設定交替使用者輪換 AWS Secrets Manager

若要建立 VPC

1. 在打開 Amazon VPC 控制台https://console.aws.amazon.com/vpc/。

2. 選擇 [建立] VPC。

3. 在 [建立 VPC] 頁面上，選擇VPC其他項目。

4. 在 Name tag auto-generation (自動產生名稱標籤) 的 Auto-generate (自動產生) 中，輸入 SecretsManagerTutorial。

5. 對於DNS選項，請同時選擇Enable DNS hostnames和Enable DNS resolution。

6. 選擇 [建立] VPC。

若要在中建立 Secrets Manager 端點 VPC

1. 在 Amazon 主VPC控台的端點下，選擇建立端點。

2. 在 Endpoint settings (端點設定) 中，針對 Name (名稱) 輸入 SecretsManagerTutorialEndpoint。

3. 在 [服務] 下，輸入secretsmanager以篩選清單，然後在您的 [ AWS 區域。 例如，在美國東部 (維吉尼亞北部)，選擇com.amazonaws.us-east-1.secretsmanager。

4. 對於 VPC，選擇vpc**** (SecretsManagerTutorial)。

5. 對於 Subnets (子網路)，選取所有 Availability Zones (可用區域)，然後針對每個選項選擇一個要包含的 Subnet ID (子網路 ID)。

6. 對於 IP address type (IP 地址類型)，請選擇 IPv4。

7. 對於 Security Groups (安全群組)，請選擇預設的安全群組。

8. 對於 Policy (政策)，請選擇 Full access。

9. 選擇建立端點。

若 RDS Amazon 在 VPC

1. 在 Amazon 主VPC控台的端點下，選擇建立端點。

2. 在 Endpoint settings (端點設定) 中，針對 Name (名稱) 輸入 RDSTutorialEndpoint。

3. 在「服務」下，輸入rds以篩選清單，然後RDS在您的 AWS 區域。 例如，在美國東部 (維吉尼亞北部)，選擇com.amazonaws.us-east-1.rds。

4. 對於 VPC，選擇vpc**** (SecretsManagerTutorial)。

5. 對於 Subnets (子網路)，選取所有 Availability Zones (可用區域)，然後針對每個選項選擇一個要包含的 Subnet ID (子網路 ID)。

6. 對於 IP address type (IP 地址類型)，請選擇 IPv4。

7. 對於 Security Groups (安全群組)，請選擇預設的安全群組。

8. 對於 Policy (政策)，請選擇 Full access。

9. 選擇建立端點。

建立防禦主機的EC2執行處理

1. 在打開 Amazon EC2 控制台https://console.aws.amazon.com/ec2/。

2. 選擇 Instances (執行個體)，然後選擇 Launch Instances (啟動執行個體)。

3. 在 Name and tags (名稱與標籤) 下，對於 Name (名稱)，輸入 SecretsManagerTutorialInstance。

4. 在 Application and OS Images (應用程式和作業系統映像) 中，保留預設值 Amazon Linux 2 AMI (HMV) Kernel 5.10。

5. 在 Instance type (執行個體類型) 中，保留預設值 t2.micro。

6. 在 Key pair (金鑰對) 中，選擇 Create key pair (建立金鑰對)。

   在 Create Key Pair (建立金鑰對) 對話方塊中，針對 Key pair name (金鑰對名稱) 輸入 SecretsManagerTutorialKeyPair，然後選擇 Create key pair (建立金鑰對)。

   系統會自動下載該金鑰對。

7. 在 Network settings (網路設定) 中，選擇 Edit (編輯)，接著執行下列動作：

   1. 對於 VPC，選擇vpc-**** SecretsManagerTutorial。

   2. 在 Auto-assign Public IP (自動指派公有 IP) 中，選擇 Enable。

   3. 對於 Firewall (防火牆)，請選擇 Select existing security group (選取現有的安全群組)。

   4. 對於 Common security groups (常見安全群組)，請選擇 default。

8. 選擇啟動執行個體。

使用包含管理員登入RDS資料的 Secrets Manager 秘密建立 Amazon 資料庫

1. 在 Amazon 主RDS控台中，選擇 [建立資料庫]。

2. 在 Engine options (引擎選項) 區段中，針對 Engine type (引擎類型) 選擇 MySQL。

3. 在 Templates (範本) 區段中，選擇 Free tier。

4. 在 Settings (設定) 區段中，執行下列動作：

   1. 對於 DB instance identifier (資料庫執行個體識別符)，請輸入 SecretsManagerTutorial。

   2. 在 [認證設定] 下，選取 [管理主要認證 AWS Secrets Manager.

5. 在 [連線] 區段中，對於 [電腦資源]，選擇 [Connect 線到電EC2腦資源]，然後選擇 [EC2執行個體] SecretsManagerTutorialInstance。

6. 選擇建立資料庫。

允許本機電腦連線至EC2執行個體

1. 在打開 Amazon EC2 控制台https://console.aws.amazon.com/ec2/。

2. 在EC2執行個體SecretsManagerTutorialInstance的 [安全性] 索引標籤的 [安全性群組] 下方，選擇sg-*** (ec2-rds-X)。

3. 在 Inbound Rules (傳入規則) 中，選擇 Edit inbound rules (編輯傳入規則)。

4. 選擇 Add rule (新增規則)，然後針對該規則執行下列動作：

   1. 針對 Type (類型)，選擇 SSH。

   2. 針對 Source type (來源類型)，選擇 My IP。

在 SQL「我的工作台」中建立資料庫連線

1. 在 [我的SQL工作台] 中，選擇 [我的SQL連線] 旁邊的 [(+)] 按鈕。

2. 在 Setup New Connection (設定新連線) 對話方塊中，請執行下列動作：

   1. 對於 Connection Name (連線名稱)，請輸入 SecretsManagerTutorial。

   2. 對於 Connection Method (連線方法)，請選擇 Standard TCP/IP over SSH。

   3. 在 Parameters (參數) 索引標籤上，請執行下列動作︰

      1. 在SSH主機名稱中，輸入 Amazon EC2 執行個體的公有 IP 地址。

         您可以選擇執行個體，在 Amazon EC2 主控台上找到 IP 位址SecretsManagerTutorialInstance。複製下公共的 IP 地址IPv4DNS。

      2. 對於SSH使用者名稱，輸入ec2-user。

      3. 針對金SSH鑰檔案，請選擇您在上一個先決條件中下載的 key pair 檔案 SecretsManagerTutorialKeyPair.pem。

      4. 在「我的SQL主機名稱」中，輸入 Amazon RDS 端點位址。

         您可以在 Amazon RDS 控制台上找到端點地址，方法是選擇數據庫實例秘密教程程序數據庫。在 Endpoint (端點) 下複製地址。

      5. 對於 User name (使用者名稱)，請輸入 admin。

   4. 選擇確定。

擷取管理員密碼

1. 在 Amazon 主RDS控台中，導覽至您的資料庫。

2. 在組態索引標籤的主要認證下ARN，選擇在 Secrets Manager 中管理。

   Secrets Manager 主控台隨即開啟。

3. 在秘密詳細資訊頁面上，選擇 Retrieve secret value (擷取秘密值)。

4. 密碼會顯示在 Secret value (秘密值) 區段。

建立資料庫使用者

1. 在 [我的SQL工作台] 中，選擇連線SecretsManagerTutorial。

2. 輸入您從秘密中擷取的管理員密碼。

3. 在 [我的SQL工作台] 的 [查詢] 視窗中，輸入下列命令 (包括強式密碼)，然後選擇 [執行]。輪換函數通過使用測試更新的密碼SELECT，因此appuser必須至少具有該權限。

   CREATE DATABASE myDB;
   CREATE USER 'appuser'@'%' IDENTIFIED BY 'EXAMPLE-PASSWORD';
   GRANT SELECT ON myDB . * TO 'appuser'@'%';

   在 Output (輸出) 視窗中，您會看到命令已成功。

1. 開啟 Secrets Manager 主控台，位於https://console.aws.amazon.com/secretsmanager/。

2. 選擇儲存新機密。

3. 在 Choose secret type (選擇秘密類型) 頁面上，執行下列動作：

   1. 針對機密類型，選擇 Amazon RDS 資料庫的登入資料。

   2. 在「身份證明」中，輸入您為使用 My SQL Workbench 建立的資料庫使用者輸入的使用者名稱appuser和密碼。

   3. 對於 Database (資料庫)，請選擇 secretsmanagertutorialdb。

   4. 選擇 Next (下一步)。

4. 在 Configure secret (設定秘密) 頁面上，對於 Secret name (秘密名稱)，請輸入 SecretsManagerTutorialAppuser，然後選擇 Next (下一步)。

5. 在 Configure rotation (設定輪換) 頁面上，執行下列動作：

   1. 開啟 Automatic rotation (自動輪換)。

   2. 對於 Rotation schedule (輪換排程)，將排程設定為 Days (天數) ︰2 Duration (持續時間)︰2h。保持選取 Rotate immediately (立即輪換)。

   3. 對於 Rotation function (輪換函數)，請選擇 Create a rotation function (建立輪換函數)，然後對於函數名稱，請輸入 tutorial-alternating-users-rotation。

   4. 對於輪換策略，選擇交替使用者，然後在管理員憑證秘密之下，選擇名為 rds!cluster... 的秘密，其具有描述，其中包括您在本教學 secretsmanagertutorial 中所建立資料庫的名稱，例如 Secret associated with primary RDS DB instance: arn:aws:rds:Region:AccountId:db:secretsmanagertutorial。

   5. 選擇 Next (下一步)。

6. 在 Review (檢閱) 頁面，選擇 Store (存放)。

   Secrets Manager 會返回密碼詳細資料頁面。在頁面頂端，您可以看到輪換組態狀態。Secrets Manager 用 CloudFormation 來建立資源，例如 Lambda 輪換函數和執行 Lambda 函數的執行角色。 CloudFormation 完成後，橫幅會變更為排定輪換的「密碼」。第一次輪換完成。

從秘密中擷取新密碼

1. 開啟 Secrets Manager 主控台，位於https://console.aws.amazon.com/secretsmanager/。

2. 選擇 Secrets (秘密)，然後選擇秘密 SecretsManagerTutorialAppuser。

3. 在 Secret details (秘密詳細資訊) 頁面，向下捲動並選擇 Retrieve secret value (擷取秘密值)。

4. 在 Key/value (鍵/值) 中，複製 password 的 Secret value (秘密值)。

測試憑證

1. 在 [我的SQL工作台] 中，在連線SecretsManagerTutorial上按一下滑鼠右鍵，然後選擇 [

2. 在 Manage Server Connections (管理伺服器連線) 對話方塊，對於 Username (使用者名稱)，請輸入 appuser，然後選擇 Close (關閉)。

3. 回到我的SQL工作台，選擇連接SecretsManagerTutorial。

4. 在 [開啟SSH連線] 對話方塊中，對於 [密碼]，貼上您從密碼擷取的密碼，然後選擇 [確定]。

   如果認證有效，則 SQL「我的工作台」會開啟資料庫的設計頁面。