Configuración de rotación de usuarios alternativos para AWS Secrets Manager

Para crear una VPC

1. Abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc/.

2. Seleccione Crear VPC.

3. En la página Create VPC (Crear VPC), seleccione VPC and more (VPC y más).

4. En Name tag auto-generation (Generación automática de etiquetas de nombre), ingrese SecretsManagerTutorial en Auto-generate (Generar automáticamente).

5. En DNS options (Opciones de DNS), elija Enable DNS hostnames y Enable DNS resolution.

6. Seleccione Crear VPC.

Para crear un punto de conexión de Secrets Manager dentro de la VPC

1. En la consola de Amazon VPC, en Endpoints (Puntos de conexión), elija Create Endpoint (Crear punto de conexión).

2. En Endpoint settings (Configuración de punto de conexión), ingrese SecretsManagerTutorialEndpoint en Name (Nombre).

3. En Services (Servicios), ingrese secretsmanager para filtrar la lista y, luego, seleccione el punto de conexión de Secrets Manager en su Región de AWS. Por ejemplo, en Este de EE. UU. (Norte de Virginia), elija com.amazonaws.us-east-1.secretsmanager.

4. En VPC, elija vpc**** (SecretsManagerTutorial).

5. En Subnets (Subredes), seleccione todas las Availability Zones (Zonas de disponibilidad) y, luego, para cada una, elija un Subnet ID (ID de subred) para incluir.

6. En IP address type ((Tipo de dirección IP), elija IPv4.

7. En Security groups (Grupos de seguridad), elija el grupo de seguridad predeterminado.

8. En Policy (Política), elija Full access.

9. Seleccione Crear punto de conexión.

Para crear un punto de conexión de Amazon RDS dentro de la VPC

1. En la consola de Amazon VPC, en Endpoints (Puntos de conexión), elija Create Endpoint (Crear punto de conexión).

2. En Endpoint settings (Configuración de punto de conexión), ingrese RDSTutorialEndpoint en Name (Nombre).

3. En Services (Servicios), ingrese rds para filtrar la lista y, luego, seleccione el punto de conexión de Amazon RDS en su Región de AWS. Por ejemplo, en Este de EE. UU. (Norte de Virginia), elija com.amazonaws.us-east-1.rds.

4. En VPC, elija vpc**** (SecretsManagerTutorial).

5. En Subnets (Subredes), seleccione todas las Availability Zones (Zonas de disponibilidad) y, luego, para cada una, elija un Subnet ID (ID de subred) para incluir.

6. En IP address type ((Tipo de dirección IP), elija IPv4.

7. En Security groups (Grupos de seguridad), elija el grupo de seguridad predeterminado.

8. En Policy (Política), elija Full access.

9. Seleccione Crear punto de conexión.

Para crear una instancia de EC2 para un host bastión

1. Abra la consola de Amazon EC2 en https://console.aws.amazon.com/ec2/.

2. Elija Instances (Instancias) y, luego, elija Launch Instances (Lanzar instancias).

3. En Name and tags (Nombre y etiquetas), en Name (Nombre), introduzca SecretsManagerTutorialInstance.

4. En Application and OS Images (Imágenes de aplicaciones y sistemas operativos), mantenga el valor predeterminado Amazon Linux 2 AMI (HMV) Kernel 5.10.

5. En Instance type (Tipo de instancia), mantenga el valor predeterminado t2.micro.

6. En Key pair (Par de claves), seleccione Create key pair (Crear par de claves).

   En el cuadro de diálogo Create key pair (Crear par de claves), en Key pair name (Nombre del par de claves), ingrese SecretsManagerTutorialKeyPair y haga clic en Create (Crear).

   La clave privada se descarga automáticamente.

7. En Network settings (Configuración de red), elija Edit (Editar) y realice lo siguiente:

   1. En VPC, elija vpc-**** SecretsManagerTutorial.

   2. En Auto-assign Public IP (Asignar IP pública automáticamente), elija Enable.

   3. En Firewall, seleccione Select existing security group (Seleccionar grupo de seguridad existente).

   4. En Common security groups (Grupos de seguridad comunes), elija default.

8. Seleccione Iniciar instancia.

Para crear una base de datos de Amazon RDS con un secreto de Secrets Manager que contenga las credenciales de administrador

1. En la consola de Amazon RDS, seleccione Create database (Crear base de datos).

2. En la sección Engine options (Opciones del motor), en Engine type (Tipo de motor) elija MySQL.

3. En la sección Templates (Plantillas), elija Free tier.

4. En la sección Settings (Configuración), realice lo siguiente:

   1. En DB instance identifier (Identificador de instancia de base de datos), ingrese SecretsManagerTutorial.

   2. En Configuración de credenciales, seleccione Administrar credenciales maestras en AWS Secrets Manager.

5. En la sección Connectivity (Conectividad), para Computer resource (Recurso de equipo), elija Connect to an EC2 computer resource (Conectarse a un recurso de equipo de EC2) y, a continuación, para EC2 Instance (Instancia de EC2), elija SecretsManagerTutorialInstance.

6. Elija Crear base de datos.

Para permitir que su equipo local se conecte a la instancia de EC2

1. Abra la consola de Amazon EC2 en https://console.aws.amazon.com/ec2/.

2. En la instancia de EC2 SecretsManagerTutorialInstance, en la pestaña Security (Seguridad), en Security groups (Grupos de seguridad), elija sg-*** (ec2-rds-X).

3. En la pestaña Inbound rules (Reglas de entrada), seleccione Edit inbound rules (Editar reglas de entrada).

4. Elija Add Rule (Agregar regla) y, a continuación para la regla, haga lo siguiente:

   1. En Type (Tipo), elija SSH.

   2. En Tipo de origen, elija My IP.

Para crear una conexión de base de datos en MySQL Workbench

1. En MySQL Workbench, junto a MySQL Connections (Conexiones de MySQL), elija el botón (+).

2. En el cuadro de diálogo Setup New Connection (Configurar una conexión), haga lo siguiente:

   1. En Connection Name (Nombre de conexión), ingrese SecretsManagerTutorial.

   2. En Connection Method (Método de conexión), elija Standard TCP/IP over SSH.

   3. En la pestaña Parameters (Parámetros), haga lo siguiente:

      1. En SSH Hostname (Nombre de host SSH), ingrese la dirección IP pública de la instancia de Amazon EC2.

         Podrá encontrar la dirección IP en la consola de Amazon EC2 si elige la instancia SecretsManagerTutorialInstance. Copie la dirección IP en Public IPv4 DNS (DNS IPv4 público).

      2. En SSH Username (Nombre de usuario SSH), ingrese ec2-user.

      3. En SSH Keyfile (Archivo de claves SSH), elija el archivo de par de claves SecretsManagerTutorialKeyPair.pem que descargó en el requisito previo anterior.

      4. En MySQL Hostname (Nombre de host de MySQL), ingrese la dirección del punto de conexión de Amazon RDS.

         Podrá encontrar la dirección del punto de conexión en la consola de Amazon RDS si elige la instancia de base de datos secretsmanagertutorialdb. Copie la dirección en Endpoint (Punto de conexión).

      5. En Username (Nombre de usuario), ingrese admin.

   4. Seleccione Aceptar.

Para recuperar la contraseña de administrador

1. En la consola de Amazon RDS, acceda a su base de datos.

2. En la pestaña Configuration (Configuración), en Master Credentials ARN (ARN de credenciales maestras), seleccione Manage in Secrets Manager (Administrar en Secrets Manager).

   Se abrirá la consola de Secrets Manager.

3. En la página de detalles del secreto, elija Retrieve secret value (Recuperar valor del secreto).

4. La contraseña aparece en la sección Secret value (Valor secreto).

Para crear un usuario de base de datos

1. En MySQL Workbench, elija la conexión SecretsManagerTutorial.

2. Ingrese la contraseña de administrador que recuperó del secreto.

3. En MySQL Workbench, en la ventana Query (Consulta), ingrese los siguientes comandos (incluida una contraseña segura) y, luego, elija Execute (Ejecutar). La función de rotación prueba el secreto actualizado mediante SELECT, por lo que appuser debe tener ese privilegio como mínimo.

   CREATE DATABASE myDB;
   CREATE USER 'appuser'@'%' IDENTIFIED BY 'EXAMPLE-PASSWORD';
   GRANT SELECT ON myDB . * TO 'appuser'@'%';

   En la ventana Output (Salida), observará que los comandos se ejecutaron correctamente.

1. Abra la consola de Secrets Manager enhttps://console.aws.amazon.com/secretsmanager/.

2. Elija Almacenar un secreto nuevo.

3. En la página Choose secret type (Elegir tipo de secreto), haga lo siguiente:

   1. En Secret type (Tipo de secreto), elija Credentials for Amazon RDS database (Credenciales para base de datos de Amazon RDS).

   2. En Credentials (Credenciales), ingrese el nombre de usuario appuser y la contraseña que ingresó para el usuario de base de datos que creó mediante MySQL Workbench.

   3. En Database (Base de datos), elija secretsmanagertutorialdb.

   4. Elija Siguiente.

4. En la página Configure secrect (Configurar el secreto), en Secret name (Nombre del secreto), ingrese SecretsManagerTutorialAppuser y, luego, elija Next (Siguiente).

5. En la página Configure rotation (Configurar la rotación), haga lo siguiente:

   1. Active Automatic rotation (Rotación automática).

   2. En Rotation schedule (Programación de rotación), configure una programación de Days (Días): 2 días con Duration (Duración): 2h. Mantenga seleccionada la opción Rotate immediately (Rotar inmediatamente).

   3. En Rotation function (Función de rotación), elija Create a rotation function (Crear una función de rotación) y, luego, para el nombre de la función, ingrese tutorial-alternating-users-rotation.

   4. En Utilizar credenciales individuales, elija Sí, y luego en Secretos, elija el secreto llamado rds!cluster… que tiene una Descripción que incluye el nombre de la base de datos que creó en este tutorial secretsmanagertutorial, como Secret associated with primary RDS DB instance: arn:aws:rds:Region:AccountId:db:secretsmanagertutorial.

   5. Elija Siguiente.

6. En la página Review (Revisar), elija Store (Almacenar).

   Secrets Manager vuelve a la página de detalles del secreto. En la parte superior de la página, puede observar el estado de la configuración de la rotación. Secrets Manager utiliza CloudFormation para crear recursos como la función de rotación de Lambda y un rol de ejecución que ejecuta la función Lambda. Cuando CloudFormation termina, el banner cambia a Secret scheduled for rotation (Secreto programado para rotación). Se completó la primera rotación.

Para recuperar la contraseña nueva del secreto

1. Abra la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

2. Elija Secrets (Secretos) y, luego, elija el secreto SecretsManagerTutorialAppuser.

3. En la página Secret details (Detalles del secreto), deslícese hacia abajo y elija Retrieve secret value (Recuperar valor del secreto).

4. En la tabla Key/value (Clave/valor), copie el Secret value (Valor del secreto) en password.

Para probar las credenciales

1. En MySQL Workbench, haga clic con el botón derecho en la conexión SecretsManagerTutorial y, luego, elija Edit Connection (Editar conexión).

2. En el cuadro de diálogo Manage Server Connections (Administrar conexiones de servidores), en Username (Nombre de usuario), ingrese appuser y, luego, elija Close (Cerrar).

3. De vuelta en MySQL Workbench, elija la conexión SecretsManagerTutorial.

4. En el cuadro de diálogo Open SSH Connection (Conexión SSH abierta), en Password (Contraseña), pegue la contraseña que recuperó del secreto y, luego, elija OK (Aceptar).

   Si las credenciales son válidas, MySQL Workbench abrirá la página de diseño de la base de datos.