPolicy以授予Describe許可，讓您在執行評估時存取 Amazon ElastiCache (Redis OSS) Serverless 上的資源和組態。 | 2024 年 9 月 25 日 | | [AWSResilienceHubAsssessmentExecutionPolicy](#security_iam_aws-assessment-policy) – 變更 | AWS Resilience Hub 已更新 AWSResilienceHubAsssessmentExecutionPolicy以授予Describe許可，讓您在執行評估 AWS Lambda 時存取 Amazon DocumentDB、Elastic Load Balancing 上的資源和組態。 | 2024 年 8 月 1 日 | | [AWSResilienceHubAsssessmentExecutionPolicy](#security_iam_aws-assessment-policy) – 變更 | AWS Resilience Hub 已更新 AWSResilienceHubAsssessmentExecutionPolicy以授予Describe許可，讓您在執行評估時讀取 Amazon FSx for Windows File Server 組態。 | 2024 年 3 月 26 日 | | [AWSResilienceHubAsssessmentExecutionPolicy](#security_iam_aws-assessment-policy) – 變更 | AWS Resilience Hub 已更新 AWSResilienceHubAsssessmentExecutionPolicy以授予Describe許可，讓您在執行評估時讀取 AWS Step Functions 組態。 | 2023 年 10 月 30 日 | | [AWSResilienceHubAsssessmentExecutionPolicy](#security_iam_aws-assessment-policy) – 變更 | AWS Resilience Hub 已更新 AWSResilienceHubAsssessmentExecutionPolicy以授予Describe許可，讓您在執行評估時存取 Amazon RDS 上的資源。 | 2023 年 10 月 5 日 | | [AWSResilienceHubAsssessmentExecutionPolicy](#security_iam_aws-assessment-policy) – 新 | 此 AWS Resilience Hub 政策提供其他 AWS 服務的存取權，以執行評估。 | 2023 年 6 月 26 日 | | AWS Resilience Hub 開始追蹤變更 | AWS Resilience Hub 開始追蹤其 AWS 受管政策的變更。 | 2023 年 6 月 15 日 | # AWS Resilience Hub 角色和 IAM 許可參考您可以使用 AWS Resilience Hub `AWSResilienceHubAsssessmentExecutionPolicy` AWS 受管政策和下列其中一個角色特定政策，將 IAM 許可授予使用所需的角色。如需 AWS 受管政策的詳細資訊，請參閱 [AWSResilienceHubAsssessmentExecutionPolicy](security-iam-awsmanpol.md#security_iam_aws-assessment-policy)。 **Topics** + [基礎設施應用程式管理員角色的 IAM 許可](#iam-infra-continuity-manager) + [業務持續性管理員角色的 IAM 許可](#iam-business-continuity-manager) + [應用程式擁有者角色的 IAM 許可](#iam-application-owner) + [授予唯讀存取權的 IAM 許可](#iam-read-only-access) ## 基礎設施應用程式管理員角色的 IAM 許可下列政策會授予 Infrastructure 應用程式管理員角色所需的必要許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "InfrastructureApplicationManager", "Effect": "Allow", "Action": [ "resiliencehub:AddDraftAppVersionResourceMappings", "resiliencehub:CreateAppVersionAppComponent", "resiliencehub:CreateAppVersionResource", "resiliencehub:CreateRecommendationTemplate", "resiliencehub:DeleteAppAssessment", "resiliencehub:DeleteAppInputSource", "resiliencehub:DeleteAppVersionAppComponent", "resiliencehub:DeleteAppVersionResource", "resiliencehub:DeleteRecommendationTemplate", "resiliencehub:Describe*", "resiliencehub:List*", "resiliencehub:PublishAppVersion", "resiliencehub:PutDraftAppVersionTemplate", "resiliencehub:RemoveDraftAppVersionResourceMappings", "resiliencehub:ResolveAppVersionResources", "resiliencehub:StartAppAssessment", "resiliencehub:TagResource", "resiliencehub:UntagResource", "resiliencehub:UpdateAppVersion", "resiliencehub:UpdateAppVersionAppComponent", "resiliencehub:UpdateAppVersionResource" ], "Resource": "*" } ] } ``` ------ ## 業務持續性管理員角色的 IAM 許可下列政策會授予業務持續性管理員角色所需的必要許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "BusinessContinuityManager", "Effect": "Allow", "Action": [ "resiliencehub:CreateResiliencyPolicy", "resiliencehub:DeleteResiliencyPolicy", "resiliencehub:Describe*", "resiliencehub:List*", "resiliencehub:ResolveAppVersionResources", "resiliencehub:TagResource", "resiliencehub:UntagResource", "resiliencehub:UpdateAppVersion", "resiliencehub:UpdateAppVersionAppComponent", "resiliencehub:UpdateAppVersionResource", "resiliencehub:UpdateResiliencyPolicy" ], "Resource": "*" } ] } ``` ------ ## 應用程式擁有者角色的 IAM 許可下列政策會授予應用程式擁有者角色所需的必要許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ApplicationOwner", "Effect": "Allow", "Action": [ "resiliencehub:AddDraftAppVersionResourceMappings", "resiliencehub:BatchUpdateRecommendationStatus", "resiliencehub:CreateApp", "resiliencehub:CreateAppVersionAppComponent", "resiliencehub:CreateAppVersionResource", "resiliencehub:CreateRecommendationTemplate", "resiliencehub:CreateResiliencyPolicy", "resiliencehub:DeleteApp", "resiliencehub:DeleteAppAssessment", "resiliencehub:DeleteAppInputSource", "resiliencehub:DeleteAppVersionAppComponent", "resiliencehub:DeleteAppVersionResource", "resiliencehub:DeleteRecommendationTemplate", "resiliencehub:DeleteResiliencyPolicy", "resiliencehub:Describe*", "resiliencehub:ImportResourcesToDraftAppVersion", "resiliencehub:List*", "resiliencehub:PublishAppVersion", "resiliencehub:PutDraftAppVersionTemplate", "resiliencehub:RemoveDraftAppVersionResourceMappings", "resiliencehub:ResolveAppVersionResources", "resiliencehub:StartAppAssessment", "resiliencehub:TagResource", "resiliencehub:UntagResource", "resiliencehub:UpdateApp", "resiliencehub:UpdateAppVersion", "resiliencehub:UpdateAppVersionAppComponent", "resiliencehub:UpdateAppVersionResource", "resiliencehub:UpdateResiliencyPolicy" ], "Resource": "*" } ] } ``` ------ ## 授予唯讀存取權的 IAM 許可下列政策會授予唯讀存取所需的必要許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReadOnly", "Effect": "Allow", "Action": [ "resiliencehub:Describe*", "resiliencehub:List*", "resiliencehub:ResolveAppVersionResources" ], "Resource": "*" } ] } ``` ------ # 將 Terraform 狀態檔案匯入至 AWS Resilience Hub AWS Resilience Hub 支援匯入使用伺服器端加密 (SSE) 搭配 Amazon Simple Storage Service 受管金鑰 (SSE-S3) 或受 AWS Key Management Service 管金鑰 (SSE-KMS) 加密的 Terraform 狀態檔案。如果您的 Terraform 狀態檔案使用客戶提供的加密金鑰 (SSE-C) 加密，您將無法使用匯入它們 AWS Resilience Hub。匯入 Terraform 狀態檔案到 AWS Resilience Hub 需要下列 IAM 政策，具體取決於您的狀態檔案所在的位置。 ## 從主要帳戶中的 Amazon S3 儲存貯體匯入 Terraform 狀態檔案需要下列 Amazon S3 儲存貯體政策和 IAM 政策，才能允許 AWS Resilience Hub 讀取位於主要帳戶 Amazon S3 儲存貯體中的 Terraform 狀態檔案。 + 儲存貯體政策 – 目標 Amazon S3 儲存貯體上的儲存貯體政策，位於主要帳戶中。如需詳細資訊，請參閱下列範例。 + 身分政策 – 針對此應用程式定義的 Invoker 角色，或主要 AWS 帳戶 AWS Resilience Hub 上 AWS 目前 IAM 角色的關聯身分政策。如需詳細資訊，請參閱下列範例。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::/" }, { "Effect": "Allow", "Action": "s3:ListBucket", "Resource": "arn:aws:s3:::" } ] } ``` ------ **注意** 如果您使用的是 `AWSResilienceHubAsssessmentExecutionPolicy`受管政策，則不需要 `ListBucket` 許可。 **注意** 如果您的 Terraform 狀態檔案使用 KMS 加密，您必須新增下列`kms:Decrypt`許可。 ``` { "Effect": "Allow", "Action": [ "kms:Decrypt", ], "Resource": "" } ``` ## 從次要帳戶中的 Amazon S3 儲存貯體匯入 Terraform 狀態檔案 + 儲存貯體政策 – 目標 Amazon S3 儲存貯體上的儲存貯體政策，位於其中一個次要帳戶中。如需詳細資訊，請參閱下列範例。 + 身分政策 – 帳戶角色的 AWS 關聯身分政策，在主要 AWS 帳戶 AWS Resilience Hub 上執行。如需詳細資訊，請參閱下列範例。 **注意** 如果您使用的是 `AWSResilienceHubAsssessmentExecutionPolicy`受管政策，則不需要 `ListBucket` 許可。 **注意** 如果您的 Terraform 狀態檔案使用 KMS 加密，您必須新增下列`kms:Decrypt`許可。 ``` { "Effect": "Allow", "Action": [ "kms:Decrypt", ], "Resource": "" } ``` # 啟用對 Amazon Elastic Kubernetes Service 叢集的 AWS Resilience Hub 存取 AWS Resilience Hub 透過分析 Amazon EKS 叢集的基礎設施來評估 Amazon Elastic Kubernetes Service (Amazon EKS) 叢集的彈性。 AWS Resilience Hub 會使用 Kubernetes 角色型存取控制 (RBAC) 組態來評估其他 Kubernetes (K8) 工作負載，這些工作負載會部署為 Amazon EKS 叢集的一部分。若要 AWS Resilience Hub 讓查詢 Amazon EKS 叢集以分析和評估工作負載，您必須完成下列操作： + 在與 Amazon EKS 叢集相同的帳戶中建立或使用現有 AWS Identity and Access Management (IAM) 角色。 + 啟用 Amazon EKS 叢集的 IAM 使用者和角色存取權，並授予其他唯讀許可給 Amazon EKS 叢集內的 K8s 資源。如需啟用 IAM 使用者和角色存取 Amazon EKS 叢集的詳細資訊，請參閱[啟用 IAM 使用者和角色存取您的叢集 - Amazon EKS](https://docs.aws.amazon.com/eks/latest/userguide/add-user-role.html)。使用 IAM 實體存取 Amazon EKS 叢集，是由在 Amazon EKS 控制平面上執行的 [AWS IAM Authenticator for Kubernetes](https://github.com/kubernetes-sigs/aws-iam-authenticator#readme) 啟用。驗證器會從取得組態資訊`aws-auth ConfigMap`。 **注意** 如需所有`aws-auth ConfigMap`設定的詳細資訊，請參閱 GitHub 上的[完整組態格式](https://github.com/kubernetes-sigs/aws-iam-authenticator#full-configuration-format)。如需不同 IAM 身分的詳細資訊，請參閱《IAM 使用者指南》中的[身分（使用者、群組和角色）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)。如需 Kubernetes 角色型存取控制 (RBAC) 組態的詳細資訊，請參閱[使用 RBAC 授權](https://kubernetes.io/docs/reference/access-authn-authz/rbac/)。 AWS Resilience Hub 會使用帳戶中的 IAM 角色查詢 Amazon EKS 叢集內的資源。若要 AWS Resilience Hub 讓存取 Amazon EKS 叢集內的資源，所使用的 IAM 角色 AWS Resilience Hub 必須對應至具有足夠唯讀許可的 Kubernetes 群組，才能存取 Amazon EKS 叢集內的資源。 AWS Resilience Hub 允許使用下列其中一個 IAM 角色選項來存取您的 Amazon EKS 叢集資源： + 如果您的應用程式設定為使用角色型存取來存取資源，則在建立應用程式時傳遞給 AWS Resilience Hub 的叫用者角色或次要帳戶角色將用於在評估期間存取您的 Amazon EKS 叢集。下列概念圖顯示應用程式設定為角色型應用程式時，如何 AWS Resilience Hub 存取 Amazon EKS 叢集。 ![\[Diagram showing AWS Resilience Hub accessing EKS clusters in primary and secondary accounts.\]](http://docs.aws.amazon.com/zh_tw/resilience-hub/latest/userguide/images/EKS-accounts.png) + 如果您的應用程式設定為使用目前的 IAM 使用者來存取資源，您必須在`AwsResilienceHubAssessmentEKSAccessRole`與 Amazon EKS 叢集相同的帳戶中建立名稱為的新 IAM 角色。然後，此 IAM 角色將用於存取您的 Amazon EKS 叢集。下列概念圖顯示當應用程式設定為使用目前的 IAM 使用者許可時，如何 AWS Resilience Hub 存取部署在您的主要帳戶中的 Amazon EKS 叢集。 ![\[Icons representing login, current IAM role, assume role, and AWS Resilience Hub options.\]](http://docs.aws.amazon.com/zh_tw/resilience-hub/latest/userguide/images/SingleAccountEKS.png) 下列概念圖顯示當應用程式設定為使用目前的 IAM 使用者許可時，如何 AWS Resilience Hub 存取部署在次要帳戶上的 Amazon EKS 叢集。 ![\[Icons representing AWS 帳戶 access roles and permissions for primary and secondary accounts.\]](http://docs.aws.amazon.com/zh_tw/resilience-hub/latest/userguide/images/MultiAccountEKS.png) # 授予 Amazon EKS 叢集中資源的 AWS Resilience Hub 存取權 AWS Resilience Hub 可讓您存取位於 Amazon EKS 叢集上的資源，前提是您已設定必要的許可。 **將探索和評估 AWS Resilience Hub Amazon EKS 叢集內資源所需的許可授予** 1. 設定 IAM 角色以存取 Amazon EKS 叢集。如果您已使用角色型存取來設定應用程式，您可以略過此步驟並繼續步驟 2，並使用您用來建立應用程式的角色。如需 AWS Resilience Hub 如何使用 IAM 角色的詳細資訊，請參閱 [AWS Resilience Hub 如何與 IAM 搭配使用](security_iam_service-with-iam.md)。如果您已使用目前的 IAM 使用者許可設定應用程式，則必須在與 `AwsResilienceHubAssessmentEKSAccessRole` Amazon EKS 叢集相同的帳戶中建立 IAM 角色。然後，存取 Amazon EKS 叢集時會使用此 IAM 角色。在匯入和評估應用程式時， AWS Resilience Hub 會使用 IAM 角色來存取 Amazon EKS 叢集中的資源。此角色應在與您的 Amazon EKS 叢集相同的帳戶中建立，並將與包含 AWS Resilience Hub 評估 Amazon EKS 叢集所需許可的 Kubernetes 群組進行映射。如果您的 Amazon EKS 叢集與 AWS Resilience Hub 呼叫帳戶位於相同的帳戶中，則應使用下列 IAM 信任政策來建立角色。在此 IAM 信任政策中， `caller_IAM_role` 用於目前帳戶中以呼叫 APIs AWS Resilience Hub。 **注意** `caller_IAM_role` 是與您的 AWS 使用者帳戶相關聯的角色。如果您的 Amazon EKS 叢集位於跨帳戶（與 AWS Resilience Hub 呼叫帳戶不同的帳戶），您必須使用以下 `AwsResilienceHubAssessmentEKSAccessRole` IAM 信任政策建立 IAM 角色： **注意** 作為先決條件，若要存取部署在 AWS Resilience Hub 與使用者帳戶不同的帳戶中的 Amazon EKS 叢集，您必須設定多帳戶存取。如需詳細資訊，請參閱 1. 為 AWS Resilience Hub 應用程式建立 `ClusterRole`和 `ClusterRoleBinding`（或 `RoleBinding`) 角色。建立 `ClusterRoleBinding` `ClusterRole`並將授予所需的唯讀許可， AWS Resilience Hub 以分析和評估屬於 Amazon EKS 叢集中特定命名空間一部分的資源。 AWS Resilience Hub 可讓您完成下列其中一項，以限制對命名空間的存取，以產生彈性評估： 1. 授予應用程式所有命名空間的 AWS Resilience Hub 讀取存取權。若要 AWS Resilience Hub 讓評估 Amazon EKS 叢集內所有命名空間的資源彈性，您必須建立下列 `ClusterRole`和 `ClusterRoleBinding`。 + `resilience-hub-eks-access-cluster-role` (`ClusterRole`) – 定義 AWS Resilience Hub 評估 Amazon EKS 叢集所需的許可。 + `resilience-hub-eks-access-cluster-role-binding` (`ClusterRoleBinding`) – 定義 Amazon EKS 叢集`resilience-hub-eks-access-group`中名為的群組，授予其使用者在中執行彈性評估所需的許可 AWS Resilience Hub。授予 AWS Resilience Hub 應用程式所有命名空間讀取存取權的範本如下： ``` cat << EOF | kubectl apply -f - apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: resilience-hub-eks-access-cluster-role rules: - apiGroups: - "" resources: - pods - replicationcontrollers - nodes verbs: - get - list - apiGroups: - apps resources: - deployments - replicasets verbs: - get - list - apiGroups: - policy resources: - poddisruptionbudgets verbs: - get - list - apiGroups: - autoscaling.k8s.io resources: - verticalpodautoscalers verbs: - get - list - apiGroups: - autoscaling resources: - horizontalpodautoscalers verbs: - get - list - apiGroups: - karpenter.sh resources: - provisioners - nodepools verbs: - get - list - apiGroups: - karpenter.k8s.aws resources: - awsnodetemplates - ec2nodeclasses verbs: - get - list --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: resilience-hub-eks-access-cluster-role-binding subjects: - kind: Group name: resilience-hub-eks-access-group apiGroup: rbac.authorization.k8s.io roleRef: kind: ClusterRole name: resilience-hub-eks-access-cluster-role apiGroup: rbac.authorization.k8s.io --- EOF ``` 1. 授予讀取特定命名空間的 AWS Resilience Hub 存取權。您可以使用限制 AWS Resilience Hub 存取特定命名空間集中的資源`RoleBinding`。若要達成此目的，您必須建立下列角色： + `ClusterRole` – 若要 AWS Resilience Hub 讓存取 Amazon EKS 叢集中特定命名空間中的資源並評估其彈性，您必須建立下列`ClusterRole`角色。 + `resilience-hub-eks-access-cluster-role` – 指定評估特定命名空間內資源的必要許可。 + `resilience-hub-eks-access-global-cluster-role` – 指定評估叢集範圍資源的必要許可，這些資源不會與 Amazon EKS 叢集內的特定命名空間相關聯。 AWS Resilience Hub 需要存取 Amazon EKS 叢集上叢集範圍資源（例如節點）的許可，才能評估應用程式的彈性。建立`ClusterRole`角色的範本如下所示： ``` cat << EOF | kubectl apply -f - apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: resilience-hub-eks-access-cluster-role rules: - apiGroups: - "" resources: - pods - replicationcontrollers verbs: - get - list - apiGroups: - apps resources: - deployments - replicasets verbs: - get - list - apiGroups: - policy resources: - poddisruptionbudgets verbs: - get - list - apiGroups: - autoscaling.k8s.io resources: - verticalpodautoscalers verbs: - get - list - apiGroups: - autoscaling resources: - horizontalpodautoscalers verbs: - get - list --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: resilience-hub-eks-access-global-cluster-role rules: - apiGroups: - "" resources: - nodes verbs: - get - list - apiGroups: - karpenter.sh resources: - provisioners - nodepools verbs: - get - list - apiGroups: - karpenter.k8s.aws resources: - awsnodetemplates - ec2nodeclasses verbs: - get - list --- EOF ``` + `RoleBinding` 角色 – 此角色會授予所需的許可 AWS Resilience Hub ，以存取特定命名空間內的資源。也就是說，您必須在每個命名空間中建立`RoleBinding`角色，讓 AWS Resilience Hub 存取指定命名空間內的資源。 **注意** 如果您使用 `ClusterAutoscaler`進行自動擴展，則必須在 `RoleBinding`中另外建立 `kube-system`。這是評估的必要項目`ClusterAutoscaler`，這是 `kube-system` 命名空間的一部分。透過這樣做，您將授予 AWS Resilience Hub 必要的許可來評估`kube-system`命名空間內的資源，同時評估 Amazon EKS 叢集。建立`RoleBinding`角色的範本如下所示： ``` cat << EOF | kubectl apply -f - apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: resilience-hub-eks-access-cluster-role-binding namespace: subjects: - kind: Group name: resilience-hub-eks-access-group apiGroup: rbac.authorization.k8s.io roleRef: kind: ClusterRole name: resilience-hub-eks-access-cluster-role apiGroup: rbac.authorization.k8s.io --- EOF ``` + `ClusterRoleBinding` 角色 – 此角色授予 AWS Resilience Hub 存取叢集範圍資源所需的許可。建立`ClusterRoleBinding`角色的範本如下所示： ``` cat << EOF | kubectl apply -f - --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: resilience-hub-eks-access-global-cluster-role-binding subjects: - kind: Group name: resilience-hub-eks-access-group apiGroup: rbac.authorization.k8s.io roleRef: kind: ClusterRole name: resilience-hub-eks-access-global-cluster-role apiGroup: rbac.authorization.k8s.io --- EOF ``` 1. 更新 `aws-auth ConfigMap` 以對應 `resilience-hub-eks-access-group`與用於存取 Amazon EKS 叢集的 IAM 角色。此步驟會在步驟 1 中使用的 IAM 角色與步驟 2 中建立的 Kubernetes 群組之間建立映射。此映射會將存取 Amazon EKS 叢集內資源的許可授予 IAM 角色。 **注意** `ROLE-NAME` 是指用於存取 Amazon EKS 叢集的 IAM 角色。如果您的應用程式設定為使用角色型存取，則角色應該是建立應用程式 AWS Resilience Hub 時傳遞給的叫用者角色或次要帳戶角色。如果您的應用程式設定為使用目前的 IAM 使用者來存取資源，則它必須是 `AwsResilienceHubAssessmentEKSAccessRole`。 `ACCOUNT-ID` 應該是 Amazon EKS 叢集 AWS 的帳戶 ID。您可以使用下列`aws-auth``ConfigMap`其中一種方式建立： + 使用 `eksctl` 使用下列命令來更新 `aws-auth` `ConfigMap`： ``` eksctl create iamidentitymapping \ --cluster \ --region= \ --arn arn:aws:iam:::role/\ --group resilience-hub-eks-access-group \ --username AwsResilienceHubAssessmentEKSAccessRole ``` + 您可以將 IAM 角色詳細資訊新增至資料`ConfigMap`下的 `mapRoles`區段，`aws-auth``ConfigMap`以手動編輯。使用下列命令來編輯 `aws-auth` `ConfigMap`。 `kubectl edit -n kube-system configmap/aws-auth` `mapRoles` 區段包含下列參數： + `rolearn` – 要新增之 IAM 角色的 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。 + ARN 語法 – `arn:aws:iam:::role/`。 + `username` – 要映射至 IAM 角色的 Kubernetes 內使用者名稱 (`AwsResilienceHubAssessmentEKSAccessRole`)。 + `groups` – 群組名稱應與**步驟 2 **() 中建立的群組名稱相符`resilience-hub-eks-access-group`。 **注意** 如果`mapRoles`區段不存在，您必須手動新增此區段。使用下列範本將 IAM 角色詳細資訊新增至資料`ConfigMap`下的 `mapRoles`區段。 ``` - groups: - resilience-hub-eks-access-group rolearn: arn:aws:iam:::role/ username: AwsResilienceHubAssessmentEKSAccessRole ``` # 啟用 AWS Resilience Hub 以發佈到您的 Amazon Simple Notification Service 主題本節說明如何啟用 AWS Resilience Hub ，將應用程式的通知發佈至您的 Amazon Simple Notification Service (Amazon SNS) 主題。若要將通知推送至 Amazon SNS 主題，請確定您有下列項目： + 作用中 AWS Resilience Hub 的應用程式。 + 必須 AWS Resilience Hub 傳送通知的現有 Amazon SNS 主題。如需建立 Amazon SNS 主題的詳細資訊，請參閱[建立 Amazon SNS 主題](https://docs.aws.amazon.com/sns/latest/dg/sns-create-topic.html)。若要讓 AWS Resilience Hub 將通知發佈到您的 Amazon SNS 主題，您必須使用下列項目更新 Amazon SNS 主題的存取政策： **注意** 當您使用 AWS Resilience Hub 將訊息從選擇加入區域發佈到預設啟用的區域中的主題時，您必須修改為 Amazon SNS 主題建立的資源政策。將主體的值從 `resiliencehub.amazonaws.com`變更為 `resiliencehub..amazonaws.com`。如果您使用的是伺服器端加密 (SSE) Amazon SNS 主題，您必須確保 AWS Resilience Hub 具有 `Decrypt`和 `GenerateDataKey`\$1 對 Amazon SNS 加密金鑰的存取權。若要提供 `Decrypt`和的`GenerateDataKey*`存取權 AWS Resilience Hub，您必須包含下列 AWS Key Management Service 存取政策的許可。 # 限制包含或排除 AWS Resilience Hub 建議的許可 AWS Resilience Hub 可讓您限制許可，以包含或排除每個應用程式的建議。您可以使用下列 IAM 信任政策，限制許可以包含或排除每個應用程式的建議。在此 IAM 信任政策中，目前帳戶中會使用 `caller_IAM_role`（與您的 AWS 使用者帳戶相關聯）來呼叫 APIs AWS Resilience Hub。