Utilizzo dei segreti per accedere AWS Database Migration Service endpoint

Accedi Console di gestione AWS e apri la AWS Identity and Access Management console all'indirizzo. https://console.aws.amazon.com/iam/

Scegli Utenti, quindi seleziona l'ID utente utilizzato per effettuare le chiamate API CreateEndpoint e ModifyEndpoint.

Nella scheda Autorizzazioni scegli {} JSON.

Assicurati che l'utente disponga delle autorizzazioni mostrate di seguito.

{
	"Statement": [{
			"Effect": "Allow",
			"Action": [
				"iam:GetRole",
				"iam:PassRole"
			],
			"Resource": "SECRET_ACCESS_ROLE_ARN"
		},
		{
			"Effect": "Allow",
			"Action": "secretsmanager:DescribeSecret",
			"Resource": "SECRET_ARN"
		}
	]
}
                    

Se l'utente non dispone di tali autorizzazioni, aggiungile.

Se utilizzi un ruolo IAM per effettuare chiamate API DMS, ripeti i passaggi precedenti per il rispettivo ruolo.

Apri un terminale e utilizza AWS CLI per convalidare che le autorizzazioni siano state concesse correttamente assumendo il ruolo o l'utente utilizzato sopra.

1. Convalida l'autorizzazione dell'utente sull' SecretAccessRole utilizzo del comando IAM. get-role

   aws iam get-role --role-name ROLE_NAME
                               

   Sostituisci ROLE_NAME con il nome di. SecretsManagerAccessRole

   Se il comando restituisce un messaggio di errore, assicurati che le autorizzazioni siano state specificate correttamente.

2. Convalida l'autorizzazione dell'utente per il segreto utilizzando il comando Secrets Manager describe-secret.

   aws secretsmanager describe-secret --secret-id SECRET_NAME OR SECRET_ARN --region=REGION_NAME
                               

   L'utente può essere il nome descrittivo, l'ARN parziale o l'ARN completo. Per ulteriori informazioni, consulta describe-secret.

   Se il comando restituisce un messaggio di errore, assicurati che le autorizzazioni siano state specificate correttamente.

Accedi Console di gestione AWS e apri la AWS Secrets Manager console all'indirizzo. https://console.aws.amazon.com/secretsmanager/

Scegli Archivia un nuovo segreto.

Nella pagina Archivia un nuovo segreto scegli Altro tipo di segreti in Seleziona il tipo di segreto quindi scegli Testo in chiaro.

Nel campo Testo in chiaro:

Seleziona una chiave di AWS KMS crittografia per crittografare il segreto. Puoi accettare la chiave di crittografia predefinita creata per il tuo servizio AWS Secrets Manager o selezionare una AWS KMS chiave creata da te.

Specifica un nome per fare riferimento a questo segreto e una descrizione facoltativa. Questo è il nome descrittivo che utilizzi come valore per SecretsManagerSecretId o SecretsManagerOracleAsmSecretId.

Se desideri abilitare la rotazione automatica del segreto, devi selezionare o creare una AWS Lambda funzione con l'autorizzazione a ruotare le credenziali del segreto come descritto. Tuttavia, prima di impostare la rotazione automatica per utilizzare la funzione Lambda, assicurati che le impostazioni di configurazione della funzione aggiungano al valore della variabile di ambiente EXCLUDE_CHARACTERS i seguenti quattro caratteri.

;.:+{}*&,%\

AWS DMS non consente l'uso di questi caratteri nelle password utilizzate per le credenziali degli endpoint. La configurazione della funzione Lambda per escluderli impedisce ad AWS Secrets Manager di generare questi caratteri come parte dei valori della password ruotate. Dopo aver impostato la rotazione automatica per utilizzare la funzione Lambda, ruota AWS Secrets Manager immediatamente il segreto per convalidare la configurazione segreta.

Rivedi e archivia il tuo segreto in. AWS Secrets ManagerÈ quindi possibile cercare ogni segreto in base al relativo nome descrittivo AWS Secrets Manager, quindi recuperare l'ARN segreto come valore SecretsManagerSecretId o SecretsManagerOracleAsmSecretId come appropriato per autenticare l'accesso alla connessione al database dell'endpoint e a Oracle ASM (se utilizzato).

Accedi Console di gestione AWS e apri la console AWS Identity and Access Management (IAM) all'indirizzo https://console.aws.amazon.com/iam/.

Seleziona Policy, quindi scegli Crea policy.

Scegli JSON e inserisci la seguente policy per consentire l'accesso e la decrittografia del tuo segreto.

Qui secret_arn è l'ARN del tuo segreto, che puoi ottenere da SecretsManagerSecretId o SecretsManagerOracleAsmSecretId, come appropriato, e kms_key_arn è l'ARN della chiave AWS KMS che stai usando per crittografare il segreto, come nell'esempio seguente.

Rivedi e crea la policy con un nome descrittivo e, facoltativamente, una descrizione.

Seleziona Ruoli, quindi scegli Crea ruolo.

Per il tipo di entità attendibile, scegli Servizio AWS .

Scegli DMS dall'elenco dei servizi come servizio attendibile, quindi seleziona Successivo: Autorizzazioni.

Cerca e collega la policy che hai creato nella fase 4, quindi procedi con l'aggiunta di eventuali tag ed esamina il ruolo. A questo punto, modifica le relazioni di fiducia per il ruolo in modo da utilizzare il responsabile del servizio AWS DMS regionale come entità attendibile. Questo principale ha il seguente formato.

dms.region-name.amazonaws.com

Qui region-name è il nome della regione, ad esempio us-east-1. Segue quindi un responsabile di servizio AWS DMS regionale per questa regione.

dms.us-east-1.amazonaws.com

Dopo aver modificato l'entità attendibile per il ruolo, crea il ruolo con un nome descrittivo e, facoltativamente, una descrizione. Ora puoi cercare il nuovo ruolo in base al suo nome descrittivo in IAM, quindi recuperare il ruolo ARN come valore SecretsManagerAccessRoleArn o SecretsManagerOracleAsmAccessRoleArn per autenticare la connessione al database degli endpoint.

Crea un endpoint VPC con Secrets Manager e annota il DNS per l'endpoint. Per ulteriori informazioni sulla creazione di un endpoint VPC con Secrets Manager, consulta Connessione a Secrets Manager tramite un endpoint VPC nella Guida per l'utente di AWS Secrets Manager.

Per le regole di ingresso dei gruppi di sicurezza degli endpoint VPC, consenti il traffico HTTPS proveniente dall'indirizzo IP privato dell'istanza di replica o dai gruppi di sicurezza collegati alle istanze di replica.

Per le regole di uscita del gruppo di sicurezza dell'istanza di replica, consenti tutto il traffico per la destinazione 0.0.0.0/0.

Imposta l'attributo aggiuntivo di connessione dell'endpoint secretsManagerEndpointOverride=secretsManager endpoint DNS per fornire il DNS dell'endpoint VPC di Secrets Manager, come illustrato nell'esempio seguente.

secretsManagerEndpointOverride=vpce-1234a5678b9012c-12345678.secretsmanager.eu-west-1.vpce.amazonaws.com