本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

配置 AWS Secrets Manager 访问令牌身份验证

当你想使用时 AWS Secrets Manager 访问令牌身份验证，请执行以下步骤：

以下部分提供有关如何配置的 step-by-step 指导 AWS Secrets Manager 访问令牌身份验证。

步骤 1：创建一个 AWS KMS 对称客户托管密钥

你用 AWS Secrets Manager 以存储在机密中的形式SecretString存储您的访问令牌。SecretString是通过使用加密的 AWS KMS 您创建、拥有和管理的对称客户托管密钥。 MediaTailor 使用对称的客户托管密钥来简化对密钥的访问（通过授权），并加密和解密密密钥值。

客户托管密钥允许您执行以下任务：

你可以创建一个 AWS KMS 使用对称的客户托管密钥 AWS Management Console 或者以编程方式使用 AWS KMS APIs.

创建对称的客户托管密钥

按照中创建对称客户托管密钥的步骤进行操作 AWS Key Management Service 开发者指南。

记下关键的 Amazon 资源名称 (ARN)；你需要它步骤 2：创建一个 AWS Secrets Manager secret。

加密上下文

加密上下文是一组可选的键值对，包含有关数据的其他上下文信息。

Secrets Manager 在加密和解密时包含加密上下文。SecretString加密上下文包括密钥ARN，该密钥将加密限制在该特定机密范围内。作为额外的安全衡量标准， MediaTailor 创建了一个 AWS KMS 代表您授予。 MediaTailor 应用的GrantConstraints操作仅允许我们解密与 Sec rets Manager 加密上下ARN文中包含的密钥SecretString关联的内容。

有关 Secrets Manager 如何使用加密上下文的信息，请参阅中的加密上下文主题 AWS Key Management Service 开发者指南。

设置密钥策略

密钥策略控制对客户托管密钥的访问。每个客户托管式密钥必须只有一个密钥政策，其中包含确定谁可以使用密钥以及如何使用密钥的声明。创建客户托管密钥时，您可以使用默认密钥策略。有关更多信息，请参阅身份验证和访问控制 AWS KMS在 AWS Key Management Service 开发者指南。

要将您的客户托管密钥与您的 MediaTailor 来源位置资源一起使用，您必须向调用CreateSourceLocation或UpdateSourceLocation使用以下API操作的IAM委托人授予权限：

以下是您可以为其添加的策略声明示例 MediaTailor：

{
        "Sid": "Enable MediaTailor Channel Assembly access token usage for the MediaTailorManagement IAM role",
        "Effect": "Allow",
        "Principal": {
        "AWS": "arn:aws:iam::account number:role/MediaTailorManagement"
    },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:ViaService": "mediatailor.region.amazonaws.com"
        }
    }
}

有关在策略中指定权限和对密钥访问进行故障排除的更多信息，请参阅中的 Gr ants AWS KMS在 AWS Key Management Service 开发者指南。

步骤 2：创建一个 AWS Secrets Manager secret

使用 Secrets Manager 以由加密SecretString的形式存储您的访问令牌 AWS KMS 客户管理的密钥。 MediaTailor使用密钥来解密。SecretString有关 Secrets Manager 如何使用的信息 AWS KMS 要保护机密，请参阅主题 “如何” AWS Secrets Manager uses AWS KMS中的 AWS Key Management Service 开发者指南。

如果你使用 AWS Elemental MediaPackage 作为您的源位置来源，并且想要使用 S MediaTailor ecrets Manager 访问令牌进行身份验证，请按照以下步骤操作与使用CDN授权的 MediaPackage 端点集成。

你可以使用创建 Secrets Manager 密钥 AWS Management Console 或者使用 Secrets Manager APIs 以编程方式使用。

创建密钥

按照创建和管理密钥的步骤进行操作 AWS 里面的 Secret s Manager AWS Secrets Manager 用户指南。

创建密钥时，请记住以下注意事项：

附加基于资源的密钥策略

要允许 MediaTailor 访问密钥值，您必须将基于资源的策略附加到该密钥。有关更多信息，请参阅将权限策略附加到 AWS Secrets Manager 中的秘密 AWS Secrets Manager 用户指南。

以下是您可以为其添加的策略声明示例 MediaTailor：

{

    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "mediatailor.amazonaws.com" 
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "<secret ARN" 
        } 
    ] 

}

步骤 3：使用访问令牌身份验证配置 MediaTailor 源位置

你可以使用 Secrets Manager 访问令牌身份验证 AWS Management Console 或者以编程方式使用. MediaTailor APIs

使用 Secrets Manager 访问令牌身份验证配置源位置

按照Access configuration中的步骤操作 AWS Elemental MediaTailor 用户指南。