Verwendung von Geheimnissen für den Zugriff AWS Database Migration Service Endpunkte

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die AWS Identity and Access Management Konsole unterhttps://console.aws.amazon.com/iam/.

Wählen Sie Benutzer und dann die Benutzer-ID aus, die für die API-Aufrufe CreateEndpoint und ModifyEndpoint verwendet wird.

Wählen Sie auf der Registerkarte Berechtigungen die Option {} JSON aus.

Vergewissern Sie sich, dass der Benutzer über die im Folgenden angezeigten Berechtigungen verfügt:

{
	"Statement": [{
			"Effect": "Allow",
			"Action": [
				"iam:GetRole",
				"iam:PassRole"
			],
			"Resource": "SECRET_ACCESS_ROLE_ARN"
		},
		{
			"Effect": "Allow",
			"Action": "secretsmanager:DescribeSecret",
			"Resource": "SECRET_ARN"
		}
	]
}
                    

Wenn der Benutzer nicht über diese Berechtigungen verfügt, fügen Sie sie hinzu.

Wenn Sie eine IAM-Rolle für DMS-API-Aufrufe verwenden, wiederholen Sie die obigen Schritte für die entsprechende Rolle.

Öffnen Sie ein Terminal und überprüfen Sie anhand von, ob die Berechtigungen korrekt erteilt wurden, indem Sie die oben verwendete Rolle oder den oben verwendeten Benutzer annehmen. AWS CLI

1. Überprüfen Sie die Benutzerberechtigung SecretAccessRole mithilfe des get-role IAM-Befehls.

   aws iam get-role --role-name ROLE_NAME
                               

   Ersetzen Sie ROLE_NAME durch den Namen von. SecretsManagerAccessRole

   Wenn der Befehl eine Fehlermeldung zurückgibt, stellen Sie sicher, dass die Berechtigungen korrekt erteilt wurden.

2. Überprüfen Sie die Benutzerberechtigung für das Secret mithilfe des Secrets-Manager-Befehls describe-secret.

   aws secretsmanager describe-secret --secret-id SECRET_NAME OR SECRET_ARN --region=REGION_NAME
                               

   Der Benutzer kann der Anzeigename, ein Teil des ARN oder der vollständige ARN sein. Weitere Informationen finden Sie unter describe-secret.

   Wenn der Befehl eine Fehlermeldung zurückgibt, stellen Sie sicher, dass die Berechtigungen korrekt erteilt wurden.

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die AWS Secrets Manager Konsole unterhttps://console.aws.amazon.com/secretsmanager/.

Wählen Sie Store a new secret (Ein neues Secret speichern).

Wählen Sie unter Secret-Typ auswählen auf der Seite Ein neues Secret speichern die Option Anderer Secret-Typ und anschließend Klartext aus.

Im Feld Klartext:

Wählen Sie einen AWS KMS Verschlüsselungsschlüssel aus, um das Geheimnis zu verschlüsseln. Sie können den für Ihren Dienst erstellten Standardverschlüsselungsschlüssel akzeptieren AWS Secrets Manager oder einen von Ihnen erstellten AWS KMS Schlüssel auswählen.

Geben Sie einen Namen für den Verweis auf dieses Secret und eine optionale Beschreibung an. Dies ist der Anzeigename, den Sie als Wert für SecretsManagerSecretId oder SecretsManagerOracleAsmSecretId verwenden.

Wenn Sie die automatische Rotation im Schlüssel aktivieren möchten, müssen Sie eine AWS Lambda Funktion auswählen oder erstellen, die berechtigt ist, die Anmeldeinformationen für den Schlüssel wie beschrieben zu rotieren. Bevor Sie jedoch die automatische Rotation für die Verwendung Ihrer Lambda-Funktion einrichten, müssen Sie sicherstellen, dass die Konfigurationseinstellungen für die Funktion dem Wert der Umgebungsvariablen EXCLUDE_CHARACTERS die folgenden vier Zeichen hinzufügen.

;.:+{}*&,%\

AWS DMS erlaubt diese Zeichen nicht in Passwörtern, die für Endpunkt-Anmeldeinformationen verwendet werden. Wenn Sie Ihre Lambda-Funktion so konfigurieren, dass sie ausgeschlossen werden, generiert AWS Secrets Manager diese Zeichen nicht als Teil der rotierten Passwortwerte. Nachdem Sie die automatische Rotation für die Verwendung Ihrer Lambda-Funktion eingerichtet haben, rotiert das Secret AWS Secrets Manager sofort, um Ihre geheime Konfiguration zu überprüfen.

Überprüfen Sie Ihr Geheimnis und speichern Sie es in. AWS Secrets Manager Anschließend können Sie jedes Geheimnis anhand seines benutzerfreundlichen Namens in nachschlagen und dann den geheimen ARN als Wert für SecretsManagerSecretId oder SecretsManagerOracleAsmSecretId nach Bedarf abrufen AWS Secrets Manager, um den Zugriff auf Ihre Endpunkt-Datenbankverbindung und Oracle ASM (falls verwendet) zu authentifizieren.

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die AWS Identity and Access Management (IAM-) Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie Richtlinien und anschließend Richtlinie erstellen aus.

Wählen Sie JSON aus und geben Sie die folgende Richtlinie ein, um den Zugriff auf Ihr Secret und dessen Entschlüsselung zu ermöglichen.

Hier ist secret_arn der ARN Ihres Secrets, den Sie wie erforderlich von SecretsManagerSecretId oder SecretsManagerOracleAsmSecretId abrufen können, und kms_key_arn der ARN des AWS KMS -Schlüssels, mit dem Sie Ihr Secret verschlüsseln, wie im folgenden Beispiel gezeigt.

Überprüfen und erstellen Sie die Richtlinie mit einem Anzeigenamen und einer optionalen Beschreibung.

Wählen Sie Rollen und anschließend Rolle erstellen aus.

Wählen Sie als Typ der vertrauenswürdigen Entität AWS -Service aus.

Wählen Sie in der Liste der Services DMS als vertrauenswürdigen Service aus und wählen Sie dann Weiter: Berechtigungen aus.

Suchen Sie nach der Richtlinie, die Sie in Schritt 4 erstellt haben, und fügen Sie sie an. Fügen Sie dann alle Tags hinzu und überprüfen Sie Ihre Rolle. Bearbeiten Sie jetzt die Vertrauensbeziehungen für die Rolle, sodass Ihr AWS DMS regionaler Dienstprinzipal als vertrauenswürdige Entität verwendet wird. Dieser Prinzipal weist das folgende Format auf:

dms.region-name.amazonaws.com

Hier ist region-name der Name Ihrer Region, z. B. us-east-1. Somit folgt ein AWS DMS regionaler Dienstprinzipal für diese Region.

dms.us-east-1.amazonaws.com

Nachdem Sie die vertrauenswürdige Entität für die Rolle bearbeitet haben, erstellen Sie die Rolle mit einem Anzeigenamen und einer optionalen Beschreibung. Sie können Ihre neue Rolle jetzt anhand ihres Anzeigenamens in IAM suchen und dann den Rollen-ARN als Wert für SecretsManagerAccessRoleArn oder SecretsManagerOracleAsmAccessRoleArn abrufen, um Ihre Endpunkt-Datenbankverbindung zu authentifizieren.

Erstellen Sie einen Secrets-Manager-VPC-Endpunkt und notieren Sie sich das DNS für den Endpunkt. Weitere Informationen zum Erstellen eines Secrets-Manager-VPC-Endpunkts finden Sie unter Connecting to Secrets Manager through a VPC endpoint im Benutzerhandbuch für AWS Secrets Manager.

Erlauben Sie für die VPC-Endpunkt-Sicherheitsgruppe den HTTPS-Verkehr von der privaten IP-Adresse der Replikationsinstanz oder von Sicherheitsgruppen, die den Replizierungsinstanzen zugeordnet sind.

Lassen Sie für die Ausgangsregeln für die Sicherheitsgruppe der Replikations-Instance den gesamten Datenverkehr für das Ziel 0.0.0.0/0 zu.

Legen Sie das zusätzliche Verbindungsattribut secretsManagerEndpointOverride=secretsManager endpoint DNS des Endpunkts fest, um das DNS des Secrets-Manager-VPC-Endpunkts bereitzustellen, wie im folgenden Beispiel gezeigt.

secretsManagerEndpointOverride=vpce-1234a5678b9012c-12345678.secretsmanager.eu-west-1.vpce.amazonaws.com