Configurer la rotation automatique pour les secrets AmazonRDS, Amazon Aurora, Amazon Redshift ou Amazon DocumentDB

Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

Sur la page Secrets, choisissez votre secret.

Sur la page Secret details (Détails du secret), dans la section Rotation configuration (Configuration de la rotation), choisissez Edit rotation (Modifier la rotation).

Dans la boîte de dialogue Edit rotation configuration (Modifier la configuration de la rotation), suivez la procédure suivante :

1. Activez Automatic rotation (Rotation automatique).

2. Sous Calendrier de rotation, entrez votre calendrier dans le UTC fuseau horaire soit dans le générateur d'expressions de calendrier, soit sous forme d'expression de calendrier. Secrets Manager stocke votre planification sous la forme d'une expression rate() ou cron(). La fenêtre de rotation démarre automatiquement à minuit, sauf si vous spécifiez une Start time (Heure de début). Vous pouvez effectuer la rotation d'un secret toutes les quatre heures. Pour de plus amples informations, veuillez consulter Horaires de rotation.

3. (Facultatif) Pour Window duration (Durée de la fenêtre), choisissez la durée de la fenêtre pendant laquelle vous souhaitez que Secrets Manager effectue une rotation de votre secret, par exemple, 3h pour une fenêtre de trois heures. La fenêtre ne doit pas s'étendre jusqu'à la fenêtre de rotation suivante. Si vous ne spécifiez pas la durée de la fenêtre, la fenêtre se ferme automatiquement au bout d'une heure si le programme de rotation est défini en heures. Pour un programme de rotation en jours, la fenêtre se ferme automatiquement à la fin de la journée.

4. (Facultatif) Sélectionnez Rotate immediately when the secret is stored (Effectuer immédiatement une rotation lorsque le secret est stocké) pour effectuer une rotation de votre secret lorsque vous enregistrez vos modifications. Si vous décochez la case, la première rotation commencera selon la planification que vous avez définie.

   Si la rotation échoue, par exemple parce que les étapes 3 et 4 ne sont pas encore terminées, Secrets Manager tente à nouveau le processus de rotation plusieurs fois.

5. Sous Rotation function (Fonction de rotation), effectuez l'une des actions suivantes :

   • Sélectionnez Create a new Lambda function (Créer une fonction Lambda) et saisissez le nom de votre fonction. Secrets Manager ajoute SecretsManager au début du nom de votre fonction. Secrets Manager crée la fonction en se basant sur le modèle approprié et définit les autorisations nécessaires pour le rôle d'exécution Lambda.

   • Choisissez Use an existing Lambda function (Utiliser une fonction Lambda existante) pour réutiliser une fonction de rotation que vous avez utilisée pour un autre secret. Les fonctions de rotation répertoriées sous VPCConfigurations recommandées ont le même groupe VPC de sécurité que la base de données, ce qui permet à la fonction d'accéder à la base de données.

6. Pour la Stratégie de rotation, choisissez la stratégie Utilisateur unique ou Utilisateurs en alternance. Pour de plus amples informations, veuillez consulter Étape 1 : choisir une stratégie de rotation et (éventuellement) créer un secret de super-utilisateur.

Choisissez Save (Enregistrer).

Dans la console Secrets Manager, choisissez votre secret, puis sur la page des détails, sous Rotation configuration (Configuration de la rotation), choisissez la fonction de rotation Lambda. La console Lambda s'ouvre.

Suivez les instructions de la rubrique Utilisation de stratégies basées sur les ressources pour Lambda pour ajouter une condition aws:sourceAccount.

"Condition": {
    "StringEquals": {
        "AWS:SourceAccount": "123456789012"
    }
},

Dans la fonction de rotation Lambda, choisissez Configuration, puis sous Rôle d'exécution, choisissez le Nom du rôle.

Suivez les instructions de la rubrique Modification de la stratégie d'autorisations d'un rôle pour ajouter une condition kms:EncryptionContext:SecretARN.

"Condition": {
    "StringEquals": {
        "kms:EncryptionContext:SecretARN": "SecretARN"
    }
},