AWS Elemental MediaConnect を使用したスタティックキー暗号化のセットアップ

ソースを管理するエンティティから暗号化キーを取得します。

次の場所で AWS Secrets Manager コンソールにサインインします: https://console.aws.amazon.com/secretsmanager/。

[Store a new secret] (新しいシークレットの保存) ページの [Select secret type] (シークレットタイプの選択) で、[Other type of secrets] (他の種類のシークレット) を選択します。

キー/値のペア (キーと値のペア) では、プレーンテキスト を選択します。

ボックス内のテキストをすべて消去し、暗号化キーの 値 のみに置き換えます。16 進キーの場合は、キーの長さをチェックして、暗号化タイプに指定された長さと一致することを確認してください。たとえば、AES-256 暗号化キーは 64 桁である必要があります。これは、各桁のサイズが 4 ビットであるためです。

[Select the encryption key] (暗号化キーの選択) は、デフォルト設定の [DefaultEncryptionKey] のままにします。

[Next] (次へ) をクリックします。

[シークレット名] には、後で識別しやすいシークレットの名前を指定します。例えば、2018-12-01_baseball-game-source です。

[Next] (次へ) をクリックします。

[Configure automatic rotation] (自動ローテーションの設定) セクションで、[Disable automatic rotation] (自動ローテーションを有効化する) を選択します。

[Next] (次へ) を選択してから、[Store] (保存) を選択します。

新しいシークレットの詳細ページが表示され、シークレット ARN などの情報が表示されます。

Secrets Manager のシークレット ARN を書き留めます。この情報は、次の手順で必要になります。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

IAM コンソールのナビゲーションペインから、[Policies] (ポリシー) を選択します。

ポリシーを作成 を選択し、JSON タブを選択します。

以下のフォーマットを使用するポリシーを入力します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetResourcePolicy",
        "secretsmanager:GetSecretValue",
        "secretsmanager:DescribeSecret",
        "secretsmanager:ListSecretVersionIds"
      ],
      "Resource": [
        "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes256-7g8H9i"
      ]
    }
  ]
}

Resource セクションでは、各行は作成した異なるシークレットの ARN を表しています。その他の例については、「AWS Secrets Manager のシークレットのためのポリシー例」を参照してください。

[Review policy] (ポリシーの確認) を選択します。

名前 にポリシーの名前を入力します (例: SecretsManagerForMediaConnect)。

[Create policy] (ポリシーを作成) を選択します。

IAM コンソールのナビゲーションペインで [Roles] (ロール) をクリックします。

[Role] (ロール) ページで、[Create role] (ロールの作成) を選択します。

ロールの作成 ページの 信頼されたエンティティのタイプを選択 セクションで、AWSサービス を選択します (デフォルト)。

[Choose the service that will use this role] (このロールを使用するサービスを選択) で、[EC2] を選択します。

EC2 を選択する理由は、現在、AWS Elemental MediaConnect はリストに含まれていないためです。EC2 を選択すると、ロールを作成できます。後の手順で、このロールを変更し、EC2 を MediaConnect に置き換えます。

[Next: Permissions] (次へ: 許可) を選択します。

アクセス権限ポリシーをアタッチする で、事前に作成した IAM ポリシーの名前を入力してください。

SecretsManagerReadWrite の場合は、チェックボックスをオンにして、次へ: レビュー を選択します。

[Role name] (ロール名) に名前を入力します。MediaConnectAccessRole は留保されているため、この名前は使用しないことを強くお勧めします。代わりに、MediaConnect を含み、このロールの目的を説明する名前を使用します (例: MediaConnect-ASM)。

ロールの説明 では、デフォルトのテキストをこのロールの目的の説明に置き換えます。例えば、Allows MediaConnect to view secrets stored in AWS Secrets Manager. などです。

[Create role] (ロールの作成) を選択します。

ページの上部に表示される確認メッセージで、作成したロール名を選択します。

[Trust relationships] (信頼関係) を選択し、[Edit trust policy] (信頼ポリシーの編集) を選択します。

信頼ポリシーの編集 ウィンドウで、JSON を次のように変更します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "mediaconnect.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:mediaconnect:us-west-2:111122223333:flow:*:flow-name"
                }
            }
        }
    ]
}

[Update Trust Policy] (信頼ポリシーの更新) を選択します。

[Summary] (概要) ページで、[Role ARN] (ロール ARN) の値をメモします。以下のような形式です：arn:aws:iam::111122223333:role/MediaConnectASM