Importera och hantera AWS-infrastrukturdata i Lucidscale

AWS-regioner, resurser och linjer som stöds

För en omfattande lista över de regioner, resurser och rader som stöds från AWS som är tillgängliga i Lucidscale, se vår artikel om AWS-regioner, resurser och rader som stöds. 

Importera AWS-infrastruktur

Du kan importera dina AWS-molninfrastrukturdata med någon av följande fyra metoder:

• Betrodd åtkomst: ge en IAM-roll mellan konton med rätt principer. Den här rollen kan anges med följande behörighetsomfång:
  • Importera via åtkomst på kontonivå för att importera ett enskilt konto
    Importera via åtkomst på organisationsnivå för att importera alla AWS-konton från en organisationsenhet eller hela organisationen
• Auktorisering för engångsbruk: ange autentiseringsuppgifter för en IAM-användare med rätt principer kopplade
• Filuppladdning: kör ett Python-skript som tillhandahålls av Lucid i en konfigurerad AWS CLI-profil, som samlar in data lokalt som en JSON-fil och sedan tillhandahåller den genererade filen

Kolla in följande tabell för detaljer om varje metod och för att avgöra vilken som är bäst för ditt användningsfall.

*Resurstyp 1 är alla mappade resurser som anges i avsnittet Resurs som stöds. Resurstyp 2 är Cloud Inventory: ett brett utbud av omappade resurser som du kan placera manuellt i dina dokument.
**Automatiska datakällsuppdateringar är tillgängliga för användare att ställa in på ett återkommande schema (dagligen, veckovis, månadsvis, årligen) via datahubben. Manuella uppdateringar utförs också med ett enda klick genom datahubben.

Med import av betrodd åtkomst sparar Lucid dessa referenser så att du kan uppdatera dina data eller starta nya importer utan att ange din information igen. Denna lagringskapacitet gör det möjligt för Lucid att utföra automatiska datauppdateringar. Autentiseringsuppgifter kan tas bort via fliken AWS Data Hub-autentiseringsuppgifter. Lucid lagrar inte IAM-användaruppgifter för framtida återanvändning, vilket begränsar auktorisering för engångsbruk till endast manuell uppdatering.

Om du arbetar med en mycket stor miljö, minska mängden data du importerar, eller minska antalet API-anrop som Lucid gör till AWS. Lucid stöder upp till 50 samtidiga kontoimport per användare. När varje import är klar kan du starta en ny import.

Tillförlitlig åtkomst (roll över konton)

Betrodd åtkomst använder IAM-roller över flera konton så att molnacceleratorn kan anta skrivskyddad åtkomst för att importera kontometadata och skapa datakällor. Det finns två områden för tillförlitlig åtkomst:

• Organisationsnivå (rekommenderas för AWS-organisationer med flera konton)
• Kontonivå (import med ett enda konto)

Den här guiden innehåller detaljerade, körbara steg för båda metoderna, och innehåller flera infrastrukturer som kodimplementeringar: Terraform, CloudFormation automation och manuell IAM-skapande.

Tillförlitlig åtkomst: Organisationsnivå

Följ stegen nedan för att centralt hantera infrastrukturimporter i hela AWS-organisationen.

Kontrollera först följande förutsättningar:

• Det valda bastionkontot får inte redan registreras som en bastion för en annan import i Lucid.
• En användare med tillgång till Lucid data hub för att initiera registreringen på organisationsnivå.

Navigera sedan till Lucid Data Hub och välj din metod för att skapa IAM-resurser.

1. Öppna Lucids hemsida.
2. Klicka på Datahu bb längst ned i den vänstra navigeringen.
3. Välj Importera AWS-data.
4. Välj Till förlitlig åtkomst.
5. Under behö righetsomfå ng väljer du Anslut till en AWS-organisation.
6. Välj bland alternativen för att automatiskt ställa in behörigheter:
   1. Använd CloudFormation-mallar.
   2. Använd en Terraform-modul.

Metod 1: Använda CloudFormation för automatiserad behörighetsinställning för AWS-organisationen

Använd Lucids enhetliga CloudFormation-mall för att automatiskt konfigurera alla nödvändiga IAM-roller och behörigheter i hela din AWS-organisation i en enda implementering.

Krav

• Distributionskonto: Du måste distribuera den här mallen från ett konto med behörigheter på organisationsnivå för att (1) skapa och hantera CloudFormation StackSets och (2) skapa och hantera resursbaserade delegeringspolicyer. Detta är vanligtvis antingen organisationens administrationskonto eller ett delegerat administratörskonto för CloudFormation StackSets.
• Bastionkonto (rekommenderas): Använd ett konto som inte är ett administrationsmedlemskap som ditt bastionkonto. Det här kontot kommer att koordinera importer inom din organisation.
  • Bastionkonto (alternativt): Du kan använda hanteringskontot som bastion, men detta strider mot AWS bästa praxis och bör endast användas om din organisations policyer kräver det. Om du väljer det här alternativet hanterar CloudFormation-mallen skapandet av bastionroller direkt i hanteringskontot.
• Kontobehörighet: Bastionkontot får inte tidigare ha använts som ett bastionkonto hos Lucid.

Parametrar

• BastionAccountId: Det här är det 12-siffriga AWS-konto-ID som du vill använda för att hantera betrodd åtkomst från tredje part. Lucid kommer att ta på sig en roll över kontona i detta "bastionkonto" för att samordna importer.
• BastionRootOrOrganizationalUnitId: Det här är ID:t för organisationsenheten (OU) (t.ex. ou-xxxxxxxxxx) eller roten (t.ex. r-xxxx) som innehåller ditt valda BastionAccountId.
• MembersRootOrOrganizationalUnitId: Denna parameter styr omfattningen av konton i din AWS-organisation från vilka Lucid kan importera resursdata.
  • Om du vill tillåta import från alla konton i din organisation använder du ID:t för din organisations rot (t.ex. r-xxxx).
  • Om du bara vill tillåta import för konton som är kapslade i en enda specifik organisationsenhet (OU) använder du den specifika organisationsenhetens id (t.ex. ou-xxxxxxxxxx).

Instruktioner

Följ dessa steg för att ställa in behörigheter automatiskt med CloudFormation:

1. Från AWS:
   • Identifiera ditt Bastion-konto-ID (om du använder delegerad administratörsmetod).
   • Identifiera organisationsenheten eller rot-ID:na för parametrarna som anges ovan.
2. I Lucid klickar du på Launch CloudFormation-mall för att öppna mallen i din AWS-konsol.
   • Du kommer att tas till sidan för att skapa CloudFormation-stacken med mallen förinstallerad.
3. Ställ in UseManagementAccountAsBastion till "false" (rekommenderas) eller "sant".
   • Om delegerad administratör används (UseManagementAccountAsBastion = "false"), ange:
     • BastionAccountId: Ditt valda Bastion-konto-ID.
     • BastionRootOrOrganizationalUnitId: OU:n eller roten som innehåller bastionkontot.
4. Ange "MembersRootOrOrganizationalUnitId" för att styra importomfånget.
5. Ställ in "CreateOrgResourcePolicy" till "true" (standard) om din organisation inte har någon resurspolicy. 
   • Om du använder hanteringskontot som bastion kan du ställa in det här värdet till "falskt".
   • Om din organisation har en befintlig resurspolicy, ange det här värdet till "falskt" för att förhindra fel vid distribution av stacken. Lägg istället manuellt till följande "Statement"-objekt i arrayen "Statement" i din befintliga organisationsresurspolicy (detta läggs till i din befintliga policy – den ersätter den inte). Se till att ersätta ditt faktiska Bastion-konto-ID där det anges”:
     
     {
     "Sid": "Uttalande",
     "Effekt": "Tillåt",
     "Huvudperson": {
        "AWS": [
          "arn:aws:iam::<YOUR_BASTION_ACCOUNT_ID>:root"
        ]
      },
     "Åtgärd": [
     "organisationer:Listkonton",
     "organisationer:ListKontonFörFörälder",
     "organisationer:ListChildren",
     "organisationer:ListParents",
     "organisationer:ListRoots",
     "organisationer:Beskriv policy",
     "organisationer:BeskrivOrganisationsenhet",
     "organisationer:BeskrivOrganisation",
     "organisationer:BeskrivKonto",
     "organisationer:ListOrganizational UnitsFor Parent"
     ],
     "Resurs": "*"
     }
      
6. Du kan även anpassa BastionRoleName och MemberRoleName.
7. Klicka på Skapa stack och vänta tills distributionen är klar.
   • Mallen kommer automatiskt att:
     • Skapa bastionrollen i ditt valda bastionkonto.
     • Distribuera StackSets för att skapa medlemsroller över målkonton.
     • Konfigurera organisationens resurspolicyer för delegerad åtkomst (om delegerad administratör används).
     • Aktivera automatisk distribution för framtida konton som läggs till i organisationen.
8. I AWS IAM-konsolen för ditt Bastion-konto går du till "Roller".
9. Leta reda på bastionrollen (standardnamn: `lucid-import-bastion-role` eller ditt anpassade namn).
10. Kopiera rollens ARN.
11. Gå tillbaka till fliken Lucid-datahubb och scrolla ner till avsnittet "Lägg till rollen över flera konton i Lucid".
    • Klistra in bastionrollens ARN i fältet "Bastionrollens ARN".
    • Om du använde ett anpassat MemberRoleName, uppdatera fältet "Medlemskontots rollnamn" så att det matchar.
    • Du kan också uppdatera visningsnamnet för autentiseringsuppgifterna för att identifiera den här anslutningen.
12. Klicka på Nästa för att registrera rollen som kontoöverskridande hos Lucid.
13. Välj rollen och klicka på Nästa.
14. Fortsätt med stegen för att importera konton och skapa dokument.

Metod 2: Använda Terraform för automatiserad behörighetskonfiguration för AWS-organisationen

Undermoduler

• Undermodulen org-read-delegation: Konfigurerar ett bastionkonto med delegerad administratörsåtkomst för att skanna din AWS-organisationsstruktur. (Lucid kommer därefter att ta en roll i detta bastionkonto för att utföra importen).
  • Detta måste distribueras i hanteringskontot eller ett medlemskonto som har delegerats principhantering för organisationer.
  • Om en resursbaserad delegeringsprincip redan finns misslyckas distributionen. Istället för att lägga till den här undermodulen lägger du manuellt till behörigheterna från Lucids tillhandahållna JSON-policy som är länkad här till din befintliga resursbaserade policy.
  • Om en resursbaserad delegeringsprincip redan finns misslyckas distributionen. Istället för att lägga till den här undermodulen lägger du manuellt till behörigheterna från modulens main.tf- fil till din befintligaresursbaserade princip.
• Undermodulen bastionroll: skapar den primära IAM-rollen i ditt bastionkonto som Lucid kommer att anta.
  • Ställ in external_id-parametern med det unika värdet "Externt ID" som kopierats från ditt Lucid-kontos AWS-importinställningssida.
• Undermodulen importroll: skapar den IAM-roll som ska distribueras i medlemskonton för läsning av resursdata.
  • Modulen skapar en roll i medlemskontot som kan antas av bastionkontot - modulen kan inte automatisera den processen till medlemskontona. Den här modulen måste distribueras i varje medlemskonto som du vill importera data från, inklusive när du vill lägga till nya konton i din organisation i framtiden. Följ organisationens standardpraxis för att tillämpa kod från den här modulen på nyligen tillagda konton.

Instruktioner

Se först till att du har Terraform konfigurerat för de konton som du ska lägga till Lucids terraform-moduler till.

Konfigurera och distribuera sedan Lucids Terraform-modul genom att följa dessa steg:

• Gå till Lucids Terraform-modul för att konfigurera behörigheter genom att klicka på Visa i Terraform Registry, eller öppna modulen direkt med den här länken.
• På modulregistersidan klickar du på Undermoduler. Du konfigurerar var och en av de tre nödvändiga undermodulerna från listrutan (org-read-delegation, bastion-role och import-role) i din main.tf.
• Följ instruktionerna "Användning" på varje undermoduls Viktigt-sida för att lägga till modulen i Terraform-konfigurationskoden.
• Distribuera din Terraform-kod och vänta på att de inkluderade resurserna från Lucids modul ska skapas.
• Från AWS IAM-konsolen i ditt skyddskonto kopierar du ARN för den skapade lucid-import-bastion-role (eller dess anpassade namn). Du kan också mata ut den här ARN från Terraform-konfigurationen.

Slutligen, lägg till din nya IAM-roll till Lucid.

1. Gå tillbaka till fliken Lucid-datahubb och scrolla ner till avsnittet "Lägg till rollen över flera konton i Lucid".
   1. Ange skyddskontots roll ARN i fältet "Bastionrole ARN".
   2. Om du använde ett anpassat MemberRolenName när du konfigurerade den första modulen CloudFormation Template/TerraForm uppdaterar du fältet " Medlemskontos rollnamn " till det värdet.
   3. (Valfritt) Uppdatera det förifyllda värdet för "Visningsnamn för autentiseringsuppgifter" så att det representerar skyddsrollen som används för att samordna importer. Detta visningsnamn kommer att användas i Lucids datahubb så att du kan identifiera referensen för framtida användning och hantering.
2. Klicka på Nästa för att registrera rollen mellan konton med Lucid.
3. Välj rollen och klicka på Nästa.
4. Fortsätt med stegen för att importera konton och skapa dokument.

Tillförlitlig åtkomst: Kontonivå

För att importera AWS-infrastruktur för individuella konton via en IAM-roll för flera konton, följ stegen nedan.

Steg 1: Skapa ett nytt tvärkonto

Om du vill registrera en ny IAM-roll för flera konton (dvs. en importbehörighet) för ditt valda konto börjar du med att:

1. Navigera till Lucids hemsida.
2. Klicka på Dat ahubb längst ned i navigeringsmenyn till vänster på sidan.
3. Välj Importera AWS-data.
4. Välj Till förlitlig åtkomst.
5. Under autentiseringsuppgifternas omfattning väljer du Anslut till enskilda AWS-konton.
6. Välj önskad metod för att registrera en ny referens (dvs. AWS IAM-roll):
   • Använda en Terraform-modul
   • Använda en CloudFormation-mall
   • Skapa manuellt 

Här väljer du din föredragna metod för att skapa en ny rollinformation för flera konton: automatiskt med en Terraform-modul (välj Terraform), automatiskt med en CloudFormation-stack (välj CloudFormation) eller manuellt med hjälp av IAM-roller och policyer (välj Manuell skapande). Slutför steg 1 för din valda metod, hoppa sedan för att slutföra steg 2 för att lägga till rollen mellan konton i Lucid.

Metod 1: Använda Terraform för automatiserad skapande av individuella AWS-kontoroller

Först, se till att din Terraform-miljö är konfigurerad med AWS-referenser som har tillräckliga behörigheter för att skapa och hantera IAM-roller i AWS-kontot där du tänker distribuera Lucids importroll. Se Terraforms Kom igång - AWS- dokumentation för mer information.

Fortsätt sedan med steg 1 i Lucids installationsprocess för att konfigurera och distribuera Lucids Terraform-modul.

1. Efter att ha valt alternativet Terraform för import på kontonivå inom Lucid, öppna modulen för att konfigurera AWS-behörigheter genom att klicka på Visa i Terraform Registry, eller gå direkt till import rollmodulen i Terriform Registry här. 
2. På importroll modulens Readme-sida, leta upp och följ avsnittet ”Importer på icke-organisationsnivå” under ”Användning” för att lägga till modulen i din Terraforms konfigurationskod
   1. Den här undermodulen kräver ett external_id-värde. Få värdet för detta externa ID genom att återgå till fliken Lucid och klicka på Kopiera bredvid det angivna externa ID:t i Lucids steg 1-inställning.
3. Distribuera din Terraform-kod och vänta på att de inkluderade resurserna från Lucids modul ska skapas.
4. Navigera till AWS IAM-konsolen i AWS-kontot där du distribuerade rollen, leta reda på lucid-import-account-role (eller ditt anpassade rollnamn) och kopiera dess ARN från sidan Samman fattning. Alternativt kan du mata ut detta ARN från din Terraform-konfiguration.

Metod 2: Använda CloudFormation för automatiserad skapande av individuella AWS-kontoroller

Så här skapar du en ny roll automatiskt med CloudFormation:

1. Logga in på AWS-konsolen med det konto du vill importera
2. I Lucid klickar du på Starta CloudFormation för att öppna en ny webbläsarflik. Lämna din Lucid-webbläsarflik öppen så att du kan återgå till den senare.
3. Klicka på Skapa stack i AWS-konsolen.
4. När stacken har skapats navigerar du till fliken Resurser i din AWS-konsol och väljer " LucidScaleImportRole " (eller ditt anpassade CrossAccountRole-namn). Kopiera rollen ARN.
5. Hoppa till stegen för att registrera din roll över konton i datahubben.

Metod 3: Använda AWS IAM-konsolen för manuell skapande av individuella AWS-kontoroller

Så här skapar du en ny roll manuellt i AWS IAM-konsolen:

1. Under ”Steg 1: Börja skapa en roll” väljer du Skapa roll.

1. Du kommer att navigeras till ditt AWS-konto. Lämna din Lucid-webbläsarflik öppen så att du kan återvända till den senare.
2. Lucidscale genererar automatiskt ett unikt externt ID som är kopplat till ditt Lucidscale-konto. Detta är i linje med AWS säkerhetsrekommendationer.

2. Lägg till ReadOnlyAccess-policy:
   1. Klicka på Nästa i AWS för att gå till behörighetssteget.
   2. På sidan ”Lägg till behörigheter” söker du efter och väljer ReadOnlyAcc ess-principen. Den här inställningen är aktiverad som standard i Lucid och krävs för att alla resurser ska visas korrekt i dina skapade Lucidscale-dokument.
3. Lägg till anpassade behörigheter:
   1. Navigera tillbaka till fliken Lucid till " 3. Lägg till anpassade behörigheter " och klicka på Kopiera behörigheter för att kopiera JSON-textfilen.
   2. Öppna en ny flik eller ett nytt fönster och navigera till din AWS IAM-konsol, gå till vänster navigeringsruta och välj Policies .
   3. Klicka på Skapa policy på sidan Principer.
   4. På sidan ”Skapa policy” växlar du till fliken JSON och klistrar in filen du kopierade på fliken JSON i din AWS-konsol.
   5. Klicka på Nästa: Taggar.
   6. Lägg till taggar i policyn om du vill och klicka på Nästa: Granska.
   7. Ge policyn ett namn och en beskrivning.
   8. Klicka på Skapa policy.
4. Bifoga anpassad policy till rollen:
   1. På föregående AWS-flik där du skapade en ny korskontoroll klickar du på uppdateringsknappen och söker efter namnet på den policy du just skapade.
   2. Välj principen och klicka på Nästa.
   3. Ge rollen ett namn och en beskrivning. Om du vill kan du lägga till taggar i rollen.
   4. Klicka på Skapa roll.

Steg 2: Lägg till rollen mellan konton i Lucid

När du har rollen ARN från din valda metod (Terraform, CloudFormation eller manuell skapande), återgå till Lucids AWS-importinställning för att slutföra steg 2:

1. Klistra in den kopierade rollen ARN i fältet ”Role ARN” i det angivna formuläret i Lucids AWS-importinställningssteg 2.
   • Om så önskas uppdaterar du det förinställda värdet för ”Visningsnamn för referens”. Det här visningsnamnet kommer att användas i avsnittet ”Data Hub > AWS > Credentials” så att du kan hitta referensen för framtida användning och hantering, och kommer att representera den tvärkontoroll som används för att samordna import av ditt valda AWS-konto.
2. Klicka på Nästa för att registrera rollen mellan konton med Lucid, följt av att välja referensrollen och klicka sedan på Nästa igen.
3. Fortsätt för att välja AWS-konton för dataimport och skapande av dokument.

Inloggningsuppgift för engångsbruk

Engångsautorisering importerar ett AWS-konto med en kortlivad IAM-användaråtkomstnyckel (åtkomstnyckel-ID+hemlig). Lucid lagrar inte dessa referenser efter att genomsökningen är klar. Du måste ange autentiseringsuppgifter igen för efterföljande uppdateringar. Använd det här flödet för engångsimport eller när du inte kan distribuera roller mellan konton.

Förutsättningar

• Ett AWS-konto med behörighet att skapa IAM-policyer, användare och åtkomstnycklar.
• En Lucid-användare med Molnaccelerator-åtkomst och behörighet att importera i datahubben.
• Åtkomst till den anpassade policy-JSON som tillhandahålls av Lucid från datahubben.

Tillfälliga STS-referenser (valfritt)
AWS tillfälliga autentiseringsuppgifter innehåller tre fält: AccessKeyId, SecretAccessKey och SessionToken. Lucid accepterar dessa tillfälliga autentiseringsuppgifter för engångsimport när du tillhandahåller sessionstoken tillsammans med åtkomstnyckeln och hemligheten. Du kan generera tillfälliga referenser med aws sts assume-roll eller ett SSO-flöde.

    aws sts antagar-roll --roll-arn
 arn:aws:iam: :123456789012:Rolle/dinroll --roll-session-namn
 lucid-session
    

      aws konfigurera sso
 ### Följ anvisningarna: Starta URL för SSO, region och välj sedan roll och konto
    

Skapa och registrera en AWS IAM-användare (steg för steg)

Steg 1: Börja i Lucid

1. Öppna Lucids hemsida.
2. Klicka på Datahubb i navigeringen längst ned till vänster.
3. Välj Importera AWS-data.
4. Välj Autoris ering för engångsbruk.

Steg 2: Skapa den anpassade policyn i AWS

1. I registreringsflödet för Lucid data hub, ladda ner eller kopiera den anpassade JSON-policy som anges i steg 1.
2. Öppna IAM → Polic yer → Skapa policy i AWS-konsolen.
3. Byt till fliken JSON och klistra in den Lucid-tillhandahållna policyn JSON.
4. (Valfritt) Anpassa principen om du förstår behörighetsomfånget som krävs.
5. Klicka på Nästa, ge principen ett meningsfullt namn (till exempel: " lucid_custom_iam_user_policy "), lägg till en beskrivning och taggar och sedan Skapa princip.

Steg 3: Skapa en IAM-användare och bifoga behörigheter

1. Klicka på Skapa användare i IAM → Använ dare.
2. Ange ett användarnamn och aktivera programmatisk åtkomst.
3. Välj Bif oga principer direkt i steget Behö righeter.
4. Bifoga ReadOnlyAccess (AWS-hanterad) om bredare läsåtkomst är acceptabel.
5. Bifoga även den anpassade principen som skapats i steg 2.
6. Slutför skapandet av användaren och gå till fliken Säkerhetsuppgifter för den användaren.

Steg 4: Skapa åtkomstnycklar

1. Klicka på Skapa åtkomstnyckel under Å tkomstnycklar på fliken Säker hetsuppgifter.
2. För Use Case väljer du Tred jepartstjänst om du uppmanas.
3. Kopiera åtkomstnyckel-ID och hemlig åtkomstnyckel eller ladda ner CSV. Behandla hemligheten som alla känsliga referenser.

Steg 5: Registrera referenser i Lucid och importera

1. Gå tillbaka till Lucid data hub och välj att ladda upp CSV eller ange autentiseringsuppgifterna manuellt.
   • (Valfritt) Om du använder tillfälliga STS-autentiseringsuppgifter anger du sessionstoken tillsammans med åtkomstnyckel-ID och hemlig åtkomstnyckel.
2. Klicka på Nästa.
3. Konfigurera de regioner och resurstyper du vill importera. Avmarkera alla tunga resurstyper eller resurstyper som inte stöds för att begränsa importytan.
4. Ange ett namn för kontoimporten och klicka på Slut för.

Filuppladdning

För att importera AWS-infrastruktur via en JSON-filuppladdning, följ dessa steg:

1. Klicka på Datahubb i den vänstra naviger ingsmenyn på Lucids startsida.
2. Välj Importera AWS-data i det övre högra hörnet.
3. Välj Filuppladdning.
4. Ladda ner eller kopiera Lucid-tillhandahållna profilbehörigheter från fliken Lucid data hub.
5. Konfigurera din AWS CLI med en namngiven profil som innehåller dessa behörigheter.
6. Ladda ner eller kopiera Python-skriptet på fliken Lucid data hub.
7. Kör Python-skriptet i din AWS CLI. En aws.json-fil kommer att genereras.
8. På fliken Lucid data hub väljer du Välj fil och laddar upp aws.json-filen.
   • Du kan importera upp till 50 konton åt gången. Om du har fler än 50 konton i den uppladdade filen kan du dela upp den på flera JSON-filer för import.
9. Klicka på Nästa. 
10. Ange ett aliasnamn för varje konto du vill importera.
11. Välj Importera AWS-konton.

Skriptbeskrivning för AWS-filuppladdning
Det Lucid-tillhandahållna importskriptet, awscliscript.py, kräver konfiguration av en namngiven profil i CLI. En namngiven profil är en samling inställningar och referenser som du kan tillämpa på ett AWS CLI-kommando. För detaljerade instruktioner om hur du skapar en AWS-profil, se AWS dokumentation om inställningar för konfiguration och referensfil i AWS CLI.

Att köra aws configure lagrar de angivna uppgifterna i profilen som heter standard. Om du har flera konton rekommenderar vi att du skapar namngivna profiler för dem. Om jag till exempel har två konton, preprod och prod och jag lagrar deras referenser som två separata profiler, kan jag enkelt beskriva ec2-instanserna i preprod genom att göra aws ec 2 describe-instanser -- profile preprod. Sedan, för att beskriva instanser i prod kan jag ändra profilargumentet till aws ec2 describe-instance - - profile prod.

Krav

• Python: Versioner 3.0-3.9. Se till att " Lägg till Python till PATH " är markerat under installationen.
• AWS CLI: Installerad och konfigurerad.
• `botocore`: Version 1.27.77. Installera med pip3 install bo tocore ==1.27.77.

Parametrar

• -p, --profile [OBLIGATORISKT]
  • Anger namnet på den AWS-profil som ska användas. Det här alternativet kan upprepas om du vill importera från flera profiler.
• -r, --regions [KRÄVS]
  • Anger en eller flera AWS-regioner från vilka resurser ska importeras. Det här alternativet måste motsvara det föregående alternativet --profile.
• -c, - räkna
  • Mata ut en JSON-fil som innehåller ett antal resurser. När den här flaggan används är den genererade JSON-filen inte lämplig för Lucidscale import.
• -a, --anonym
  • Anonymisera utdata genom att hasha alla strängar.
• -o, --utgång
  • Anger filnamnet för den genererade utdata JSON.

Exempel
python3 awscliscript.py --profile preprod --regions us-east-1 us-west-1

Kommandot ovan kör skriptet och genererar data för resurser i preprod-profilen som finns i regionerna us-east-1 och us-west-1.

Använd Data Hub för att hantera AWS-infrastrukturdata och referenser

Importera konton och skapa dokument

För att importera AWS-konton och skapa Lucid-dokument, följ dessa steg:

1. Välj det eller de konton som du vill importera till datahubben.
2. Klicka på Nästa.
3. Med hjälp av anvisningarna som beskrivs i slutet av det här avsnittet under Kontokonfiguration med en tvärkontoroll kan du ange de regioner du vill importera.
4. Klicka på Importera AWS-konto.

Så här visualiserar du ditt AWS-konto när importen är klar:

1. Återgå till Data Hub.
2. Välj Skapa nytt dokument.
3. Välj det konto du importerade och klicka på Välj konton.
4. Granska detaljerna och lägg till filter för att utesluta onödiga resurser.
5. Välj Skapa AWS-dokument.

Lucidscale-dokumentet genereras i bakgrunden av ditt Lucid-konto. Vi meddelar dig när den har skapats via en statusmodal som visas längst ner till höger på sidan.

Du kan öppna dokumentet från statusmodalen som visas direkt efter att du har skapat ett nytt dokument. Dokumentet (och tidigare skapade dokument) kommer också att lagras och nås i avsnittet " Dokument " på din Lucid-startsida efter att du har skapat det.

Få åtkomst till importerade konton

När du har importerat ditt AWS-konto kommer det att listas som en datakälla med kontonamnet du angav i avsnittet " AWS: Importerade konton " i Data Hub. Från det här avsnittet kan du också klicka på + Nytt konto för att importera ett nytt konto till Data Hub.

Konton som listas i det här avsnittet är datakällor som kan användas för att skapa nya Lucidscale-dokument. Datakällor (”Konton”) innehåller AWS-kontometadata som används för att skapa Lucidscale-dokument. Fältet ”Senast uppdaterad” anger när datakällan senast uppdaterades för att ta hänsyn till eventuella uppdateringar i ditt anslutna AWS-konto.

Du kan importera samma AWS-konto mer än en gång. Varje import skapar en oberoende datakälla som finns tillsammans med tidigare importerade versioner av kontot. Du behöver inte ta bort en befintlig datakälla innan du importerar samma konto igen — båda kommer att samexistera i Datahubben och kan användas för att skapa dokument oberoende.

Molninventeringen för varje konto kan ses på höger sida efter att ha valt ett konto från listan. Med den här inventeringen kan du se en fullständig räkning av varje typ av resurs som har importerats innan du skapar ett dokument. Du kan också ladda ner en CSV-fil med listan över resurser och räkna direkt från Datahubben genom att klicka på Ladda ner CSV.

Inventeringen visar en lista över alla resurser som kan nås av din behörighetsprincip som är kopplad till rollen mellan konton. Om du väljer att använda "Skapa en ny roll automatiskt" med vår CloudFormation Stack-mall kommer alla resurser i ditt konto som är tillgängliga för AWS ReadOnlyAccess-policy att återges i inventeringen. Om du skapar en roll manuellt med en anpassad princip återges endast de resurstyper som anges i den bifogade behörighetsprincipen i inventeringen. 

Klicka på menyn med tre punktersom återges på ett konto för att se sex potentiella alternativ: Skapa nytt dokument, Uppdatera konto från AWS, Schemalägg uppdatering, Redigera resurser, Byt namn påkonto, och Ta bort konto.

Skapa nytt dokument börjar återge AWS-infrastrukturen som är associerad med kontot som ett diagram i ett nytt dokuments arbetsyta. Dokumentet kommer att genereras i bakgrunden på din Lucid-hemsida och vi kommer att meddela dig när det har återgivits genom statusmodalen som visas längst ner till höger påsidan.

Uppdatera konto från AWS och schemalägg ning gör att du manuellt eller automatiskt kan uppdatera AWS-kontodata som du har importerat till Data Hub för att återspegla eventuella ändringar i det anslutna AWS-kontot. Nya dokument som skapats från kontot efter uppdateringen återspeglar ändringarna i det anslutna AWS-kontot.

Redigera resurser låter dig redigera resurserna som ingår i varje dataset. Välj det här alternativet om du vill öppna en modal där du kan lägga till eller ta bort resurser från dina befintliga datamängder. När du är klar med valet klickar du på Spara och uppdatera konto. Detta säkerställer att datauppsättningen uppdateras och dokument som refererar till den datauppsättningen uppdateras till den senaste informationen.

Byt namn på konto låter dig ändra namnet på den valda datasetet.

Ta bort konto tar bort det importerade kontot från Lucid Data Hub och alla dokument som skapats från det kontot skulle förlora möjligheten att uppdatera data från AWS. Tänk på att radera ett konto inte krävs för att importera det igen - en ny import av samma konto kan initieras när som helst från + Nytt konto.

Dela och ta bort sparade inloggningsuppgifter

Avsnittet Sparade referenser i "Data Hub > " AWS innehållerde korskontorollerna du kan använda för att importera dina AWS-konton till Data Hub. I det här avsnittet klickar du på+ Ny roll över flera konton för att lägga till en ny uppsättning autentiseringsuppgifter som kan användas för att importera ett  AWS-konto.

Du kan också dela de kontoöverskridande roller som du har skapat med andra användare. Om du klickar på trepunktsmenyn som återges på ett konto, du kommer att se två potentiella alternativ: Dela referens och Radera referens.

Dela referenser öppnar en modal där du kan dela en roll över konton med en annan användare på ditt Lucid-konto genom att ange deras e-postadress. Genom att ge dem åtkomst till referensen kan de importera det associerade AWS-kontot till Data Hub och skapa Lucidscale-dokument. När en referens har delats med en annan användare kan du återkalla deras åtkomst till referensen genom att klicka på X bredvid deras e-postadress i samma modal.

Ta bort autentiseringsuppgifter tar bort rollen mellan konton från Datahubben. Efter att ha tagit bort en referens kommer alla konton som tidigare importerats med den referensen tillsammans med dokument som skapats från dessa konton att förlora möjligheten att uppdatera data från AWS.  

Säkerhetsinformation

Cross-Account roller

Cross-Account roller är den föredragna metoden från AWS för att ge tredje part åtkomst till ditt konto. Med den här metoden kan Lucidscale säkert lagra referenser som gör att du enkelt kan uppdatera ett diagram. Se dessa resurser för mer information:

• Hur man använder ett externt ID när du ger åtkomst till dina AWS-resurser till en tredje part
• Tillhandahålla tillgång till AWS-konton som ägs av tredje part

Påtvingat externt ID

Efter de bästa säkerhetspraxis som tillhandahålls av AWS, Lucid verkställer att externa ID förblir unika i Lucids databas. Därför tillhandahåller Lucid ett unikt externt ID till användaren och tillåter inte användaren att ange sitt eget externa ID.

Säker, begränsad åtkomst för IAM-användare

Vi begär begränsad, ”beskriv” -nivåbehörighet för IAM-användaren du skapar. En IAM-användare skapad med dessa behörigheter kan inte ändra inställningar i din AWS-infrastruktur eller läsa data i dina databaser. Vi använder bara IAM-användaren för att läsa de strukturella metadata för din AWS-infrastruktur. 

CLI-skriptalternativ

Om du vill granska och kontrollera de åtgärder vi vidtar under vår AWS-infrastrukturskanning kan du ladda ner och använda vårt tillhandahållna Python-skript istället för att skapa en IAM-användare. I det här scenariot skickas dina IAM-referenser aldrig till Lucidscale, och du kan granska både koden som körs i din miljö och de resulterande metadata innan du laddar upp metadata till Lucidscale. Den importerade JSON kommer att vara tillgänglig i Lucid Data Hub för att använda för att skapa Lucidscale-dokument. 

Säker lagring av dokument (dokument)

Lucidscale lagrar AWS-importerade metadata och genererade dokument med hjälp av branschstandardskydd för konfidentiella data. Importerad AWS-data är inbäddad som en del av Lucidscale-dokumentet, så att du kan kontrollera åtkomsten till informationen med hjälp av Lucids standarddelningsbehörigheter. För ytterligare information om hur vi skyddar dina dokument, vänligen se vår sida om innehållssäkerhet eller kontakta vårt säljteam.

Ingen lagring av åtkomstnycklar

Lucidscale lagrar inte dina AWS IAM-referenser efter att ha utfört den första genomsökningen av din AWS-infrastruktur. Dina uppgifter kommer att överföras till våra servrar med standardkrypteringsmetoder. Klienter kan förhandla om krypteringsprotokoll upp till AES-256. Vi kan lagra en Cross-Account Roll som bara ger oss ”beskriva och lista” åtkomst till din miljö.

Vanliga frågor

Hur får Lucidscale tillgång till vår AWS-miljö? Vilken åtkomstnivå har Lucidscale?

Den rekommenderade metoden från Lucidscale och AWS är genom en Cross-Account Roll. Vi tillhandahåller en policy som ger oss ”beskriva och lista” tillgång till din miljö så att vi kan få en inventering av resurser. Referensuppgifterna lagrade i Lucid kan endast nås av ditt Lucid-konto. Med den här importmetoden kan du uppdatera data från kontot med en åtgärd. Behörighetspolicyn vi tillhandahåller låter dig bestämma exakt vilka data Cross-Account rollen kommer att ha tillgång till begäran från AWS.

Om du använder vår IAM-användarmetod lagras inte referenser alls, utan används snarare en gång och kasseras. Generellt använder våra användare denna importmetod tillsammans med AWS tillfälliga referenser, eftersom den här metoden inte tillåter ytterligare datauppdateringar.

Vi har också en metod som använder ett pythonskript som du kan köra via Command Line Interface (CLI) som genererar en JSON-fil. Efter generering av JSON-filen kan användarna granska innehållet och ta bort data om så önskas före import. Användare kan sedan ladda upp den här JSON-filen till Lucidscale och inte fylla i någon referensinformation i Lucidscale.

Hur interagerar Lucidscale commercial och Lucidscale for Gov vid import via korskontoroller?

Medan produktens funktionalitet är densamma för var och en, ställer AWS upp säkerhet på olika sätt för dessa två miljöer. AWS IAM-roller och resursbaserade policyer delegerar åtkomst över konton endast inom en enda partition. Lucid GovSuite finns i en separat AWS-partition och kan därför inte importera AWS-data via korskontoroll från icke-GovCloud AWS-konton. Cross-account roller, vår rekommenderade importmetod, tillåter bara åtkomst till konton av samma typ - så om du är i Lucid-kommersiella miljön kan du komma åt och importera kommersiella AWS-molnkonton via tvärkontoroll, och om du är på Lucid GovSuite-miljön kan du komma åt och importera AWS GovCloud-konton via cross-account roll.

Vi stöder möjligheten att importera kommersiella AWS-konton till Lucidscale for Gov via IAM-användare eller en JSON skapad från vårt CLI-skript.

Vilka API:er har Lucidscale åtkomst till?

Vi använder främst beskriva och lista API-slutpunkter.

Kan du välja vilka metadata (fälten och värdena som visas i datapanelen) som importeras? Om inte, vilka metadata importeras?

Nej, du kan för närvarande inte välja vilka metadata som ska importeras. Vi vill dock skapa en viss förmåga att göra det i framtiden. Alla metadata från ett beskriv API-anrop importeras.

Ge feedback på den här artikeln