Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von AWS Secrets Manager Geheimnissen anstelle von Datenbankanmeldedaten in Quick Suite

AWS Secrets Manager ist ein geheimer Speicherdienst, mit dem Sie Datenbankanmeldedaten, API-Schlüssel und andere geheime Informationen schützen können. Durch die Verwendung eines Schlüssels können Sie sicherstellen, dass das Geheimnis nicht durch eine Person, die Ihren Code untersucht, kompromittiert werden kann, da das Geheimnis nicht im Code gespeichert ist. Eine Übersicht finden Sie im AWS Secrets Manager -Benutzerhandbuch.

Quick Suite-Administratoren können Amazon Quick Suite schreibgeschützten Zugriff auf Secrets gewähren, die sie in Secrets Manager erstellen. Diese Geheimnisse können anstelle von Datenbankanmeldedaten verwendet werden, wenn Datenquellen mithilfe der Quick Suite-API erstellt und bearbeitet werden.

Quick Suite unterstützt die Verwendung von Geheimnissen mit Datenquellentypen, die die Authentifizierung mit Anmeldeinformationspaaren unterstützen. Jira und ServiceNow werden derzeit nicht unterstützt.

Verwenden Sie die in den folgenden Abschnitten beschriebenen Verfahren, um Secrets Manager in Amazon Quick Suite zu integrieren.

Amazon Quick Suite Zugriff auf Secrets Manager und ausgewählte Secrets gewähren

Wenn Sie ein Administrator sind und Geheimnisse in Secrets Manager haben, können Sie Amazon Quick Suite nur Lesezugriff auf ausgewählte Geheimnisse gewähren.

Eine Datenquelle mit geheimen Anmeldeinformationen mithilfe der Amazon Quick Suite-API erstellen oder aktualisieren

Nachdem der Amazon Quick Suite-Administrator Amazon Quick Suite schreibgeschützten Zugriff auf Secrets Manager gewährt hat, können Sie Datenquellen in der API mithilfe eines Geheimnisses erstellen und aktualisieren, das der Administrator als Anmeldeinformationen ausgewählt hat.

Im Folgenden finden Sie ein Beispiel für einen API-Aufruf zum Erstellen einer Datenquelle in Amazon Quick Suite. In diesem Beispiel wird die API-Operation create-data-source verwendet. Sie können auch die update-data-source-Operation verwenden. Weitere Informationen finden Sie unter CreateDataSourceund UpdateDataSourcein der Amazon Quick Suite API-Referenz.

Der Benutzer, der in den Berechtigungen im folgenden Beispiel für einen API-Aufruf angegeben ist, kann Datenquellen für die angegebene MySQL-Datenquelle in Amazon Quick Suite löschen, anzeigen und bearbeiten. Sie können auch die Datenquellenberechtigungen anzeigen und aktualisieren. Anstelle eines Amazon Quick Suite-Benutzernamens und Kennworts wird ein geheimer ARN als Anmeldeinformationen für die Datenquelle verwendet.

aws quicksight create-data-source 
    --aws-account-id AWSACCOUNTID \ 
    --data-source-id DATASOURCEID \
    --name NAME \
    --type MYSQL \
    --permissions '[{"Principal": "arn:aws:quicksight:region:accountID:user/namespace/username", "Actions": ["quicksight:DeleteDataSource", "quicksight:DescribeDataSource", "quicksight:DescribeDataSourcePermissions", "quicksight:PassDataSource", "quicksight:UpdateDataSource", "quicksight:UpdateDataSourcePermissions"]}]' \
    --data-source-parameters='{"MySQLParameters":{"Database": "database", "Host":"hostURL", "Port":"port"}}' \
    --credentials='{"SecretArn":"arn:aws:secretsmanager:region:accountID:secret:secretname"}' \
    --region us-west-2

Bei diesem Aufruf autorisiert Amazon Quick Suite den secretsmanager:GetSecretValue Zugriff auf den geheimen Schlüssel auf der Grundlage der IAM-Richtlinie des API-Aufrufers, nicht auf der Richtlinie der IAM-Servicerolle. Die IAM-Servicerolle agiert auf Kontoebene und wird verwendet, wenn ein Benutzer eine Analyse oder ein Dashboard aufruft. Sie kann nicht verwendet werden, um den geheimen Zugriff zu autorisieren, wenn ein Benutzer die Datenquelle erstellt oder aktualisiert.

Wenn sie eine Datenquelle in der Amazon Quick Suite-Benutzeroberfläche bearbeiten, können Benutzer den geheimen ARN für Datenquellen einsehen, die den Anmeldeinformationstyp verwenden AWS Secrets Manager . Allerdings können sie das Geheimnis nicht bearbeiten oder ein anderes Geheimnis auswählen. Wenn sie Änderungen vornehmen müssen, beispielsweise am Datenbankserver oder Port, müssen Benutzer zunächst Credential Pair auswählen und den Benutzernamen und das Passwort für ihr Amazon Quick Suite-Konto eingeben.

Geheimnisse werden automatisch aus einer Datenquelle entfernt, wenn die Datenquelle in der Benutzeroberfläche geändert wird. Verwenden Sie den update-data-source-API-Vorgang, um das Geheimnis in der Datenquelle wiederherzustellen.

Was ist in dem Geheimnis enthalten?

Amazon Quick Suite benötigt das folgende JSON-Format, um auf Ihr Geheimnis zuzugreifen:

{
  "username": "username",
  "password": "password"
}

Die password Felder username und sind erforderlich, damit Amazon Quick Suite auf Geheimnisse zugreifen kann. Alle anderen Felder sind optional und werden von Amazon Quick Suite ignoriert.

Das JSON-Format kann je nach Art der Datenbank variieren. Weitere Informationen finden Sie im AWS Secrets Manager Benutzerhandbuch unter JSON-Struktur von geheimen AWS Secrets Manager Datenbankanmeldedaten.

Ändern eines Secrets

Um ein Geheimnis zu ändern, verwenden Sie Secrets Manager. Nachdem Sie Änderungen an einem Secret vorgenommen haben, werden die Updates verfügbar, sobald Amazon Quick Suite das nächste Mal Zugriff auf das Secret anfordert.