As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configuração AWS Secrets Manager autenticação de token de acesso

Quando você quiser usar AWS Secrets Manager autenticação de token de acesso, você executa as seguintes etapas:

A seção a seguir fornece step-by-step orientação sobre como configurar AWS Secrets Manager autenticação por token de acesso.

Etapa 1: criar um AWS KMS chave simétrica gerenciada pelo cliente

Você usa AWS Secrets Manager para armazenar seu token de acesso na forma de um token SecretString armazenado em segredo. O SecretString é criptografado por meio do uso de um AWS KMS chave simétrica gerenciada pelo cliente que você cria, possui e gerencia. MediaTailor usa a chave simétrica gerenciada pelo cliente para facilitar o acesso ao segredo com uma concessão e para criptografar e descriptografar o valor secreto.

As chaves gerenciadas pelo cliente permitem que você execute tarefas como as seguintes:

Você pode criar um AWS KMS chave simétrica gerenciada pelo cliente usando o AWS Management Console ou programaticamente com o AWS KMS APIs.

Para criar uma chave simétrica gerenciada pelo cliente

Siga as etapas para criar uma chave simétrica gerenciada pelo cliente no AWS Key Management Service Guia do desenvolvedor.

Anote a chave Amazon Resource Name (ARN); você precisará delaEtapa 2: criar um AWS Secrets Manager secret.

Contexto de criptografia

Um contexto de criptografia é um conjunto opcional de pares chave-valor que pode conter informações contextuais adicionais sobre os dados.

O Secrets Manager inclui um contexto de criptografia ao criptografar e descriptografar o. SecretString O contexto de criptografia inclui o segredoARN, o que limita a criptografia a esse segredo específico. Como medida adicional de segurança, MediaTailor cria um AWS KMS conceda em seu nome. MediaTailor aplica uma GrantConstraintsoperação que só nos permite descriptografar o SecretString associado ao segredo ARN contido no contexto de criptografia do Secrets Manager.

Para obter informações sobre como o Secrets Manager usa o contexto de criptografia, consulte o tópico Contexto de criptografia no AWS Key Management Service Guia do desenvolvedor.

Definindo a política principal

As políticas de chaves controlam o acesso à chave gerenciada pelo cliente. Cada chave gerenciada pelo cliente deve ter exatamente uma política de chaves, que contém declarações que determinam quem pode usar a chave e como pode usá-la. Ao criar sua chave gerenciada pelo cliente, você pode usar a política de chaves padrão. Para obter mais informações, consulte Autenticação e controle de acesso para AWS KMSno AWS Key Management Service Guia do desenvolvedor.

Para usar sua chave gerenciada pelo cliente com seus recursos de localização de MediaTailor origem, você deve dar permissão ao IAM diretor que liga CreateSourceLocationou UpdateSourceLocationusar as seguintes API operações:

Veja a seguir um exemplo de declaração de política que você pode adicionar para MediaTailor:

{
        "Sid": "Enable MediaTailor Channel Assembly access token usage for the MediaTailorManagement IAM role",
        "Effect": "Allow",
        "Principal": {
        "AWS": "arn:aws:iam::account number:role/MediaTailorManagement"
    },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:ViaService": "mediatailor.region.amazonaws.com"
        }
    }
}

Para obter mais informações sobre como especificar permissões em uma política e solucionar problemas de acesso por chave, consulte Concessões em AWS KMSno AWS Key Management Service Guia do desenvolvedor.

Etapa 2: criar um AWS Secrets Manager secret

Use o Secrets Manager para armazenar seu token de acesso na forma de um SecretString que é criptografado por um AWS KMS chave gerenciada pelo cliente. MediaTailorusa a chave para descriptografar o. SecretString Para obter informações sobre como o Secrets Manager usa AWS KMS para proteger segredos, consulte o tópico Como AWS Secrets Manager uses AWS KMS no AWS Key Management Service Guia do desenvolvedor.

Se você usa AWS Elemental MediaPackage como origem do local de origem e gostaria de usar a autenticação por token de acesso do MediaTailor Secrets Manager, siga o procedimentoIntegração com MediaPackage endpoints que usam autorização CDN.

Você pode criar um segredo do Secrets Manager usando o AWS Management Console ou programaticamente com o Secrets Manager. APIs

Para criar um segredo

Siga as etapas para Criar e gerenciar segredos com AWS Secrets Manager no AWS Secrets Manager Guia do usuário.

Lembre-se das seguintes considerações ao criar seu segredo:

Anexando uma política secreta baseada em recursos

Para permitir o MediaTailor acesso ao valor secreto, você deve anexar uma política baseada em recursos ao segredo. Para obter mais informações, consulte Anexar uma política de permissões a um AWS Secrets Manager Segredo no AWS Secrets Manager Guia do usuário.

Veja a seguir um exemplo de declaração de política que você pode adicionar para MediaTailor:

{

    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "mediatailor.amazonaws.com" 
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "<secret ARN" 
        } 
    ] 

}

Etapa 3: Configurar um local MediaTailor de origem com autenticação de token de acesso

Você pode configurar a autenticação do token de acesso do Secrets Manager usando o AWS Management Console ou programaticamente com o. MediaTailor APIs

Para configurar um local de origem com a autenticação de token de acesso do Secrets Manager

Siga as Access configuration etapas do AWS Elemental MediaTailor Guia do usuário.