Criação ou atualização de uma fonte de dados com credenciais secretas usando a API QuickSight

Depois que o QuickSight administrador conceder acesso QuickSight somente de leitura ao Secrets Manager, você poderá criar e atualizar fontes de dados na API usando um segredo que o administrador selecionou como credenciais.

Veja a seguir um exemplo de chamada de API para criar uma fonte de dados em QuickSight. Este exemplo usa a operação de API create-data-source. Também é possível usar a operação update-data-source. Para obter mais informações, consulte CreateDataSourcee UpdateDataSourcena Amazon QuickSight API Reference.

O usuário especificado nas permissões no exemplo de chamada de API a seguir pode excluir, visualizar e editar fontes de dados da fonte de dados MySQL especificada em. QuickSight O usuário também pode visualizar e atualizar as permissões da fonte de dados. Em vez de um QuickSight nome de usuário e senha, um ARN secreto é usado como credencial para a fonte de dados.

aws quicksight create-data-source 
    --aws-account-id AWSACCOUNTID \ 
    --data-source-id DATASOURCEID \
    --name NAME \
    --type MYSQL \
    --permissions '[{"Principal": "arn:aws:quicksight:region:accountID:user/namespace/username", "Actions": ["quicksight:DeleteDataSource", "quicksight:DescribeDataSource", "quicksight:DescribeDataSourcePermissions", "quicksight:PassDataSource", "quicksight:UpdateDataSource", "quicksight:UpdateDataSourcePermissions"]}]' \
    --data-source-parameters='{"MySQLParameters":{"Database": "database", "Host":"hostURL", "Port":"port"}}' \
    --credentials='{"SecretArn":"arn:aws:secretsmanager:region:accountID:secret:secretname"}' \
    --region us-west-2

Nessa chamada, QuickSight autoriza o secretsmanager:GetSecretValue acesso ao segredo com base na política do IAM do chamador da API, não na política da função de serviço do IAM. O perfil de serviço do IAM atua no nível da conta e é usado quando uma análise ou painel é visualizado por um usuário. Ele não pode ser usado para autorizar o acesso do segredo quando um usuário cria ou atualiza a fonte de dados.

Quando editam uma fonte de dados na QuickSight interface do usuário, os usuários podem visualizar o ARN secreto das fontes de dados usadas AWS Secrets Manager como tipo de credencial. No entanto, eles não podem editar o segredo nem selecionar um diferente. Se precisarem fazer alterações, por exemplo, no servidor ou na porta do banco de dados, os usuários precisam primeiro escolher o par de credenciais e inserir o nome de usuário e a senha QuickSight da conta.

Os segredos são removidos automaticamente de uma fonte de dados quando ela é alterada na interface do usuário. Para restaurar o segredo na fonte de dados, use a operação de API update-data-source.