Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

安全配置和 IAM 角色

该eb migrate命令通过 IAM 角色、实例配置文件和服务角色管理 Amazon 安全配置。了解这些组件可确保在迁移期间进行适当的访问控制和安全合规。

实例配置文件配置

实例配置文件充当 Elastic Beanstalk EC2 附加到您环境中实例的 IAM 角色的容器。执行时eb migrate，您可以指定自定义实例配置文件：

PS C:\migrations_workspace> eb migrate --instance-profile "CustomInstanceProfile"

如果您未指定实例配置文件，请使用以下权限eb migrate创建默认配置文件：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        }
    ]
}

服务角色管理

服务角色允许 Elastic Beanstalk 代表你管理资源 Amazon 。在迁移期间使用以下命令指定自定义服务角色：

PS C:\migrations_workspace> eb migrate --service-role "CustomServiceRole"

如果未指定，则aws-elasticbeanstalk-service-role使用允许 Elastic Beanstalk 代入该角色的信任策略eb migrate创建一个名为的默认服务角色。这个服务角色对于 Elastic Beanstalk 监控环境的运行状况和执行托管平台更新至关重要。服务角色需要两个托管策略：

使用这些策略，服务角色有权执行以下操作：

有关服务角色的更多信息，请参阅Elastic Beanstalk 服务角色《Elastic Beanstalk 开发者指南》。

安全组配置

该eb migrate命令会根据您的 IIS 站点绑定自动配置安全组。例如，如果您的源环境中有使用端口 80、443 和 8081 的站点，则配置结果如下：

<site name="Default Web Site">
    <bindings>
        <binding protocol="http" bindingInformation="*:80:" />
        <binding protocol="https" bindingInformation="*:443:" />
    </bindings>
</site>
<site name="InternalAPI">
    <bindings>
        <binding protocol="http" bindingInformation="*:8081:" />
    </bindings>
</site>

迁移过程将完成以下操作：

默认情况下，Application Load Balancer 配置为可通过互联网进行公共访问。如果您需要自定义此行为，例如限制对特定 IP 范围的访问或使用私有负载均衡器，则可以使用--vpc-config参数覆盖默认 VPC 和安全组配置：

PS C:\migrations_workspace> eb migrate --vpc-config vpc-config.json

例如，以下vpc-config.json配置在私有子网中创建私有负载均衡器：

{
    "id": "vpc-12345678",
    "publicip": "false",
    "elbscheme": "internal",
    "ec2subnets": ["subnet-private1", "subnet-private2"],
    "elbsubnets": ["subnet-private1", "subnet-private2"]
}

有关 VPC 配置选项的更多信息，请参阅VPC 配置。

SSL 证书集成

迁移具有 HTTPS 绑定的网站时，请通过 Amazon Certificate Manager (ACM) 集成 SSL 证书：

PS C:\migrations_workspace> eb migrate --ssl-certificates "arn:aws:acm:region:account:certificate/certificate-id"

此配置完成了以下操作：

Windows 身份验证

对于使用 Windows 身份验证的应用程序，按如下方式eb migrate保留应用程序中的身份验证设置：web.config

<configuration>
    <system.webServer>
        <security>
            <authentication>
                <windowsAuthentication enabled="true">
                    <providers>
                        <add value="Negotiate" />
                        <add value="NTLM" />
                    </providers>
                </windowsAuthentication>
            </authentication>
        </security>
    </system.webServer>
</configuration>

默认情况下IIS_IUSRS，目标 Windows 服务器实例中包含内置 Windows 帐户（如和群组）以及所有其他内置帐户和群组。IUSR有关内置 IIS 帐户和组的更多信息，请参阅 Microsoft 文档中的了解 IIS 中的内置用户和组帐户。

如果您的应用程序依赖于自定义 Windows 用户帐户或 Active Directory 集成，则需要在迁移完成后单独配置这些方面。

最佳实践和故障排除

角色管理

在管理您的 Elastic Beanstalk 环境的角色时实施 Amazon IAM 最佳实践：

证书管理

在您的 Elastic Beanstalk 环境中对 SSL/TLS 证书实施以下做法：

安全组管理

实施以下安全组最佳实践：

日志记录和监控

为了进行有效的安全监控，请配置以下日志：

对于持续存在的问题，请收集这些日志并联系 Amazon Web Services 支持 以获取以下信息：