Configurar alternância de usuários alternados para o AWS Secrets Manager

Para criar uma VPC

1. Abra o console da Amazon VPC em https://console.aws.amazon.com/vpc/.

2. Escolha Criar VPC.

3. Na página Create VPC (Criar VPC), escolha VPC and more (VPC e muito mais).

4. Em Name tag auto-generation (Geração automática de tags de nome), em Auto-generate (Gerar automaticamente), insira SecretsManagerTutorial.

5. Em DNS options (Opções de DNS), escolha Enable DNS hostnames e Enable DNS resolution.

6. Escolha Criar VPC.

Para criar um endpoint do Secrets Manager na VPC

1. No console do Amazon VPC, em Endpoints, escolha Create Endpoint (Criar endpoint).

2. Em Endpoint settings (Configurações de endpoint), em API Name (Nome da API), insira SecretsManagerTutorialEndpoint.

3. Em Services (Serviços), insira secretsmanager para filtrar a lista e, em seguida, selecione o endpoint do Secrets Manager na sua Região da AWS. Por exemplo, no Leste dos EUA (Norte da Virgínia), escolha com.amazonaws.us-east-1.secretsmanager.

4. Em VPC, escolha vpc**** (SecretsManagerTutorial).

5. Em Sub-redes, selecione todas as Availability Zones (Zonas de disponibilidade) e, em seguida, para cada uma, escolha um Subnet ID (ID de sub-rede) para incluir.

6. Em IP address type (Tipo de endereço IP), escolha IPv4.

7. Em Security groups (Grupos de segurança), escolha o grupo de segurança padrão.

8. Em Policy (Política), selecione Full access.

9. Escolha Criar endpoint.

Para criar um endpoint do Amazon RDS na VPC

1. No console do Amazon VPC, em Endpoints, escolha Create Endpoint (Criar endpoint).

2. Em Endpoint settings (Configurações de endpoint), em API Name (Nome da API), insira RDSTutorialEndpoint.

3. Em Services (Serviços), insira rds para filtrar a lista e, em seguida, selecione o endpoint do Amazon RDS na sua Região da AWS. Por exemplo, no Leste dos EUA (Norte da Virgínia), escolha com.amazonaws.us-east-1.rds.

4. Em VPC, escolha vpc**** (SecretsManagerTutorial).

5. Em Sub-redes, selecione todas as Availability Zones (Zonas de disponibilidade) e, em seguida, para cada uma, escolha um Subnet ID (ID de sub-rede) para incluir.

6. Em IP address type (Tipo de endereço IP), escolha IPv4.

7. Em Security groups (Grupos de segurança), escolha o grupo de segurança padrão.

8. Em Policy (Política), selecione Full access.

9. Escolha Criar endpoint.

Para criar uma instância do EC2 para um bastion host

1. Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

2. Escolha Instances (Instâncias) e, em seguida, escolha Launch Instances (Iniciar instâncias).

3. Em Name and tags (Nome e etiquetas), em Name (Nome), insira SecretsManagerTutorialInstance.

4. Em Application and OS Images (Imagens do aplicativo e do sistema operacional), mantenha o padrão Amazon Linux 2 AMI (HMV) Kernel 5.10.

5. Em Instance type (Tipo de instância), mantenha o padrão t2.micro.

6. Em Key pair (Par de chaves), escolha Create key pair (Criar par de chaves).

   Na caixa de diálogo Create Key Pair (Criar par de chaves), em Key pair name (Nome do par de chaves), insira SecretsManagerTutorialKeyPair e selecione Create key pair (Criar par de chaves).

   O download do par de chaves será realizado automaticamente.

7. Em Network settings (Configurações da rede), escolha Edit (Editar), e faça o seguinte:

   1. Em VPC, escolha vpc-**** SecretsManagerTutorial.

   2. Em Auto-assign Public IP (Atribuir IP público automaticamente), selecione Enable.

   3. Em Firewall, escolha Select existing security group (Selecionar grupo de segurança existente).

   4. Em Common security groups (Grupos de segurança comuns), escolha default.

8. Escolha Iniciar instância.

Para criar um banco de dados Amazon RDS com um segredo do Secrets Manager que contém as credenciais de administrador

1. No console do Amazon RDS, escolha Create database (Criar banco de dados).

2. Na seção Engine options (Opções de mecanismo), em Engine type (Tipo de mecanismo), escolha MySQL.

3. Na seção Templates (Modelos), escolha Free tier.

4. Na seção Settings (Configurações), faça o seguinte:

   1. Para DB instance identifier (Identificador de instância de banco de dados), insira SecretsManagerTutorial.

   2. Em Credential settings (Configurações de credenciais), selecione Manage master credentials in AWS Secrets Manager (Gerenciar credenciais principais em).

5. Na seção Connectivity (Conectividade), em Computer resource (Recurso do computador), escolha Connect to an EC2 computer resource (Conectar a um recurso de computador do EC2) e, em seguida, em EC2 Instance (Instância do EC2), escolha SecretsManagerTutorialInstance.

6. Selecione Criar banco de dados.

Para permitir que seu computador local se conecte à instância do EC2

1. Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

2. Na instância do EC2 SecretsManagerTutorialInstance, na guia Security (Segurança), em Security groups (Grupos de segurança), escolha sg-*** (ec2-rds-X).

3. Em Input Rules (Regras de entrada), selecione Edit inbound rules (Editar regras de entrada).

4. Selecione Add Rule (Adicionar regra) e, na regra, e faça o seguinte:

   1. Em Type (Tipo), escolha SSH.

   2. Em Source type (Tipo de fonte), selecione My IP.

Para criar uma conexão de banco de dados no MySQL Workbench

1. No MySQL Workbench, ao lado de MySQL Connections (Conexões do MySQL), escolha o botão (+).

2. Na caixa de diálogo Setup New Connection (Configurar uma nova conexão), faça o seguinte:

   1. Em Connection Name (Nome da conexão), insira SecretsManagerTutorial.

   2. Em Connection Method (Método de conexão), escolha Standard TCP/IP over SSH.

   3. Na guia Parameters (Parâmetros), faça o seguinte:

      1. Em SSH Hostname (Nome do host de SSH), insira o endereço IP público da instância do Amazon EC2.

         Você pode encontrar o endereço IP no console do Amazon EC2 escolhendo a instância SecretsManagerTutorialInstance. Copie o endereço IP em Public IPv4 DNS (DNS IPv4 público).

      2. Em SSH Username (Nome de usuário do SSH), insira ec2-user.

      3. Em SSH Keyfile (Arquivo de chave do SSH), escolha o arquivo do par de chaves SecretsManagerTutorialKeyPair.pem que você baixou no pré-requisito anterior.

      4. Em MySQL Hostname (Nome do host do MySQL), insira o endereço do endpoint do Amazon RDS.

         Você pode encontrar o endereço do endpoint no console do Amazon RDS escolhendo a instância do banco de dados secretsmanagertutorialdb. Copie o endereço em Endpoint.

      5. Em Username (Nome do usuário), insira admin.

   4. Escolha OK.

Para recuperar a senha do administrador

1. No Console do Amazon RDS, navegue até o seu banco de dados.

2. Na guia Configuration (Configuração), em Master Credentials ARN (ARN das credenciais principais), escolha Manage in Secrets Manager (Gerenciar no Secrets Manager).

   O Console do Secrets Manager é aberto.

3. Na página de detalhes do seu segredo, escolha Retrieve secret value (Recuperar valor do segredo).

4. A senha aparece na seção Secret value (Valor do segredo).

Para criar um usuário de banco de dados

1. No MySQL Workbench, escolha a conexão SecretsManagerTutorial.

2. Digite a senha de administrador que você recuperou do segredo.

3. Em MySQL Workbench, na janela Query (Consultar), insira os seguintes comandos (incluindo uma senha forte) e, depois, escolha Execute (Executar). A função de alternância testa o segredo atualizado usando SELECT, portanto, appuser deve ter esse privilégio, no mínimo.

   CREATE DATABASE myDB;
   CREATE USER 'appuser'@'%' IDENTIFIED BY 'EXAMPLE-PASSWORD';
   GRANT SELECT ON myDB . * TO 'appuser'@'%';

   Na janela Output (Saída), você verá os comandos com êxito.

1. Abra o console Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

2. Selecione Armazenar um novo segredo.

3. Na página Choose secret type (Selecionar tipo de segredo), faça o seguinte:

   1. Em Secret type (Tipo de segredo), escolha Credentials for Amazon RDS database (Credenciais para o banco de dados do Amazon RDS).

   2. Em Credentials (Credenciais), insira o nome do usuário appuser e a senha inserida para o usuário do banco de dados que você criou usando o MySQL Workbench.

   3. Em Database (Banco de dados), escolha secretsmanagertutorialdb.

   4. Escolha Próximo.

4. Na página Configure secret (Configurar segredo) , em Secret name (Nome de segredo), insira SecretsManagerTutorialAppuser e, depois, escolha Next (Próximo).

5. Na página Configure rotation (Configurar alternância), faça o seguinte:

   1. Ative a Automatic rotation (Alternância automática).

   2. Em Rotation schedule (Programação da alternância), defina uma programação de Days (Dias):2 dias com Duration (Duração): 2h. Mantenha Rotate immediately (Alternar imediatamente) selecionado.

   3. Em Rotation function (Função de alternância), escolha Create a rotation function (Criar uma função de alternância), e, em seguida, para nome da função, insira tutorial-alternating-users-rotation.

   4. Em Estratégia de alternância, escolha Usuários alternados e, em Segredo da credencial do administrador, escolha o segredo com o nome rds!cluster... e cuja Descrição inclui o nome do banco de dados que você criou neste tutorial secretsmanagertutorial, por exemplo, Secret associated with primary RDS DB instance: arn:aws:rds:Region:AccountId:db:secretsmanagertutorial.

   5. Escolha Próximo.

6. Na página Review (Análise), escolha Store (Armazenar).

   O Secrets Manager retorna à página de detalhes do segredo. Na parte superior da página, você pode ver o status da configuração de alternância. O Secrets Manager usa o CloudFormation para criar recursos como a função de alternância do Lambda e uma função de execução que executa a função Lambda. Quando o CloudFormation termina, o banner muda para Secret scheduled for rotation (Segredo programado para alternância). A primeira alternância está completa.

Para recuperar a nova senha do segredo

1. Abra o console do Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

2. Escolha Secrets (Segredos) e, em seguida, escolha o segredo SecretsManagerTutorialAppuser.

3. Na página Secret details (Detalhes do segredo), role para baixo e escolha Retrieve secret value (Recuperar valor do segredo).

4. Na tabela Key/value (Chave/valor), copie o Secret value (Valor do segredo) para password.

Para testar as credenciais

1. No MySQL Workbench, clique com o botão direito do mouse na conexão SecretsManagerTutorial e, depois, escolha Edit Connection (Editar conexão).

2. Na caixa de diálogo Manage Server Connections (Gerenciar conexões do servidor), em Username (Nome do usuário), insira appuser e, depois, escolha Close (Fechar).

3. De volta ao MySQL Workbench, escolha a conexão SecretsManagerTutorial.

4. Na caixa de diálogo Open SSH Connection (Abrir conexão de SSH), em Password (Senha), cole a senha que você recuperou do segredo e escolha OK.

   Se as credenciais forem válidas, o MySQL Workbench será aberto na página de design do banco de dados.