This content has been machine translated dynamically.
Dieser Inhalt ist eine maschinelle Übersetzung, die dynamisch erstellt wurde.(Haftungsausschluss)
Cet article a été traduit automatiquement de manière dynamique.(Clause de non responsabilité)
Este artículo lo ha traducido una máquina de forma dinámica.(Aviso legal)
此内容已经过机器动态翻译。放弃
このコンテンツは動的に機械翻訳されています。免責事項
이 콘텐츠는 동적으로 기계 번역되었습니다.책임 부인
Este texto foi traduzido automaticamente.(Aviso legal)
Questo contenuto è stato tradotto dinamicamente con traduzione automatica.(Esclusione di responsabilità))
This article has been machine translated.
Dieser Artikel wurde maschinell übersetzt.(Haftungsausschluss)
Ce article a été traduit automatiquement.(Clause de non responsabilité)
Este artículo ha sido traducido automáticamente.(Aviso legal)
この記事は機械翻訳されています.免責事項
이 기사는 기계 번역되었습니다.책임 부인
Este artigo foi traduzido automaticamente.(Aviso legal)
这篇文章已经过机器翻译.放弃
Questo articolo è stato tradotto automaticamente.(Esclusione di responsabilità))
Translation failed!
在 NetScaler VPX 实例上配置 AWS IAM 角色
在 Amazon EC2 实例上运行的应用程序必须在 AWS API 请求中包含 AWS 证书。您可以将 AWS 证书直接存储在 Amazon EC2 实例中,并允许该实例中的应用程序使用这些证书。但是您随后必须管理证书,确保它们安全地将证书传递给每个实例,并在需要轮换证书时更新每个 Amazon EC2 实例。这是大量额外的工作。
相反,您可以而且必须使用身份和访问管理 (IAM) 角色来管理在 Amazon EC2 实例上运行的应用程序的临时证书。使用角色时,不必向 Amazon EC2 实例分配长期证书(例如用户名和密码或访问密钥)。相反,该角色提供了应用程序在调用其他 AWS 资源时可以使用的临时权限。当您启动 Amazon EC2 实例时,您需要指定一个与该实例关联的 IAM 角色。然后,在实例上运行的应用程序可以使用角色提供的临时证书来签署 API 请求。
与您的 AWS 帐户关联的 IAM 角色在各种情况下必须具有以下 IAM 权限。
高可用性与同一 AWS 区域中的 IPv4 地址配对:
"ec2:DescribeInstances", "ec2:AssignPrivateIpAddresses", "iam:SimulatePrincipalPolicy", "iam:GetRole"
高可用性与同一 AWS 区域中的 IPv6 地址配对:
"ec2:DescribeInstances", "ec2:AssignIpv6Addresses", "ec2:UnassignIpv6Addresses", "iam:SimulatePrincipalPolicy", "iam:GetRole"
在同一 AWS 区域中同时使用 IPv4 和 IPv6 地址的高可用性配对:
"ec2:DescribeInstances", "ec2:AssignPrivateIpAddresses", "ec2:AssignIpv6Addresses", "ec2:UnassignIpv6Addresses", "iam:SimulatePrincipalPolicy", "iam:GetRole"
HA 与跨不同 AWS 区域的弹性 IP 地址配对:
"ec2:DescribeInstances", "ec2:DescribeAddresses", "ec2:AssociateAddress", "ec2:DisassociateAddress", "iam:SimulatePrincipalPolicy", "iam:GetRole"
HA 与不同 AWS 区域中的专用 IP 地址配对:
"ec2:DescribeInstances", "ec2:DescribeRouteTables", "ec2:DeleteRoute", "ec2:CreateRoute", "ec2:ModifyNetworkInterfaceAttribute", "iam:SimulatePrincipalPolicy", "iam:GetRole"
高可用性与不同 AWS 区域中的私有 IP 和弹性 IP 地址配对:
"ec2:DescribeInstances", "ec2:DescribeAddresses", "ec2:AssociateAddress", "ec2:DisassociateAddress", "ec2:DescribeRouteTables", "ec2:DeleteRoute", "ec2:CreateRoute", "ec2:ModifyNetworkInterfaceAttribute", "iam:SimulatePrincipalPolicy", "iam:GetRole"
AWS 后端自动扩缩:
"ec2:DescribeInstances", "autoscaling:*", "sns:CreateTopic", "sns:DeleteTopic", "sns:ListTopics", "sns:Subscribe", "sqs:CreateQueue", "sqs:ListQueues", "sqs:DeleteMessage", "sqs:GetQueueAttributes", "sqs:SetQueueAttributes", "iam:SimulatePrincipalPolicy", "iam:GetRole"
注意事项:
- 如果您使用上述功能的任意组合,请使用每个功能的 IAM 权限组合。
- 如果使用 Citrix CloudFormation 模板,则会自动创建 IAM 角色。该模板不允许选择已创建的 IAM 角色。
- 通过 GUI 登录 VPX 实例时,会出现为 IAM 角色配置所需权限的提示。如果已配置权限,请忽略该提示。
- 对于独立部署和高可用性部署,IAM 角色都是必需的。
创建 IAM 角色
此过程介绍如何为 AWS 后端自动扩展功能创建 IAM 角色。
注意:
您可以按照相同的程序创建与其他功能对应的任何 IAM 角色。
- 登录适用于 EC2 的 AWS 管理控制台。
转到 EC2 实例页面,然后选择您的 ADC 实例。
导航到操作 > 安全 > 修改 IAM 角色。
在修改 IAM 角色页面中,您可以选择现有 IAM 角色或创建 IAM 角色。
要创建 IAM 角色,请执行以下步骤:
在修改 IAM 角色页面中,单击创建新的 IAM 角色。
在“角色”页面中,单击“创建角色”。
在“可信实体类型”下选择AWS 服务,在“常见用例”下选择EC2,然后单击“下一步”。
在“添加权限”页面中,单击“创建策略”。
单击JSON选项卡打开 JSON 编辑器。
在 JSON 编辑器中,删除所有内容并粘贴要使用的功能的 IAM 权限。
例如,粘贴以下 AWS 后端自动扩展功能的 IAM 权限:
{“版本”:“2012-10-17”,“声明”:[{“Sid”:"VisualEditor0", "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "autoscaling:\*", "sns:CreateTopic", "sns:DeleteTopic", "sns:ListTopics", "sns:Subscribe", "sqs:CreateQueue", "sqs:ListQueues", "sqs:DeleteMessage", "sqs:GetQueueAttributes", "sqs:SetQueueAttributes", "iam:SimulatePrincipalPolicy", "iam:GetRole" ], "Resource": "\*" } ] }
确保您提供的“版本”密钥值对与 AWS 自动生成的密钥值对相同。
单击“下一步:审阅”。
在“查看策略”选项卡中,为策略指定有效名称,然后单击“创建策略”。
在“身份访问管理”页面中,单击您创建的策略名称。展开策略以检查整个 JSON,然后单击“下一步”。
在“名称、查看和创建”页面中,为角色指定有效名称。
单击“创建角色”。
重复步骤:1、2 和 3。选择“刷新”按钮,然后选择下拉菜单以查看您创建的角色。
单击“更新 IAM 角色”。
使用 IAM 策略模拟器测试 IAM 策略
IAM 策略模拟器是一种工具,可让您在将 IAM 访问控制策略提交到生产环境之前测试 IAM 访问控制策略的效果。验证权限和排除权限问题更容易。
在IAM页面中,选择要测试的 IAM 角色,然后单击“模拟”。在以下示例中,“ADC_IAMRole”是 IAM 角色。
在IAM 策略模拟器控制台中,选择现有策略作为模式。
在用户、组和角色选项卡中,从下拉菜单中选择角色,然后选择现有角色。
选择现有角色后,选择其下的现有策略。
选择策略后,您可以在屏幕左侧看到确切的 JSON。在“选择操作”下拉菜单中选择所需的操作。
单击“运行模拟”。
有关详细信息,请参阅AWS IAM 文档。
其他参考文献
共享
共享
This Preview product documentation is Citrix Confidential.
You agree to hold this documentation confidential pursuant to the terms of your Citrix Beta/Tech Preview Agreement.
The development, release and timing of any features or functionality described in the Preview documentation remains at our sole discretion and are subject to change without notice or consultation.
The documentation is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making Citrix product purchase decisions.
If you do not agree, select Do Not Agree to exit.