Creazione o aggiornamento di un'origine dati con credenziali segrete utilizzando il QuickSight API

Dopo che l' QuickSight amministratore ha concesso l'accesso in QuickSight sola lettura a Secrets Manager, è possibile creare e aggiornare le sorgenti dati API utilizzando un segreto selezionato dall'amministratore come credenziali.

Di seguito è riportato un esempio di API chiamata per creare un'origine dati in. QuickSight Questo esempio utilizza l'create-data-sourceAPIoperazione. È inoltre possibile utilizzare l'operazione update-data-source. Per ulteriori informazioni, consulta CreateDataSourcee UpdateDataSourcein Amazon QuickSight API Reference.

L'utente specificato nelle autorizzazioni nel seguente esempio di API chiamata può eliminare, visualizzare e modificare le sorgenti dati per l'origine SQL dati My data specificata in QuickSight. Può inoltre visualizzare e aggiornare le autorizzazioni dell'origine dati. Invece di un QuickSight nome utente e una password, ARN viene utilizzato un segreto come credenziale per l'origine dati.

aws quicksight create-data-source 
    --aws-account-id AWSACCOUNTID \ 
    --data-source-id DATASOURCEID \
    --name NAME \
    --type MYSQL \
    --permissions '[{"Principal": "arn:aws:quicksight:region:accountID:user/namespace/username", "Actions": ["quicksight:DeleteDataSource", "quicksight:DescribeDataSource", "quicksight:DescribeDataSourcePermissions", "quicksight:PassDataSource", "quicksight:UpdateDataSource", "quicksight:UpdateDataSourcePermissions"]}]' \
    --data-source-parameters='{"MySQLParameters":{"Database": "database", "Host":"hostURL", "Port":"port"}}' \
    --credentials='{"SecretArn":"arn:aws:secretsmanager:region:accountID:secret:secretname"}' \
    --region us-west-2

In questa chiamata, QuickSight autorizza l'secretsmanager:GetSecretValueaccesso al segreto in base alla politica del API chiamante, non alla IAM politica del ruolo IAM di servizio. Il ruolo IAM di servizio agisce a livello di account e viene utilizzato quando un utente visualizza un'analisi o un dashboard. Non può essere utilizzato per autorizzare l'accesso segreto quando un utente crea o aggiorna l'origine dati.

Quando modificano un'origine dati nell' QuickSight interfaccia utente, gli utenti possono visualizzare il segreto ARN per le fonti di dati che utilizzano AWS Secrets Manager come tipo di credenziale. Tuttavia, non possono modificare il segreto o selezionarne uno diverso. Se devono apportare modifiche, ad esempio al server o alla porta del database, gli utenti devono prima scegliere la coppia di credenziali e inserire il nome utente e la password QuickSight del proprio account.

I segreti vengono rimossi automaticamente da un'origine dati quando l'origine dati viene modificata nell'interfaccia utente. Per ripristinare il segreto sulla fonte di dati, usa l'update-data-sourceAPIoperazione.