Uso de secretos para acceder a los puntos de conexión de AWS Database Migration Service

Inicie sesión en la AWS Management Console y abra la consola de AWS Identity and Access Management en https://console.aws.amazon.com/iam/.

Elija Usuarios y, a continuación, seleccione el ID de usuario utilizado para realizar llamadas a la API CreateEndpoint y ModifyEndpoint.

En la pestaña Permisos, elija {} JSON.

Asegúrese de que el usuario tenga los permisos mostrados a continuación.

{
	"Statement": [{
			"Effect": "Allow",
			"Action": [
				"iam:GetRole",
				"iam:PassRole"
			],
			"Resource": "SECRET_ACCESS_ROLE_ARN"
		},
		{
			"Effect": "Allow",
			"Action": "secretsmanager:DescribeSecret",
			"Resource": "SECRET_ARN"
		}
	]
}
                    

Si el usuario no tiene esos permisos, agréguelos.

Si utiliza un rol de IAM para realizar llamadas a la API de DMS, repita los pasos anteriores para el rol correspondiente.

Abra un terminal y use la AWS CLI para validar que los permisos se concedan correctamente asumiendo el rol o el usuario descritos anteriormente.

1. Valide el permiso del usuario en SecretAccessRole mediante el comando get-role de IAM.

   aws iam get-role --role-name ROLE_NAME
                               

   Sustituya ROLE_NAME por el nombre de SecretsManagerAccessRole.

   Si el comando devuelve un mensaje de error, asegúrese de que los permisos se hayan otorgado correctamente.

2. Valide el permiso del usuario en el secreto mediante el comando describe-secret de Secrets Manager.

   aws secretsmanager describe-secret --secret-id SECRET_NAME OR SECRET_ARN --region=REGION_NAME
                               

   El usuario puede ser el nombre descriptivo, el ARN parcial o el ARN completo. Para obtener más información, consulte describe-secret.

   Si el comando devuelve un mensaje de error, asegúrese de que los permisos se hayan otorgado correctamente.

Inicie sesión en la AWS Management Console y abra la consola de AWS Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

Elija Almacenar un secreto nuevo.

En Seleccionar tipo de secreto en la página Almacenar un nuevo secreto, elija Otro tipo de secretos y, a continuación, elija Texto no cifrado.

En el campo Texto no cifrado:

Seleccione una clave de cifrado de AWS KMS para cifrar el secreto. Puede aceptar la clave de cifrado predeterminada creada para el servicio por AWS Secrets Manager o seleccionar una clave de AWS KMS que cree.

Especifique un nombre para hacer referencia a este secreto y una descripción opcional. Este es el nombre descriptivo que se utiliza como valor para SecretsManagerSecretId o SecretsManagerOracleAsmSecretId.

Si desea habilitar la rotación automática en el secreto, debe seleccionar o crear una función de AWS Lambda con permiso para rotar las credenciales del secreto tal y como se describe. Sin embargo, antes de configurar la rotación automática para utilizar la función de Lambda, asegúrese de que los ajustes de configuración de la función agreguen los cuatro caracteres siguientes al valor de la variable de entorno EXCLUDE_CHARACTERS.

;.:+{}

AWS DMS no permite estos caracteres en las contraseñas utilizadas para las credenciales de los puntos de conexión. Si configura la función de Lambda para excluirlos, evita que AWS Secrets Manager genere estos caracteres como parte de los valores de contraseña rotados. Después de configurar la rotación automática para usar la función de Lambda, AWS Secrets Manager rota inmediatamente el secreto para validar la configuración del secreto.

Revise y guarde el secreto en AWS Secrets Manager. A continuación, puede buscar cada secreto por su nombre descriptivo en AWS Secrets Manager y, a continuación, recuperar el ARN secreto como el valor para SecretsManagerSecretId o SecretsManagerOracleAsmSecretId según corresponda para autenticar el acceso a la conexión de la base de datos de puntos de conexión y a Oracle ASM (si se utiliza).

Inicie sesión en la AWS Management Console y abra la consola de AWS Identity and Access Management (IAM) en https://console.aws.amazon.com/iam/.

Elija Políticas, después elija Crear política.

Elija JSON e ingrese la siguiente política para permitir el acceso al secreto y el descifrado del secreto.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": secret_arn,
        },
        {
             "Effect": "Allow",
             "Action": [
                        "kms:Decrypt",
                        "kms:DescribeKey"
                      ],
             "Resource": kms_key_arn,
        }
     ]
}

Aquí, secret_arn es el ARN del secreto, que puede obtener de SecretsManagerSecretId o SecretsManagerOracleAsmSecretId según corresponda y kms_key_arn es el ARN de la clave de AWS KMS que utiliza para cifrar el secreto, como en el siguiente ejemplo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:us-east-2:123456789012:secret:MySQLTestSecret-qeHamH"
        },
        {
             "Effect": "Allow",
             "Action": [
                        "kms:Decrypt",
                        "kms:DescribeKey"
                      ],
             "Resource": "arn:aws:kms:us-east-2:123456789012:key/761138dc-0542-4e58-947f-4a3a8458d0fd"
        }
     ]
}

Revise y cree la política con un nombre descriptivo y una descripción opcional.

Elija Roles, después elija Crear rol.

Elija Servicio de AWS como tipo de entidad de confianza.

Elija DMS de la lista de servicios como servicio de confianza y, a continuación, elija Siguiente: Permisos.

Busque y adjunte la política que creó en el paso 4 y, a continuación, agregue las etiquetas que desee y revise el rol. En este punto, edite las relaciones de confianza del rol para usar la entidad principal de servicio regional de AWS DMS como entidad de confianza. Esta entidad principal tiene el formato siguiente.

dms.region-name.amazonaws.com

Aquí, region-name es el nombre de la región, por ejemplo us-east-1. Por lo tanto, le sigue una entidad principal de servicio regional de AWS DMS para esta región.

dms.us-east-1.amazonaws.com

Tras editar la entidad de confianza para el rol, cree el rol con un nombre descriptivo y una descripción opcional. Ahora puede buscar el nuevo rol por su nombre descriptivo en IAM y, a continuación, recuperar el ARN del rol como valor SecretsManagerAccessRoleArn o SecretsManagerOracleAsmAccessRoleArn para autenticar la conexión de base de datos de puntos de conexión.

Cree un punto de conexión de VPC de administrador de secretos y anote el DNS del punto de conexión. Para obtener más información sobre la creación de un punto de conexión de VPC de Secrets Manager, consulte Conexión a Secrets Manager a través de un punto de conexión de VPC en la Guía del usuario de AWS Secrets Manager.

Adjunte el grupo de seguridad de la instancia de replicación al punto de conexión de VPC del mánager de secretos.

Para las reglas de salida del grupo de seguridad de la instancia de replicación, permita que todo el tráfico llegue al destino 0.0.0.0/0.

Establezca el atributo de conexión adicional de punto de conexión, secretsManagerEndpointOverride=secretsManager endpoint DNS para proporcionar el DNS de punto de conexión de VPC del mánager secreto, como se muestra en el siguiente ejemplo.

secretsManagerEndpointOverride=vpce-1234a5678b9012c-12345678.secretsmanager.eu-west-1.vpce.amazonaws.com