AWS Secrets Manager에 대한 대체 사용자 교체 설정

VPC를 생성하려면

1. https://console.aws.amazon.com/vpc/에서 Amazon VPC 콘솔을 엽니다.

2. VPC 생성을 선택합니다.

3. Create VPC(VPC 생성) 페이지에서 VPC 등을 선택합니다.

4. Name tag auto-generation(이름 태그 자동 생성)의 Auto-generate(자동 생성)에서 SecretsManagerTutorial을 입력합니다.

5. DNS options(DNS 옵션)에서 Enable DNS hostnames 및 Enable DNS resolution을 모두 선택합니다.

6. VPC 생성을 선택합니다.

VPC 내에 Secrets Manager 엔드포인트를 생성하려면

1. Amazon VPC 콘솔의 Endpoints(엔드포인트)에서 Create Endpoint(엔드포인트 생성)를 선택합니다.

2. Endpoint settings(엔드포인트 설정)에서 Name(이름)에 SecretsManagerTutorialEndpoint를 입력합니다.

3. Services(서비스)에서 secretsmanager를 입력하여 목록을 필터링한 다음 AWS 리전에서 Secrets Manager 엔드포인트를 선택합니다. 예를 들어 미국 동부(버지니아 북부)에서 com.amazonaws.us-east-1.secretsmanager를 선택합니다.

4. VPC에 vpc**** (SecretsManagerTutorial)를 선택합니다.

5. 서브넷(Subnets)에 가용 영역(Availability Zones)을 모두 선택한 다음 각각에 대해 포함할 서브넷 ID(Subnet ID)를 선택합니다.

6. IP address type(IP 주소 유형)에서 IPv4를 선택합니다.

7. 보안 그룹(Security groups)에서 기본 보안 그룹을 선택합니다.

8. 정책(Policy)에서 Full access를 선택합니다.

9. 엔드포인트 생성(Create endpoint)을 선택합니다.

VPC 내에 Amazon RDS 엔드포인트를 생성하려면

1. Amazon VPC 콘솔의 Endpoints(엔드포인트)에서 Create Endpoint(엔드포인트 생성)를 선택합니다.

2. Endpoint Settings(엔드포인트 설정)에서 Name(이름)에 RDSTutorialEndpoint를 입력합니다.

3. Services(서비스)에서 rds를 입력하여 목록을 필터링한 다음 AWS 리전에서 Amazon RDS 엔드포인트를 선택합니다. 예를 들어 미국 동부(버지니아 북부)에서 com.amazonaws.us-east-1.rds를 선택합니다.

4. VPC에 vpc**** (SecretsManagerTutorial)를 선택합니다.

5. 서브넷(Subnets)에 가용 영역(Availability Zones)을 모두 선택한 다음 각각에 대해 포함할 서브넷 ID(Subnet ID)를 선택합니다.

6. IP address type(IP 주소 유형)에서 IPv4를 선택합니다.

7. 보안 그룹(Security groups)에서 기본 보안 그룹을 선택합니다.

8. 정책(Policy)에서 Full access를 선택합니다.

9. 엔드포인트 생성(Create endpoint)을 선택합니다.

Bastion Host에 대한 EC2 인스턴스를 생성하려면

1. https://console.aws.amazon.com/ec2/에서 Amazon EC2 콘솔을 엽니다.

2. 인스턴스(Instances)를 선택한 다음 인스턴스 시작(Launch Instances)을 선택합니다.

3. Name and tags(이름 및 태그) 아래의 Name(이름)에 SecretsManagerTutorialInstance을 입력하세요.

4. Application and OS Images(애플리케이션 및 OS 이미지)에서 기본값 Amazon Linux 2 AMI (HMV) Kernel 5.10을 유지합니다.

5. Instance type(인스턴스 유형)에서 기본값 t2.micro를 유지합니다.

6. Key pair(키 페어)에서 Create key pair(키 페어 생성)를 선택합니다.

   Create key pair(키 페어 생성) 대화 상자에서 Key pair name(키 페어 이름)에 SecretsManagerTutorialKeyPair를 입력한 다음 Create key pair(키 페어 생성)를 선택합니다.

   키 페어가 자동으로 다운로드됩니다.

7. Network settings(네트워크 설정)에서 Edit(편집)를 선택하고 다음을 수행합니다.

   1. VPC에 vpc-**** SecretsManagerTutorial를 선택합니다.

   2. 퍼블릭 IP 자동 할당(Auto-assign Public IP)에서 Enable을 선택합니다.

   3. Firewall(방화벽)에서 Select existing security group(기존 보안 그룹 선택)을 선택합니다.

   4. Common security groups(일반 보안 그룹)에서 default를 선택합니다.

8. 인스턴스 시작을 선택합니다.

관리자 자격 증명이 포함된 Secrets Manager 암호를 사용하여 Amazon RDS 데이터베이스를 생성하려면

1. Amazon RDS 콘솔에서 Create database(데이터베이스 생성)를 선택합니다.

2. Engine options(엔진 옵션) 섹션의 Engine type(엔진 유형)에서 MySQL을 선택합니다.

3. Templates(템플릿) 섹션에서 Free tier를 선택합니다.

4. Settings(설정) 섹션에서 다음을 수행합니다.

   1. DB instance identifier(DB 인스턴스 식별자)에 SecretsManagerTutorial을 입력합니다.

   2. Credential settings(자격 증명 설정)에서 Manage master credentials in AWS Secrets Manager를 선택합니다.

5. Connectivity(연결성)의 Computer resource(컴퓨터 리소스)에서 Connect to an EC2 computer resource(EC2 컴퓨터 리소스에 연결)를 선택한 다음 EC2 Instance(EC2 인스턴스)에서 SecretsManagerTutorialInstance를 선택합니다.

6. 데이터베이스 생성를 선택합니다.

로컬 컴퓨터가 EC2 인스턴스에 연결하도록 허용하려면

1. https://console.aws.amazon.com/ec2/에서 Amazon EC2 콘솔을 엽니다.

2. EC2 인스턴스 SecretsManagerTutorialInstance의 Security(보안) 탭에 있는 Security groups(보안 그룹)에서 sg-*** (ec2-rds-X)를 선택합니다.

3. Input rules(입력 규칙)에서 Edit inbound rules(인바운드 규칙 편집)를 선택합니다.

4. Add rule(규칙 추가)을 선택하고 규칙에 대해 다음을 수행합니다.

   1. 유형(Type)에서 SSH를 선택합니다.

   2. Source type(소스 유형)에 My IP를 선택합니다.

MySQL Workbench에서 데이터베이스 연결을 생성하려면

1. MySQL Workbench에서 MySQL 연결(MySQL Connections) 옆에 있는 (+) 버튼을 선택합니다.

2. 새 연결 설정(Setup New Connection) 대화 상자에서 다음을 수행합니다.

   1. 연결 이름(Connection Name)에 SecretsManagerTutorial을 입력합니다.

   2. 연결 방법(Connection Method)에서 Standard TCP/IP over SSH를 선택합니다.

   3. 파라미터(Parameters) 탭에서 다음을 수행합니다.

      1. SSH 호스트 이름(SSH Hostname)에 Amazon EC2 인스턴스의 퍼블릭 IP 주소를 입력합니다.

         인스턴스 SecretsManagerTutorialInstance를 선택하여 Amazon EC2 콘솔에서 IP 주소를 찾을 수 있습니다. Public IPv4 DNS 아래에 IP 주소를 복사합니다.

      2. SSH 사용자 이름(SSH Username)에 ec2-user를 입력합니다.

      3. SSH 키파일(SSH Keyfile)에서 이전 사전 조건에서 다운로드한 키 페어 파일 SecretsManagerTutorialKeyPair.pem을 선택합니다.

      4. MySQL 호스트 이름(MySQL Hostname)에 Amazon RDS 엔드포인트 주소를 입력합니다.

         데이터베이스 인스턴스 secretsmanagertutorialdb를 선택하여 Amazon RDS 콘솔에서 엔드포인트 주소를 찾을 수 있습니다. 엔드포인트(Endpoint) 아래에 주소를 복사합니다.

      5. 사용자 이름(Username)에 admin을 입력합니다.

   4. 확인(OK)을 선택합니다.

관리자 암호를 검색하려면

1. Amazon RDS 콘솔에서 데이터베이스로 이동합니다.

2. Configuration(구성) 탭의 Master Credentials ARN(마스터 자격 증명 ARN)에서 Manage in Secrets Manager(Secrets Manager에서 관리)를 선택합니다.

   Secrets Manager 콘솔이 열립니다.

3. 보안 암호 세부 정보 페이지에서 Retrieve secret value(보안 암호 값 검색)를 선택합니다.

4. 암호가 Secret value(암호 값) 섹션에 표시됩니다.

데이터베이스 사용자를 생성하려면

1. MySQL Workbench에서 SecretsManagerTutorial 연결을 선택합니다.

2. 암호에서 검색한 관리자 암호를 입력합니다.

3. MySQL Workbench의 Query(쿼리) 창에서 다음 명령(강력한 암호 포함)을 입력한 다음 Execute(실행)를 선택합니다. 교체 함수는 SELECT를 사용하여 업데이트된 보안 암호를 테스트하므로, appuser에는 최소한 해당 권한이 있어야 합니다.

   CREATE DATABASE myDB;
   CREATE USER 'appuser'@'%' IDENTIFIED BY 'EXAMPLE-PASSWORD';
   GRANT SELECT ON myDB . * TO 'appuser'@'%';

   출력(Output) 창에서 명령이 성공한 것을 볼 수 있습니다.

1. https://console.aws.amazon.com/secretsmanager/에서 Secrets Manager 콘솔을 엽니다.

2. Store a new secret(새 보안 암호 저장)을 선택합니다.

3. 보안 암호 유형 선택(Choose secret type) 페이지에서 다음을 수행합니다.

   1. 보안 암호 유형(Secret type)에서 Amazon RDS 데이터베이스에 대한 자격 증명(Credentials for Amazon RDS database)을 선택합니다.

   2. 자격 증명(Credentials)에서 사용자 이름 appuser와 MySQL Workbench를 사용하여 생성한 데이터베이스 사용자에 대해 입력한 암호를 입력합니다.

   3. 데이터베이스(Database)에서 secretsmanagertutorialdb를 선택합니다.

   4. Next(다음)를 선택합니다.

4. 보안 암호 구성(Configure secret) 페이지에서 보안 암호 이름(Secret name)에 SecretsManagerTutorialAppuser를 입력한 후 다음(Next)을 선택합니다.

5. 교체 구성(Configure rotation) 페이지에서 다음을 수행합니다.

   1. Automatic rotation(자동 교체)을 켭니다.

   2. 교체 일정(Rotation schedule)에서 일(Days): 2일, 기간(Duration): 2h의 일정을 설정합니다. 즉시 교체(Rotate immediately)를 선택합니다.

   3. 교체 함수(Rotation function)에서 교체 함수 생성(Create a rotation function)을 선택한 다음 함수 이름에 tutorial-alternating-users-rotation을 입력합니다.

   4. 교체 전략에서 대체 사용자를 선택한 다음 관리자 보안 인증 정보 암호에서 이 자습서에서 생성한 데이터베이스의 이름 secretsmanagertutorial을 포함하는 설명이 있는(예: Secret associated with primary RDS DB instance: arn:aws:rds:Region:AccountId:db:secretsmanagertutorial) rds!cluster...라는 이름의 암호를 선택합니다.

   5. 다음(Next)을 선택합니다.

6. 검토(Review) 페이지에서 시작(Store)을 선택합니다.

   Secrets Manager 보안 암호 세부 정보 페이지로 돌아갑니다. 페이지 상단에서 교체 구성 상태를 확인할 수 있습니다. Secrets Manager는 CloudFormation을 사용하여 Lambda 교체 함수 및 Lambda 함수를 실행하는 실행 역할과 같은 리소스를 생성합니다. CloudFormation이 완료되면 배너가 보안 암호 교체 예약됨(Secret scheduled for rotation)으로 변경됩니다. 첫 번째 교체가 완료되었습니다.

보안 암호에서 새 암호를 검색하려면

1. https://console.aws.amazon.com/secretsmanager/에서 Secrets Manager 콘솔을 엽니다.

2. 보안 암호(Secrets)를 선택한 다음 보안 암호 SecretsManagerTutorialAppuser를 선택합니다.

3. 보안 암호 세부 정보(Secret details) 페이지를 아래로 스크롤하고 보안 암호 값 검색(Retrieve secret value)을 선택합니다.

4. 키/값(Key/value) 테이블에서 password에 대한 보안 암호 값(Secret value)을 복사합니다.

자격 증명을 테스트하려면

1. MySQL Workbench에서 SecretsManagerTutorial 연결을 마우스 오른쪽 버튼으로 클릭한 다음 연결 편집(Edit Connection)을 선택합니다.

2. 서버 연결 관리(Manage Server Connections) 대화 상자에서 사용자 이름(Username)에 appuser를 입력한 다음 닫기(Close)를 선택합니다.

3. MySQL Workbench로 돌아가서 SecretsManagerTutorial 연결을 선택합니다.

4. SSH 연결 열기(Open SSH Connection) 대화 상자에서 암호(Password)에 보안 암호에서 검색한 암호를 붙여넣은 다음 확인(OK)을 선택합니다.

   자격 증명이 유효한 경우 MySQL Workbench가 데이터베이스의 디자인 페이지에 열립니다.