Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von AWS Secrets Manager Geheimnissen anstelle von Datenbankanmeldedaten in Quick

AWS Secrets Manager ist ein geheimer Speicherdienst, mit dem Sie Datenbankanmeldedaten, API-Schlüssel und andere geheime Informationen schützen können. Durch die Verwendung eines Schlüssels können Sie sicherstellen, dass das Geheimnis nicht durch eine Person, die Ihren Code untersucht, kompromittiert werden kann, da das Geheimnis nicht im Code gespeichert ist. Eine Übersicht finden Sie im AWS Secrets Manager -Benutzerhandbuch.

Schnelladministratoren können Amazon Quick nur Lesezugriff auf Secrets gewähren, die sie in Secrets Manager erstellen. Diese Geheimnisse können anstelle von Datenbankanmeldedaten verwendet werden, wenn Datenquellen mithilfe der Quick API erstellt und bearbeitet werden.

Quick unterstützt die Verwendung von Geheimnissen mit Datenquellentypen, die die Authentifizierung mit Anmeldeinformationspaaren unterstützen. Jira und ServiceNow werden derzeit nicht unterstützt.

Verwenden Sie die in den folgenden Abschnitten beschriebenen Verfahren, um Secrets Manager in Amazon Quick zu integrieren.

Amazon Quick Access auf Secrets Manager und ausgewählte Secrets gewähren

Wenn Sie ein Administrator sind und Geheimnisse in Secrets Manager haben, können Sie Amazon Quick nur Lesezugriff auf ausgewählte Geheimnisse gewähren.

Eine Datenquelle mit geheimen Anmeldeinformationen mithilfe der Amazon Quick API erstellen oder aktualisieren

Nachdem der Amazon Quick-Administrator Amazon Quick schreibgeschützten Zugriff auf Secrets Manager gewährt hat, können Sie Datenquellen in der API mithilfe eines Geheimnisses erstellen und aktualisieren, das der Administrator als Anmeldeinformationen ausgewählt hat.

Im Folgenden finden Sie ein Beispiel für einen API-Aufruf zum Erstellen einer Datenquelle in Amazon Quick. In diesem Beispiel wird die API-Operation create-data-source verwendet. Sie können auch die update-data-source-Operation verwenden. Weitere Informationen finden Sie unter CreateDataSourceund UpdateDataSourcein der Amazon Quick API Reference.

Der Benutzer, der in den Berechtigungen im folgenden Beispiel für einen API-Aufruf angegeben ist, kann Datenquellen für die angegebene MySQL-Datenquelle in Amazon Quick löschen, anzeigen und bearbeiten. Sie können auch die Datenquellenberechtigungen anzeigen und aktualisieren. Anstelle eines Amazon Quick-Benutzernamens und -Passworts wird ein geheimer ARN als Anmeldeinformationen für die Datenquelle verwendet.

aws quicksight create-data-source 
    --aws-account-id AWSACCOUNTID \ 
    --data-source-id DATASOURCEID \
    --name NAME \
    --type MYSQL \
    --permissions '[{"Principal": "arn:aws:quicksight:region:accountID:user/namespace/username", "Actions": ["quicksight:DeleteDataSource", "quicksight:DescribeDataSource", "quicksight:DescribeDataSourcePermissions", "quicksight:PassDataSource", "quicksight:UpdateDataSource", "quicksight:UpdateDataSourcePermissions"]}]' \
    --data-source-parameters='{"MySQLParameters":{"Database": "database", "Host":"hostURL", "Port":"port"}}' \
    --credentials='{"SecretArn":"arn:aws:secretsmanager:region:accountID:secret:secretname"}' \
    --region us-west-2

Bei diesem Aufruf autorisiert Amazon Quick den secretsmanager:GetSecretValue Zugriff auf den geheimen Schlüssel auf der Grundlage der IAM-Richtlinie des API-Aufrufers, nicht auf der Richtlinie der IAM-Servicerolle. Die IAM-Servicerolle agiert auf Kontoebene und wird verwendet, wenn ein Benutzer eine Analyse oder ein Dashboard aufruft. Sie kann nicht verwendet werden, um den geheimen Zugriff zu autorisieren, wenn ein Benutzer die Datenquelle erstellt oder aktualisiert.

Wenn sie eine Datenquelle in der Amazon Quick UI bearbeiten, können Benutzer den geheimen ARN für Datenquellen einsehen, die AWS Secrets Manager als Anmeldeinformationstyp verwenden. Allerdings können sie das Geheimnis nicht bearbeiten oder ein anderes Geheimnis auswählen. Wenn sie Änderungen vornehmen müssen, z. B. am Datenbankserver oder Port, müssen Benutzer zunächst Credential Pair auswählen und den Benutzernamen und das Passwort für ihr Amazon Quick-Konto eingeben.

Geheimnisse werden automatisch aus einer Datenquelle entfernt, wenn die Datenquelle in der Benutzeroberfläche geändert wird. Verwenden Sie den update-data-source-API-Vorgang, um das Geheimnis in der Datenquelle wiederherzustellen.

Was ist in dem Geheimnis enthalten?

Amazon Quick benötigt das folgende JSON-Format, um auf Ihr Geheimnis zuzugreifen:

{
  "username": "username",
  "password": "password"
}

Die password Felder username und sind erforderlich, damit Amazon Quick auf Geheimnisse zugreifen kann. Alle anderen Felder sind optional und werden von Amazon Quick ignoriert.

Das JSON-Format kann je nach Art der Datenbank variieren. Weitere Informationen finden Sie im AWS Secrets Manager Benutzerhandbuch unter JSON-Struktur von geheimen AWS Secrets Manager Datenbankanmeldedaten.

Ändern eines Secrets

Um ein Geheimnis zu ändern, verwenden Sie Secrets Manager. Nachdem Sie Änderungen an einem Secret vorgenommen haben, werden die Updates verfügbar, sobald Amazon Quick das nächste Mal Zugriff auf das Secret anfordert.