Utilisez Lucidscale pour importer des données d'infrastructure cloud depuis AWS et générer des diagrammes dans un modèle Lucidscale.

Lucidscale est disponible pour les comptes Lucid Suite Enterprise en tant qu'achat supplémentaire avec le Cloud Accelerator. Pour en savoir plus sur le Cloud Accelerator, consultez notre article de présentation du Cloud Accelerator.

Régions, ressources et lignes AWS prises en charge

Pour obtenir une liste complète des régions, ressources et lignes AWS prises en charge et disponibles dans Lucidscale, reportez-vous à notre article sur les régions, ressources et lignes AWS prises en charge.

Importer l'infrastructure AWS

Vous pouvez importer les données de votre infrastructure cloud AWS en utilisant l'une des quatre méthodes suivantes :

Accès de confiance: fournissez un rôle IAM inter-comptes avec les politiques appropriées. Ce rôle peut être défini avec les autorisations suivantes :
- Importation via l'accès au niveau du compte pour importer un compte individuel
  Importation via l'accès au niveau de l'organisation pour importer tous les comptes AWS d'une unité organisationnelle ou de l'ensemble de l'organisation.
Autorisation à usage unique: saisissez les informations d'identification d'un utilisateur IAM avec les politiques appropriées.
Téléchargement de fichiers: exécutez un script Python fourni par Lucid dans un profil AWS CLI configuré, qui rassemble les données localement sous forme de fichier JSON, puis fournissez le fichier généré.

Consultez le tableau suivant pour obtenir des précisions sur chaque méthode et déterminer celle qui convient le mieux à votre cas d'utilisation.

Méthode d'importation	Description	Portée	Types de soutien aux ressources*	Rafraîchissement des données**
Au niveau de l'organisation : accès sécurisé	Enregistrez un rôle IAM inter-comptes au niveau de l'organisation auprès de Lucid pour une réutilisation sécurisée et à long terme.	Gérez de manière centralisée les importations pour tous les comptes au sein d'une organisation ou d'une unité organisationnelle AWS en enregistrant un seul justificatif d'identité.	(1) et (2)	Automatique et manuel
Niveau du compte : accès sécurisé	Enregistrez un rôle IAM inter-comptes au niveau du compte auprès de Lucid pour une réutilisation sécurisée et à long terme.	Enregistrez un justificatif d'identité pour chaque compte AWS.	(1) et (2)	Automatique et manuel
Autorisation à usage unique	Téléchargez une clé d'utilisateur IAM ou un fichier d'informations d'identification dans Lucid.	Accès unique à un compte AWS individuel.	(1) et (2)	Manuel
Téléchargement de fichier	Exécutez un script Python fourni par Lucid dans un profil AWS CLI configuré, puis téléchargez le fichier JSON généré vers Lucid.	Jusqu'à 50 comptes par fichier JSON.	(1) seulement	Manuel Actualisez les données en téléchargeant un nouveau fichier JSON.

*Le type de ressource 1 correspond à toutes les ressources mappées énumérées dans la section Ressources prises en charge. Le type de ressource 2 est l'inventaire du nuage : une grande variété de ressources non cartographiées que vous pouvez placer manuellement dans vos modèles.
**Les rafraîchissements automatiques des sources de données sont disponibles pour les utilisateurs selon un calendrier récurrent (quotidien, hebdomadaire, mensuel, annuel) via le hub de données. Les actualisations manuelles s'effectuent également d'un simple clic via le hub de données.

Avec les importations à accès sécurisé, Lucid enregistre ces informations d'identification afin que vous puissiez actualiser vos données ou lancer de nouvelles importations sans avoir à saisir à nouveau vos informations. Cette capacité de stockage permet à Lucid de procéder à l'actualisation automatique des données. Les informations d'identification peuvent être supprimées via l'onglet AWS Data Hub credentials. Lucid ne stocke pas les identifiants des utilisateurs IAM en vue d'une réutilisation ultérieure, ce qui limite les autorisations à usage unique à une actualisation manuelle.

Si vous travaillez avec un environnement très vaste, utilisez les informations de la section Configuration des comptes à l'aide d'un rôle inter-comptes ci-dessous pour réduire la quantité de données importées ou le nombre d'appels d'API que Lucid adresse à AWS. Lucid prend en charge jusqu'à 50 importations de comptes simultanées par utilisateur. Une fois chaque importation terminée, vous pouvez lancer une nouvelle importation.

Remarque : les importations AWS GovCloud ne sont autorisées que pour les clients de Lucid GovSuite. L'environnement commercial Lucid ne peut pas accéder à AWS GovCloud via des rôles de comptes croisés.

Pour importer et visualiser l'infrastructure AWS dans un modèle Lucidscale, procédez comme suit :

Accédez à la page d’accueil de Lucid.
Cliquez sur Data Hub en bas du menu de navigation sur le côté gauche de la page.
Cliquez sur Importer des données AWS et choisissez une méthode d'importation.
- Après avoir choisi une méthode d'importation et terminé l'importation, le compte sera listé comme source de données dans la section "AWS : Comptes importés" du Data Hub .
Cliquez sur le menu à trois points situé à côté du compte à partir duquel vous souhaitez créer un modèle.
Sélectionnez Créer un nouveau modèle.
Examinez les détails, ajoutez des filtres pour exclure les ressources inutiles et sélectionnez les vues initiales des ressources en fonction de l'intérêt de la documentation.
Sélectionnez Créer un modèle AWS.

Le modèle Lucidscale sera généré en arrière-plan de votre compte Lucid. Nous vous informerons de l'achèvement de la procédure par le biais de la fenêtre d'état qui apparaît en bas à droite de la page et par courrier électronique si cette option est activée.

Une fois la génération du modèle Lucidscale terminée, vous pouvez visualiser le modèle dans un nouvel onglet en sélectionnant le lien " Ouvrir le modèle " dans la fenêtre d'état. Tous les modèles Lucidscale générés seront également stockés et accessibles dans la section"Documents" de votre page d'accueil Lucid après leur génération.

modal_confirming_successful_creation_of_aws_lucidscale_model.png

Pour en savoir plus : Lisez notre article sur la façon de travailler avec l'architecture AWS dans un modèle Lucidscale après la génération du modèle.

Accès sécurisé au niveau de l'organisation

Pour gérer de manière centralisée les importations d'infrastructure dans l'ensemble de votre organisation AWS, suivez les étapes ci-dessous.

Remarque : si vous êtes dans l'environnement Lucid GovSuite, vous ne pourrez importer des comptes AWS GovCloud que via le rôle de compte croisé. L'environnement commercial Lucid ne peut pas accéder aux comptes AWS GovCloud via des rôles de comptes croisés. Reportez-vous à la section FAQ ci-dessous pour plus de détails.

Enregistrez un nouveau rôle IAM inter-comptes via le hub de données Lucid dans Lucid pour gérer les importations au niveau de l'organisation. Pour ce faire, vous devez sélectionner votre fournisseur d'Infrastructure as Code (IaC) préféré afin de configurer automatiquement les comptes de votre organisation pour l'importation :

Accédez à la page d’accueil de Lucid.
Cliquez sur Data Hub en bas du menu de navigation sur le côté gauche de la page.
Sélectionnez Importer les données AWS.
Sélectionnez Accès de confiance.
Sous la rubrique "credential scope", choisissez "Connect to an AWS organization" (se connecter à une organisation AWS).
Choisissez parmi les options proposées pour définir automatiquement les autorisations :
- Utiliser un module Terraform
- Utiliser les modèles CloudFormation

select-cloudformation-or-terraform-method-for-creating-role

Utilisation de Terraform pour la configuration automatisée des autorisations de l'organisation AWS

Tout d'abord, assurez-vous que Terraform est configuré pour les comptes auxquels vous ajouterez les modules terraform de Lucid.

Pour en savoir plus : Pour obtenir des instructions, consultez le guide Get Started - AWS de la documentation de Terraform. Le lien fourni vous fait quitter le centre d'aide de Lucid et nous ne pouvons pas garantir l'exactitude du contenu.

Ensuite, configurez et déployez le module Terraform de Lucid en suivant ces étapes :

Accédez au module Terraform de Lucid pour configurer les autorisations en cliquant sur View in Terraform Registry, ou accédez directement au module en cliquant sur ce lien.
Sur la page du registre des modules, cliquez sur Submodules. Vous configurerez chacun des trois sous-modules requis dans la liste déroulante (org-read-delegation, bastion-role et import-role) dans votre fichier main.tf.
Suivez les instructions "Usage" sur la page Readme de chaque sous-module pour ajouter le module à votre code de configuration Terraform.
- Le sous-module org-read-delegation : définit les autorisations permettant à Lucid d'analyser votre structure organisationnelle AWS. Il doit être déployé dans le compte de gestion ou dans un compte membre auquel a été déléguée la gestion des stratégies pour les organisations.
  - Si une politique de délégation basée sur les ressources existe déjà, le déploiement échouera. Au lieu d'ajouter ce sous-module, ajoutez manuellement les permissions de la politique JSON fournie par Lucid, dont le lien figure ici, à votre politique basée sur les ressources existante.
- Le sous-module bastion-role : crée le rôle IAM principal dans votre compte bastion que Lucid assumera.
  - Définissez le paramètre external_id à l'aide de la valeur unique "External ID" copiée à partir de la page de configuration de l'importation AWS de votre compte Lucid.
- Le sous-module import-role : crée le rôle IAM à déployer dans les comptes membres pour la lecture des données de ressources.
  - Ce module crée lui-même une définition de rôle dans le compte bastion - le module n'est pas en mesure d'automatiser ce processus pour les comptes membres. Ce module doit être déployé dans chaque compte membre à partir duquel vous souhaitez importer des données, y compris lorsque vous souhaitez ajouter de nouveaux comptes à votre organisation à l'avenir. Suivez les pratiques standard de votre organisation pour appliquer le code de ce module aux comptes nouvellement ajoutés.
Déployez votre code Terraform et attendez que les ressources incluses dans le module Lucid soient créées.
Depuis la console AWS IAM de votre compte bastion, copiez l'ARN du rôle lucid-import-bastion-role créé (ou son nom personnalisé). Vous pouvez également produire cet ARN à partir de votre configuration Terraform.

Ensuite, vous compléterez la configuration dans l'onglet du hub de données Lucid :

Dans la configuration de l'importation AWS de Lucid, indiquez l'ARN du rôle Bastion copié.
- S'il a été personnalisé lors de la configuration, mettez à jour le nom du rôle du compte membre pour qu'il corresponde à votre configuration (c'est-à-dire le paramètre role_name dans le sous-module import-role).
- Si vous le souhaitez, mettez à jour la valeur préremplie pour le "Credential display name". Ce nom d'affichage sera utilisé dans la section "Data Hub > AWS > Credentials" afin que vous puissiez localiser l'identifiant pour une utilisation et une gestion futures, et représentera le rôle de bastion utilisé pour coordonner les importations.
Cliquez sur Suivant pour enregistrer le rôle de compte croisé avec Lucid.
Sélectionnez le rôle et cliquez sur Suivant.
Suivez les étapes pour importer des comptes et créer des modèles.

Utilisation de CloudFormation pour la configuration automatisée des autorisations de l'organisation AWS

Assurez-vous d'abord que votre organisation AWS et le compte qui initie les piles ont les bonnes configurations :

Le compte AWS doit être soit le compte de gestion de l'organisation AWS, soit un compte d'administrateur délégué pour les StackSets AWS CloudFormation. Le principe IAM (utilisateur ou rôle) qui exploite la pile doit faire partie du compte susmentionné et ne pas être un utilisateur root.
En outre, le compte doit être un compte qui n'a pas encore été utilisé comme compte bastion avec Lucid.

Pour configurer automatiquement les autorisations avec CloudFormation, procédez comme suit :

Identifiez les trois paramètres suivants dans votre organisation AWS. Il s'agit d'entrées clés pour le premier modèle de pile CloudFormation :
- BastionAccountId : Il s'agit de l'identifiant de compte AWS à 12 chiffres que vous souhaitez utiliser pour gérer l'accès de confiance des tiers. Lucid assumera un rôle transversal dans ce compte "bastion" pour coordonner les importations.
- BastionRootOrOrganizationalUnitId : Il s'agit de l'ID de l'unité organisationnelle (OU) (par exemple, ou-xxxxxxxx) ou de la racine (par exemple, r-xxxx) qui contient le BastionAccountId que vous avez choisi.
- MembersRootOrOrganizationalUnitId : Ce paramètre contrôle l'étendue des comptes de votre organisation AWS à partir desquels Lucid peut importer des données sur les ressources.
  - Pour autoriser les importations à partir de tous les comptes de votre organisation, utilisez l'identifiant de la racine de votre organisation (par exemple, r-xxxx).
  - Si vous souhaitez uniquement autoriser les importations pour les comptes imbriqués dans une seule unité organisationnelle (OU), utilisez l'identifiant de cette OU (par exemple, ou-xxxxxxxxxx).
Après avoir sélectionné l'option CloudFormation pour les importations organisationnelles, lancez le premier modèle CloudFormation fourni dans votre console AWS et configurez-le à l'aide des paramètres requis décrits ci-dessus.
- Les paramètres facultatifs comprennent les noms des rôles créés (par exemple, MemberRoleName et BastionRoleName). Notez les noms personnalisés que vous utilisez.
Cliquez sur Créer une pile et attendez la fin du déploiement.
Retournez à votre onglet Lucid et lancez le deuxième modèle CloudFormation fourni. Vous utiliserez ce modèle pour permettre au rôle de bastion d'identifier les comptes à importer en analysant la structure de votre organisation au moyen des actions "liste" et "description".
- Si une politique de délégation basée sur les ressources existe déjà, le déploiement échouera. Au lieu d'utiliser cette pile, ajoutez la politique de ressources de la politique JSON à votre politique de délégation existante .
Dans la console AWS de votre compte Bastion, allez dans IAM et localisez le rôle inter-comptes créé sous Rôles.
Naviguez jusqu'à la page de résumé des rôles inter-comptes et copiez la chaîne ARN des rôles.
Retournez à l'onglet du hub de données Lucid et descendez jusqu'à la section "Add the cross-account role to Lucid" (Ajouter le rôle de compte croisé à Lucid).
- Saisissez l'ARN du rôle du compte bastion dans le champ "Bastion role ARN".
- Si vous avez utilisé un MemberRoleName personnalisé lors de la configuration du premier modèle CloudFormation, mettez à jour le champ "Member account role name" avec cette valeur.
- (Facultatif) Mettez à jour la valeur préremplie pour "Credential display name" afin de représenter le rôle de bastion utilisé pour coordonner les importations. Ce nom d'affichage sera utilisé dans le hub de données de Lucid afin que vous puissiez identifier l'identifiant pour une utilisation et une gestion ultérieures.
Cliquez sur Suivant pour enregistrer le rôle de compte croisé avec Lucid.
Sélectionnez le rôle et cliquez sur Suivant.
Suivez les étapes pour importer des comptes et créer des modèles.

Remarque : ces modèles CloudFormation sont configurés pour utiliser des jeux de piles avec des autorisations gérées par le service. Actuellement, nous ne prenons pas en charge la configuration de CloudFormation à l'aide d'ensembles de piles avec des autorisations autogérées.

Importer des comptes et créer des modèles

Sélectionnez le(s) compte(s) que vous souhaitez importer dans le Data Hub.
Cliquez sur Suivant.
- En suivant les instructions détaillées à la fin de cette section sous Configuration des comptes à l'aide d'un rôle inter-comptes, vous pouvez spécifier les régions que vous souhaitez importer.
Cliquez sur Importer un compte AWS.

Pour visualiser votre compte AWS une fois l'importation terminée :

Retournez au Data Hub.
Sélectionnez Créer un nouveau modèle.
Sélectionnez le compte que vous avez importé et cliquez sur Choisir des comptes.
Examinez les détails et ajoutez des filtres pour exclure les ressources inutiles.
Sélectionnez Créer un modèle AWS.

Le modèle Lucidscale sera généré en arrière-plan de votre compte Lucid. Nous vous informerons de sa création par le biais d'une fenêtre modale d'état qui apparaît en bas à droite de la page.

Vous pouvez ouvrir le modèle à partir de la fenêtre d'état qui s'affiche directement après la création d'un nouveau modèle. Le modèle (et les modèles précédemment créés) sera également stocké et accessible dans la section "Documents" de votre page d'accueil Lucid une fois que vous l'aurez généré.

Configuration des comptes à l'aide d'un rôle inter-comptes

Lorsque vous importez un ou plusieurs comptes AWS dans le Lucid Data Hub à l'aide d'un rôle inter-comptes, vous avez la possibilité d'omettre certains types de ressources ou de métadonnées de l'importation. Cela vous permet de ne visualiser que les types de ressources qui vous intéressent et, dans certains cas, d'accélérer l'importation. Les types de ressources et les métadonnées désélectionnés ne seront pas importés ou visualisés dans un diagramme.

configurer les ressources incluses dans l'importation

Accès de confiance au niveau du compte

Pour importer l'infrastructure AWS pour des comptes individuels via un rôle IAM inter-comptes et créer un modèle Lucidscale, procédez comme suit.

Pour un accès de confiance au niveau du compte, vous devez créer un rôle distinct pour chaque nouveau compte AWS que vous souhaitez importer. Vous pouvez le faire en sélectionnant Enregistrer un nouvel identifiant dans la page d'importation "Trusted access".

Remarque : si vous êtes dans l'environnement Lucid GovSuite, vous ne pourrez importer des comptes AWS GovCloud que par le biais d'un rôle de compte croisé. L'environnement commercial Lucid ne peut pas accéder aux comptes AWS GovCloud via des rôles de comptes croisés. Reportez-vous à la section FAQ ci-dessous pour plus de détails.

Enregistrez un nouveau rôle IAM inter-comptes dans Lucid :

Accédez à la page d’accueil de Lucid.
Cliquez sur Data Hub en bas du menu de navigation sur le côté gauche de la page.
Sélectionnez Importer les données AWS.
Sélectionnez Accès de confiance.
Sous la rubrique "Credential scope", choisissez "Connect to individual AWS accounts" (Connexion à des comptes AWS individuels).
Choisissez parmi les options proposées pour enregistrer un nouveau titre :
- Utiliser un modèle CloudFormation
- Créer manuellement

Pour créer automatiquement un nouveau rôle avec CloudFormation, procédez comme suit :

Assurez-vous que l'option "Inclure ReadOnlyAccess" est activée.
- Ce paramètre est activé par défaut et fournit le meilleur support pour l'importation de ressources et leur visualisation dans les modèles Lucidscale.
Cliquez sur Lancer CloudFormation pour ouvrir un nouvel onglet de navigateur et vous connecter à votre compte AWS. Laissez l'onglet de votre navigateur Lucid ouvert afin de pouvoir y revenir plus tard.
Cliquez sur Créer une pile.
Une fois la pile créée, accédez à l'onglet Ressources et sélectionnez le rôle "LucidscaleImportRole".
Passez aux étapes pour enregistrer votre rôle de compte croisé à Lucidscale.

Pour créer manuellement un nouveau rôle dans la console AWS IAM, procédez comme suit :

Sous "Étape 1 : Commencer à créer un rôle", sélectionnez Créer un rôle.
- Vous serez dirigé vers votre compte AWS. Laissez l'onglet de votre navigateur Lucid ouvert afin de pouvoir y revenir plus tard.
- Lucidscale générera automatiquement un identifiant externe unique associé à votre compte Lucidscale. Ceci est conforme aux recommandations de sécurité d'AWS.
Dans AWS, cliquez sur Suivant : Permissions.
Sur la page "Ajouter des autorisations", recherchez et sélectionnez la stratégie ReadOnlyAccess.
- Ce paramètre est activé par défaut dans Lucid et est nécessaire pour que toutes les ressources apparaissent correctement dans les modèles Lucidscale créés.
Retournez à l'onglet Lucid à "Étape 2 : Ajouter des autorisations personnalisées" et cliquez sur Copier les autorisations pour copier le fichier texte JSON.
Retournez à la page "Créer un rôle" dans AWS et cliquez sur Créer une stratégie. Vous serez dirigé vers un nouvel onglet du navigateur pour créer la politique.
Sur la page "Create Policy", passez à l'onglet JSON et collez le fichier que vous avez copié dans l'onglet JSON dans votre console AWS.
Cliquez sur Suivant : Tags.
Ajoutez des balises à la politique si vous le souhaitez, puis cliquez sur Suivant : Passez en revue.
Donnez un nom et une description à la politique.
Cliquez sur Créer une politique.
Dans l'onglet AWS précédent où vous avez créé un nouveau rôle inter-comptes, cliquez sur le bouton d'actualisation et recherchez le nom de la politique que vous venez de créer.
Sélectionnez la politique et cliquez sur Suivant : Tags.
Ajoutez des balises IAM au rôle si vous le souhaitez, puis cliquez sur Suivant : Passez en revue.
Donnez un nom et une description au rôle et cliquez sur Créer un rôle.

Enregistrer un rôle inter-comptes dans le Data Hub

Cliquez sur le nom du rôle pour accéder à la page de résumé du rôle.
Copiez la chaîne de caractères située à côté de "Role ARN".
Retournez à votre onglet Lucid et descendez jusqu'à la section "Add the Cross-Account Role to Lucidscale" de la page New AWS Account (Nouveau compte AWS).
Collez la chaîne dans le champ "Role ARN", personnalisez le champ "Credential display name" si vous le souhaitez, et cliquez sur Next pour enregistrer le rôle inter-comptes.
- Le nouveau rôle sera alors affiché dans la page Nouveau compte AWS avec le "Nom du rôle" que vous avez utilisé.
- Le rôle du compte croisé sera également affiché dans la section "AWS : Saved Credentials" du Data Hub.
Sélectionnez le rôle et cliquez sur Suivant.

Importer des comptes et créer des modèles

Sélectionnez le(s)compte(s) que vous souhaitez importer dans le Data Hub pour générer un modèle Lucidscale.
Cliquez sur Suivant.
- En suivant les instructions détaillées sous Configuration du compte à l'aide d'un rôle inter-comptes, vous pouvez spécifier les régions que vous souhaitez importer et omettre certains types de ressources ou métadonnées de l'importation en les désélectionnant. Les types de ressources et les métadonnées désélectionnés ne seront pas importés ou rendus dans un modèle créé à partir du compte.
Cliquez sur Importer un compte AWS.

Pour retrouver votre compte AWS une fois l'importation terminée :

Cliquez sur + Nouveau
Placez votre curseur sur Lucidscale et sélectionnez AWS.
Sélectionnez Créer un nouveau modèle.
Examinez les détails et ajoutez des filtres pour exclure les ressources inutiles.
Sélectionnez Créer un modèle AWS.

Le modèle Lucidscale sera généré en arrière-plan de votre compte Lucid. Nous vous informerons de sa création par le biais de la fenêtre d'état qui apparaît en bas à droite de la page.

Vous pouvez ouvrir le modèle à partir de la fenêtre d'état qui s'affiche directement après la création d'un nouveau modèle. Le modèle(et les modèles précédemment créés) sera également stocké et accessible dans la section "Documents" de votre page d'accueil Lucid une fois que vous l'aurez généré.

Pour en savoir plus : Pour savoir comment travailler avec l'architecture AWS dans un modèle Lucidscale une fois qu'il a été créé, lisez notre article.

Autorisation à usage unique

Pour importer l'infrastructure AWS via les informations d'identification de l'utilisateur IAM, procédez comme suit :

Accédez à la page d’accueil de Lucid.
Cliquez sur Data Hub en bas du menu de navigation sur le côté gauche de la page.
Sélectionnez Importer les données AWS.
Sélectionnez Autorisation à usage unique.
Dans votre console AWS IAM, créez une politique personnalisée à l'aide des autorisations incluses.
Accédez à un utilisateur IAM existant ou nouvellement créé, puis cliquez sur "Add permissions" et "Attach existing policies directly" pour ajouter la politique personnalisée que vous avez créée.
Pour une meilleure prise en charge des ressources, vous pouvez également associer la stratégie ReadOnlyAccess gérée par AWS à l'utilisateur IAM que vous avez sélectionné. Pour ce faire, recherchez et sélectionnez ReadOnlyAccess sur la page "Add permissions".
Dans l'onglet "Security credentials" de votre utilisateur IAM, cliquez sur "Create access key" pour générer des informations d'identification ou un fichier CSV.
Retournez à votre onglet Lucid et choisissez de télécharger le fichier CSV ou d'entrer les informations d'identification générées.
Cliquez sur Suivant.
Vous pouvez spécifier les régions que vous souhaitez importer et omettre certains types de ressources ou de métadonnées de l'importation en les désélectionnant. Les types de ressources et les métadonnées désélectionnés ne seront pas importés ou inclus dans un modèle créé à partir du compte.
Cliquez sur Terminer.

Pour en savoir plus : Pour savoir comment travailler avec l'architecture AWS dans un modèle Lucidscale une fois qu'il a été créé, lisez notre article.

Note de sécurité : Lucid ne stocke pas vos identifiants IAM AWS après avoir effectué l'analyse initiale de votre infrastructure AWS. Vos données d'identification seront transférées sur nos serveurs en utilisant des méthodes de cryptage standard. Les clients peuvent négocier des protocoles de cryptage jusqu'à AES-256. Si vous préférez éviter de saisir des informations d'identification à chaque fois que vous souhaitez mettre à jour vos données, Lucid peut stocker un rôle inter-comptes qui nous donne uniquement un accès "description et liste" à votre environnement (détaillé dans la section ci-dessus).

Créer un utilisateur IAM

Pour que Lucidscale puisse accéder à votre infrastructure AWS, vous devez lui fournir les informations d'identification d'un nouvel utilisateur IAM. Vous trouverez ci-dessous des instructions sur la façon de les créer dans votre console AWS.

Pour créer un utilisateur IAM avec une politique en ligne pour l'importation AWS de Lucidscale, procédez comme suit :

Ouvrez la console AWS.
Naviguez jusqu'à la sectionUtilisateurs de Identity Access and Management (IAM).
Cliquez sur Ajouter des utilisateurs et saisissez un nom pour l'utilisateur.
- Cochez la case "Clé d'accès - Accès programmatique" afin que Lucidscale puisse utiliser la clé d'accès pour récupérer les informations sur votre infrastructure.
Cliquez sur Suivant : Permissions.
Sélectionnez Attacher directement les politiques existantes.
Cliquez sur Créer une politique et basculez vers la fenêtreJSON dans le nouvel onglet du navigateur.
Dans la section Comptes importés du Lucid Data Hub, cliquez sur + Nouveau compte.
Sélectionnez IAM User dans la liste des méthodes d'importation.
Cliquez sur Suivant.
Copiez le fichier de politique json de la fenêtre modale.
Collez le fichier de politique json dans la fenêtreJSON de la page "Create Policy" dans AWS.
Cliquez sur Suivant : Tags.
Ajoutez des balises IAM au rôle si vous le souhaitez, puis cliquez sur Suivant : Passez en revue.
Donnez un nom et une description à la politique.
Cliquez sur Créer une politique.
Dans l'onglet précédent du navigateur de la console IAM où vous avez commencé à créer un nouvel utilisateur, cliquez sur le bouton d'actualisation, puis recherchez le nom de la politique que vous venez de créer.
Sélectionnez la politique et cliquez sur Suivant : Tags.
Ajoutez des balises IAM à votre utilisateur si vous le souhaitez, puis cliquez sur Suivant : Passez en revue.
Examinez les détails de l'utilisateur et cliquez sur Créer un utilisateur.
Cliquez sur Télécharger .csv pour enregistrer l'ID de la clé d'accès et la clé d'accès secrète, et copiez/collez-les ou téléchargez le csv dans Lucidscale.
Cliquez sur Suivant.
- Vous pouvez spécifier les régions que vous souhaitez importer et omettre certains types deressources ou métadonnées de l'importation en les désélectionnant. Les types deressources et les métadonnées désélectionnés ne seront pas importés ni inclus dans le modèle créé à partir du compte.
Spécifiez un nom d'alias pour votre compte et cliquez sur Importer un compte AWS.
- Une fois l'importation terminée, le compte sera répertorié comme un compte AWS "importé" dans la fenêtre modale après avoir cliqué sur + New > Lucidscale > AWS.
- Le compte sera également affiché dans la section "AWS : Comptes importés" du hub de données .
Sélectionnez Créer un nouveau modèle.
Examinez les détails de votre modèle et ajoutez des filtres pour exclure les ressources inutiles.
Sélectionnez Créer un modèle AWS.

Le modèle Lucidscale sera généré en arrière-plan de votre compte Lucid. Nous vous informerons de la fin de la procédure dans la fenêtre d'état qui apparaît en bas à droite de la page.

Vous pouvez ouvrir le modèle à partir de la fenêtre d'état qui s'affiche directement après la création d'un nouveau modèle. Le modèle(et les modèles précédemment créés) sera également stocké et accessible dans la section "Documents" de votre page d'accueil Lucid une fois que vous l'aurez généré.

Pour en savoir plus : Pour savoir comment travailler avec l'architecture AWS dans un modèle Lucidscale une fois qu'il est terminé, lisez notre article.

Téléchargement de fichier

Pour importer l'infrastructure AWS via le CLI, procédez comme suit :

Accédez à la page d’accueil de Lucid.
Cliquez sur Data Hub en bas du menu de navigation sur le côté gauche de la page.
Sélectionnez Importer les données AWS.
Sélectionnez File upload.
Copiez et exécutez le script fourni à l'aide de l'interface de ligne de commande de votre terminal pour générer un fichier JSON.
- Pour obtenir des instructions étape par étape, reportez-vous aux instructions du script CLI ci-dessous.
Téléchargez le JSON résultant sur Lucidscale, puis cliquez sur Suivant.
Donnez un nom au compte que vous importez, puis cliquez sur Suivant.
- Le compte sera listé comme un compte AWS importé dans la fenêtre modale après avoir cliqué sur + New > Lucidscale > AWS.
- Le compte sera également affiché dans la section "AWS : Comptes importés" du Data Hub.
Sélectionnez Créer un nouveau modèle.
Examinez les détails et ajoutez desfiltres pour exclure les ressources inutiles.
Sélectionnez Créer un modèle AWS.

Le modèle Lucidscale sera généré en arrière-plan de votre compte Lucid. Nous vous informerons de sa création par le biais de la fenêtre d'état qui apparaît en bas à droite de la page.

Vous pouvez ouvrir le modèle à partir de la fenêtre d'état qui s'affiche directement après la création d'un nouveau modèle. Le modèle (et les modèles précédemment créés) sera également stocké et accessible dans la section Documents de votre page d'accueil Lucid une fois que vous l'aurez généré.

Pour en savoir plus : Pour savoir comment travailler avec l'architecture AWS dans un modèle Lucidscale une fois qu'il a été créé, lisez notre article.

Instructions du script CLI

Installez Python 3.0-3.9.
Installez le CLI AWS.
Lancez pip3 install botocore==1.27.77.
Configurez le CLI AWS (les instructions d'AWS sont disponibles ici).
Exécutez python3 awscliscript.py --profile "nom du profil" --regions us-east-1 us-west-1 qui produira un fichier aws.json.
Cliquez sur + Nouveau.
Placez votre curseur sur Lucidscale et sélectionnez AWS.
Choisissez d'importer un compte existant
- Vous pouvez également cliquer sur Open Data Hub, Importer des données AWS et sélectionner AWS CLI Script.
Téléchargez le fichier aws.json dans Lucidscale et cliquez sur Next.
Donnez un nom au compte que vous importez, puis cliquez sur Suivant.
- Le compte sera listé comme un compte AWSimporté dans la fenêtre modale après avoir cliqué sur + New > Lucidscale > AWS.
- Le compte sera également affiché dans la section "AWS : Comptes importés" du Data Hub.
Sélectionnez Créer un nouveau modèle.

Le modèle Lucidscale sera généré en arrière-plan de votre compte Lucid. Nous vous informerons de la fin de la procédure dans la fenêtre d'état qui apparaît en bas à droite de la page.

Instructions détaillées du script CLI

Installez Python 3.0-3.9 (les instructions sont disponibles ici). Veillez à cocher l'option Ajouter Python au PATH dans le programme d'installation.
Installez le CLI AWS (les instructions d'AWS sont disponibles ici).
- Utilisez le panneau de gauche pour cliquer sur des instructions telles que Installer le CLI AWS et Configurer le CLI AWS.
Installez botocore version 1.27.77 avec pip3 en lançant pip3 install botocore==1.27.77.
- Lucidscale - AWS a été développé à partir de la version 1.27.77 de botocore. Cependant, si vous avez déjà installé une version différente, l'importation devrait fonctionner. Si ce n'est pas le cas, envisagez d'exécuter le script dans un environnement virtuel python qui vous permet de gérer des installations de paquets distinctes pour différents projets. Après avoir exécuté le script, vous pouvez supprimer l'environnement virtuel. Vous trouverez des instructions pour créer un environnement virtuel Python ici.
Configurez le CLI AWS (les instructions d'AWS sont disponibles ici).
- Un profil nommé est un ensemble de paramètres et d'informations d'identification que vous pouvez appliquer à une commande CLI AWS.
- L'exécution de aws configure stockera les informations d'identification saisies dans le profil nommé default. Si vous avez plusieurs comptes, nous vous recommandons de créer des profils nommés pour chacun d'entre eux. Par exemple, si j'ai deux comptes, preprod et prod, et que je stocke leurs informations d'identification dans deux profils distincts, je peux facilement décrire les instances ec2 dans preprod en exécutant aws ec2 describe-instances -- profile preprod. Ensuite, pour décrire les instances dans prod, je peux changer l' argument duprofil en aws ec2 describe-instances -- profile prod.
- Vous trouverez ici desinstructions pour configurer des profils nommés à partir d'AWS.
- Le script Lucidscale - AWS vous demandera d'indiquer le nom du ou des profils que vous souhaitez importer.
Exécutez le script Lucidscale - AWS
1. -c ou --count
  - Produire un fichier JSON contenant des informations sur le nombre de ressources. L'exécution du script avec ce drapeau prend un chemin différent à travers le script d'importation et ne produira pas un fichier JSON qui peut être téléchargé sur Lucidscale - AWS.
2. -a ou --anon
  - Anonymiser les données (hachage de toutes les chaînes)
3. -o ou --output
  - Affiche les données dans le fichier fourni
4. -p ou --profil
  - Le nom du profil à utiliser
5. -r ou --regions
  - Les régions à importer
    - (exemple) python3 awscliscript.py --profile preprod --regions us-east-1 us-west-1
    - La commande ci-dessus exécute le script et génère des données pour les ressources du profilpreprod vivant dans les régions us-east-1 et us-west-1.
    - Le script Lucidscale - AWS dispose de drapeaux supplémentaires qui peuvent être utilisés
6. Un fichier aws.json sera généré en sortie. Téléchargez ce fichier dans Lucidscale pour importer votre infrastructure dans le Lucid Data Hub.
  - Le compte sera listé comme un compte AWSimporté dans la fenêtre modale après avoir cliqué sur + New > Lucidscale > AWS.
  - Le compte sera également affiché dans la section "AWS : Comptes importés" du Data Hub.
7. Sélectionnez Créer un modèle.

Le modèle Lucidscale sera généré en arrière-plan de votre compte Lucid. Nous vous informerons de l'achèvement de la procédure par le biais d'une fenêtre d'état qui apparaît en bas à droite de la page.

Vous pouvez ouvrir le modèle à partir de la fenêtre d'état qui s'affiche directement après la création d'un nouveau modèle. Le modèle(et les modèles précédemment créés) sera également stocké et accessible dans la sectionDocuments de votre page d'accueil Lucid une fois que vous l'aurez généré.

Pour en savoir plus : Pour savoir comment travailler avec l'architecture AWS dans un modèle Lucidscale une fois qu'il est terminé, lisez notre article.

Remarque :

Utilisateurs de Windows : utilisez "Windows CMD" pour exécuter les commandes du script.
Utilisateurs de MacOS : utilisez le terminal

Utilisez le Data Hub pour gérer les données et les informations d'identification de l'infrastructure AWS.

Accès aux comptes importés

Après avoir importé votre compte AWS, il sera répertorié en tant que source de données avec le nom de compte que vous avez spécifié dans lasection "AWS : Imported Accounts" du Data Hub. Dans cette section, vous pouvez également cliquer sur + New account pour importer un nouveau compte dans le Data Hub.

Les comptes énumérés dans cette section sont des sources de données qui peuvent être utilisées pour créer de nouveaux modèles Lucidscale. Les sources de données ("Accounts") contiennent les métadonnées du compte AWS utilisées pour créer les modèles Lucidscale. Le champ "Dernière mise à jour" indique la date à laquelle votre source de données a été actualisée pour prendre en compte les éventuelles mises à jour de votre compte AWS connecté.

L'inventaire du nuage de chaque compte est affiché sur le côté droit après avoir sélectionné un compte dans la liste. Cet inventaire vous permet de connaître le nombre total de chaque type de ressource importée avant de créer un modèle. Vous pouvez également télécharger un fichier CSV contenant la liste des ressources et le décompte directement à partir du Data Hub en cliquant sur Télécharger CSV.

L'inventaire répertorie toutes les ressources auxquelles votre politique d'autorisations attachée au rôle inter-comptes permet d'accéder. Si vous choisissez d'utiliser l'option "Créer un nouveau rôle automatiquement" avec notre modèle CloudFormation Stack, toutes les ressources de votre compte qui sont accessibles par la politique ReadOnlyAccess d'AWS seront rendues dans l'inventaire. Si vous créez un rôle manuellement avec une politique personnalisée, seuls les types de ressources spécifiés dans votre politique d'autorisations seront affichés dans l'inventaire.

Cliquez sur le menu à troispoints rendu sur un compte pour voir six options potentielles : Créer un nouveau modèle, Mettre à jour le compte à partir d'AWS, Planifier la mise à jour, Modifier les ressources, Renommer le compteet Supprimer le compte.

Créer un nouveau modèle lance le rendu de l'infrastructure AWS associée au compte sous la forme d'un diagramme dans l'espace de travail d'un nouveau modèle. Le modèle sera généré en arrière-plan de votre page d'accueil Lucid et nous vous informerons une fois qu'il aura été rendu par le biais de la modale d'état qui apparaît en bas à droite de la page.

Update Account from AWS et Schedule update vous permet de mettre à jour manuellement ou automatiquementles données du compte AWS que vous avez importées dans le Data Hub afin de refléter tout changement dans le compte AWS connecté. Les nouveaux modèles créés à partir du compte après la mise à jour refléteront les changements dans le compte AWS connecté.

En savoir plus : Pour plus d'informations sur la mise à jour des comptes depuis AWS, consultez notre articleMettre à jour et synchroniser les données dans Lucidscale.

Modifier les ressources vous permet de modifier les ressources incluses dans chaque ensemble de données. Sélectionnez cette option pour ouvrir une fenêtre modale dans laquelle vous pouvez ajouter ou supprimer des ressources de vos ensembles de données existants. Lorsque vous avez terminé votre sélection, cliquez sur Enregistrer et mettre à jour le compte. Cela garantit que l'ensemble de données est actualisé et que les modèles faisant référence à cet ensemble de données sont mis à jour avec les informations les plus récentes.

Renommer le compte vous permet de modifier le nom de l'ensemble de données sélectionné.

Supprimer le compte supprime le compte importé du Lucid Data Hub et tous les modèles créés à partir de ce compte perdront la possibilité de mettre à jour les données à partir d'AWS.

Remarque : les options affichées ci-dessus varient en fonction de la méthode d'importation que vous avez utilisée pour un compte. L'option demise à jour n'est disponible qu'avec l'importation de rôles inter-comptes AWS. Les importations IAM et CLI ne prennent pas en charge cette option.

Partager et supprimer les informations d'identification enregistrées

La sectionSaved Credentials dans "Data Hub > AWS" répertorie les rôles de comptes croisés que vous pouvez utiliser pour importer vos comptes AWS dans le Data Hub. Dans cette section, cliquez sur + New Cross-account role pour ajouter un nouvel ensemble d'informations d'identification qui peuvent être utilisées pour importer un compte AWS.

Vous pouvez également partager les rôles inter-comptes que vous avez créés avec d'autres utilisateurs. Si vous cliquez sur le menu à trois points rendu sur un compte, vous verrez deux options possibles : Partager les informations d'identification et Supprimer les informations d'identification.

exemple_de_la_page_des_credentials_sauvés_dans_le_hub_de_données_lucidescale.png

Share credential ouvre une fenêtre modale dans laquelle vous pouvez partager un rôle inter-comptes avec un autre utilisateur de votre compte Lucid en spécifiant son adresse e-mail. En lui donnant accès à l'identifiant, vous lui permettez d'importer le compte AWS associé dans le Data Hub et de créer des modèles Lucidscale. Une fois qu'un identifiant a été partagé avec un autre utilisateur, vous pouvez révoquer son accès à l'identifiant en cliquant sur le X à côté de son adresse e-mail dans la même fenêtre.

Supprimer l'identifiant supprime le rôle inter-comptes du Data Hub. Après la suppression d'un identifiant, tous les comptes précédemment importés avec cet identifiant, ainsi que les modèles créés à partir de ces comptes , ne pourront plus mettre à jour les données à partir d'AWS.

En savoir plus : Vous ne pouvez partager des informations d'identification que dans le Data Hub dont vous êtes propriétaire. Seuls les utilisateurs de Lucidscale disposant d'une licence Créateur peuvent importer des comptes et créer des modèles. Pour plus de détails, consultez notre article sur la gestion, l'utilisation et la sécurité des informations d'identification dans Lucidscale .

Informations de sécurité

Rôles transversaux

Les rôles inter-comptes sont la méthode préférée d'AWS pour accorder à des tiers l'accès à votre compte. Cette méthode permet à Lucidscale de stocker en toute sécurité les informations d'identification qui vous permettent d'actualiser facilement un diagramme. Consultez ces ressources pour plus d'informations :

Identification externe forcée

Conformément aux meilleures pratiques de sécurité fournies par AWS, Lucid veille à ce que les identifiants externes restent uniques dans la base de données de Lucid. Par conséquent, Lucid fournit un identifiant externe unique à l'utilisateur et lui interdit de saisir son propre identifiant externe.

Accès sécurisé et limité pour les utilisateurs IAM

Nous demandons une autorisation limitée, de niveau "description", pour l'utilisateur IAM que vous créez. Un utilisateur IAM créé avec ces autorisations ne peut pas modifier les paramètres de votre infrastructure AWS ni lire les données de vos bases de données. Nous n'utilisons l'utilisateur IAM que pour lire les métadonnées structurelles de votre infrastructure AWS.

Alternative au script d'interface de ligne de commande

Si vous souhaitez examiner et contrôler les actions que nous entreprenons lors de notre analyse de l'infrastructure AWS, vous pouvez télécharger et utiliser le script Python que nous vous fournissons au lieu de créer un utilisateur IAM. Dans ce scénario, vos identifiants IAM ne seront jamais transmis à Lucidscale, et vous pouvez vérifier le code qui s'exécutera dans votre environnement et les métadonnées qui en résulteront avant de les télécharger sur Lucidscale. Le JSON importé sera accessible dans le Lucid Data Hub et pourra être utilisé pour créer des modèles Lucidscale.

Stockage sécurisé des documents (modèles)

Lucidscale stocke les métadonnées importées d'AWS et les modèles générés en utilisant les protections standard de l'industrie pour les données confidentielles. Les données AWS importées sont intégrées au modèle Lucidscale, ce qui vous permet de contrôler l'accès aux données à l'aide des autorisations de partage standard de Lucid. Pour plus d'informations sur la façon dont nous protégeons vos documents, veuillez consulter notre page Sécurité du contenu ou contacter notre équipe commerciale.

Pas de stockage des clés d'accès

Lucidscale ne stocke pas vos identifiants AWS IAM après avoir effectué l'analyse initiale de votre infrastructure AWS. Vos données d'identification seront transférées sur nos serveurs en utilisant des méthodes de cryptage standard. Les clients peuvent négocier des protocoles de cryptage allant jusqu'à AES-256. Nous pouvons enregistrer un rôle inter-comptes qui nous donne uniquement un accès "description et liste" à votre environnement.

FAQ

Une fois l'achat de Lucidscale effectué, tous les utilisateurs du compte y auront-ils accès ?

Si vous êtes un client Lucid existant (vous avez actuellement un abonnement Lucidchart ou Lucidspark), en fonction de vos paramètres de licence, il est possible que tous les utilisateurs du compte n'aient pas accès à Lucidscale par défaut. Un administrateur de compte peut avoir besoin d'attribuer les licences Lucidscale achetées à des utilisateurs individuels ou à des groupes via la section Utilisateurs du panneau d'administration, de la même manière que pour Lucidchart et Lucidspark. Lesutilisateurs ajoutés à un compte qui n'a qu'un abonnement Lucidscale Team (pas d'abonnement Lucidchart ou Lucidspark en cours) se verront automatiquement attribuer une licence Creator ou Explorer en fonction des licences achetées. Pour savoir comment attribuer des licences, consultez l'article Panneau d'administration de Lucid : Paramètres de licence.

Comment Lucidscale accède-t-il à notre environnement AWS ? Quel est le niveau d'accès à Lucidscale ?

La méthode recommandée par Lucidscale et AWS consiste à utiliser un rôle inter-comptes. Nous fournissons une politique qui nous donne un accès "description et liste" à votre environnement afin que nous puissions obtenir un inventaire des ressources. Les informations d'identification stockées dans Lucid ne sont accessibles que par votre compte Lucid. Cette méthode d'importation vous permettra de mettre à jour les données du compte en une seule action. La politique de permissions que nous fournissons vous permet de déterminer exactement quelles données le rôle Cross-Account pourra demander à AWS.

Si vous utilisez notre méthode IAM, les informations d'identification ne sont pas stockées du tout, mais sont utilisées une seule fois et supprimées. En général, nos utilisateurs utilisent cette méthode d'importation avec des informations d'identification temporaires AWS, car cette méthode ne permet pas de mettre à jour des données supplémentaires.

Nous disposons également d'une méthode utilisant un script python que vous pouvez exécuter via l'interface de ligne de commande (CLI) et qui génère un fichier JSON. Après avoir généré le fichier JSON, les utilisateurs peuvent en examiner le contenu et supprimer des données si nécessaire avant l'importation. Les utilisateurs peuvent alors télécharger ce fichier JSON vers Lucidscale et ne pas saisir d'informations d'identification dans Lucidscale.

Comment Lucidscale commercial et Lucidscale for Gov interagissent-ils lors de l'importation via les rôles de comptes croisés ?

Bien que la fonctionnalité du produit soit la même dans les deux cas, AWS configure la sécurité différemment pour ces deux environnements. Les rôles IAM AWS et les stratégies basées sur les ressources délèguent l'accès aux comptes uniquement au sein d'une partition unique. Lucid GovSuite se trouve dans une partition AWS distincte et ne peut donc pas importer de données AWS via un rôle de compte croisé à partir de comptes AWS non GovCloud. Ainsi, si vous êtes dans l'environnement commercial Lucid, vous pouvez accéder aux comptes commerciaux AWS Cloud et les importer via un rôle de compte croisé, et si vous êtes dans l'environnement Lucid GovSuite, vous pouvez accéder aux comptes AWS GovCloud et les importer via un rôle de compte croisé.

Nous prenons en charge la possibilité d'importer des comptes commerciaux AWS vers Lucidscale pour Gov via un utilisateur IAM ou un JSON créé à partir de notre script CLI.

Quelles sont les API auxquelles Lucidscale a accès ?

Nous utilisons principalement les points d'extrémité de l'API "décrire" et "lister".

Pouvez-vous choisir les métadonnées (les champs et les valeurs affichés dans le panneau Données) qui seront importées ? Si ce n'est pas le cas, quelles sont les métadonnées importées ?

Non, vous ne pouvez pas actuellement choisir les métadonnées qui seront importées. Cependant, nous envisageons de créer une possibilité de le faire à l'avenir. Toutes les métadonnées d'un appel API de description sont importées.

Donnez votre avis sur cet article

Vous avez des commentaires sur cet article ? Racontez-nous votre expérience ici.

Articles associés