View a markdown version of this page

Erstellen Sie eine AWS Secrets Manager Secret - AWS Secrets Manager
AWS CLIAWS SDK

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen Sie eine AWS Secrets Manager Secret

Ein Geheimnis kann ein Passwort, ein Satz von Anmeldeinformationen wie z. B. ein Benutzername und ein Passwort, ein OAuth-Token oder andere Geheiminformationen sein, die Sie in verschlüsselter Form in Secrets Manager speichern.

Tipp

Für Amazon RDS- und Amazon Redshift-Administratoranmeldedaten empfehlen wir, verwaltete Geheimnisse zu verwenden. Sie erstellen das verwaltete Geheimnis über den Verwaltungsservice, und dann können Sie die verwaltete Rotation verwenden.

Wenn Sie die Konsole verwenden, um Datenbankanmeldeinformationen für eine Quelldatenbank zu speichern, die in andere Regionen repliziert wird, enthält das Geheimnis Verbindungsinformationen für die Quelldatenbank. Wenn Sie dann das Secret replizieren, sind die Replikate Kopien des Quellsecret und enthalten dieselben Verbindungsinformationen. Sie können dem Secret zusätzliche key/value Paare für regionale Verbindungsinformationen hinzufügen.

Um ein Geheimnis zu erstellen, benötigen Sie die von der SecretsManagerReadWrite verwalteten Richtlinie gewährten Berechtigungen.

Secrets Manager generiert einen CloudTrail Protokolleintrag, wenn Sie ein Geheimnis erstellen. Weitere Informationen finden Sie unter Protokoll AWS Secrets Manager Ereignisse mit AWS CloudTrail.

Ein Secret erstellen (Konsole)

  1. Öffnen Sie die Secrets Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

  2. Wählen Sie Store a new secret (Ein neues Secret speichern).

  3. Führen Sie auf der Seite Choose secret type (Secret-Typ auswählen) die folgenden Schritte aus:

    1. Führen Sie für Geheimnistyp eine der folgenden Aktionen aus:

      • Um Datenbankanmeldeinformationen zu speichern, wählen Sie den Typ der Datenbankanmeldeinformationen aus, die gespeichert werden sollen. Wählen Sie dann die Datenbank aus und geben Sie dann die Anmeldeinformationen ein.

      • Um API-Schlüssel, Zugriffstoken und Anmeldeinformationen zu speichern, die nicht für Datenbanken bestimmt sind, wählen Sie Andere Art von Geheimnis.

        Geben Sie entweder Key/value paarweise Ihr Geheimnis in Key/value JSON-Paaren ein oder wählen Sie die Registerkarte „Klartext“ und geben Sie das Geheimnis in einem beliebigen Format ein. Sie können bis zu 65536 Bytes im Secret speichern. Hier einige Beispiele:

        API key

        Geben Sie es als key/value Paare ein:

        ClientID : my_client_id

        ClientSecret : wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

        OAuth token

        Als Klartext eingeben:

        AKIAI44QH8DHBEXAMPLE

        Digital certificate

        Als Klartext eingeben:

        -----BEGIN CERTIFICATE-----
EXAMPLE
-----END CERTIFICATE-----
        Private key

        Als Klartext eingeben:

        –--- BEGIN PRIVATE KEY ----
EXAMPLE
––-- END PRIVATE KEY –---

      • Um verwaltete externe Geheimnisse von einem Secrets Manager-Partner zu speichern, wählen Sie Partner Secret. Wählen Sie dann den Partner aus und geben Sie die Details an, anhand derer das Geheimnis für den Partner identifiziert wird. Details hierzu finden Sie unter Verwenden AWS Secrets Manager verwaltete externe Geheimnisse zur Verwaltung von Geheimnissen von Drittanbietern.

    2. Wählen Sie als Verschlüsselungsschlüssel den aus AWS KMS key , den Secrets Manager zum Verschlüsseln des geheimen Werts verwendet. Weitere Informationen finden Sie unter Ver- und Entschlüsselung von Secrets.

      • In den meisten Fällen sollten Sie aws/secretsmanager den Von AWS verwalteter Schlüssel für Secrets Manager verwenden. Für die Verwendung dieses Schlüssels fallen keine Kosten an.

      • Wenn Sie von einem anderen aus auf das Geheimnis zugreifen müssen oder wenn Sie Ihren eigenen KMS-Schlüssel verwenden möchten AWS-Konto, sodass Sie ihn rotieren oder eine Schlüsselrichtlinie darauf anwenden können, wählen Sie einen vom Kunden verwalteten Schlüssel aus der Liste aus, geben Sie den Schlüssel-ARN oder Alias-ARN eines kundenverwalteten Schlüssels ein oder wählen Sie Neuen Schlüssel hinzufügen, um einen zu erstellen. Informationen zu den Kosten der Verwendung eines vom Kunden verwalteten Schlüssels finden Sie unter Preisgestaltung.

        Sie müssen Berechtigungen für den KMS-Schlüssel haben. Informationen zum kontoübergreifenden Zugriff finden Sie unter Zugriff AWS Secrets Manager Geheimnisse von einem anderen Konto.

    3. Wählen Sie Weiter aus.

  4. Führen Sie auf der Seite Configure secret (Secret konfigurieren) die folgenden Schritte aus:

    1. Geben Sie einen beschreibenden Secret-Namen und eine Beschreibung ein. Geheime Namen können 1—512 alphanumerische Zeichen und /_+ =.@- Zeichen enthalten.

    2. (Optional) Wenn Sie ein externes Geheimnis erstellt haben, geben Sie die Metadaten ein, die von dem Secrets Manager-Partner, der das Geheimnis besitzt, benötigt werden.

    3. (Optional) Im Abschnitt Tags können Sie Tags zu Ihrem Secret hinzufügen. Informationen zu Tagging-Strategien finden Sie unter Kennzeichnen von Geheimnissen in AWS Secrets Manager. Speichern Sie keine sensiblen Daten in Tags, da sie nicht verschlüsselt sind.

    4. (Optional) Um eine Ressourcenrichtlinie zu Ihrem Secret hinzuzufügen, wählen Sie unter Resource permissions (Ressourcenberechtigungen) die Option Edit permissions (Berechtigungen bearbeiten) aus. Weitere Informationen finden Sie unter Resource-based Richtlinien.

    5. (Optional) Wählen Sie unter Secret replizieren die Option Secret replizieren aus, um Ihr Secret auf ein anderes AWS-Region zu replizieren. Sie können Ihr Secret jetzt replizieren oder zurückkommen und es später replizieren. Weitere Informationen finden Sie unter Multi-region Replikation.

    6. Wählen Sie Weiter.

  5. (Optional) Auf der Seite Rotation konfigurieren können Sie die automatische Rotation aktivieren. Sie können die Rotation auch vorerst ausschalten und später einschalten. Weitere Informationen finden Sie unter Rotieren von -Geheimnissen. Wählen Sie Weiter aus.

  6. Prüfen Sie auf der Seite Review (Prüfen) die Secret-Details und wählen Sie Store (Speichern).

    Secrets Manager kehrt zur Liste der Secrets zurück. Wenn Ihr Secret nicht angezeigt wird, wählen Sie den Aktualisieren-Button aus.

AWS CLI

Wenn Sie Befehle in eine Befehls-Shell eingeben, besteht die Gefahr, dass auf den Befehlsverlauf zugegriffen wird oder Serviceprogramme Zugriff auf Ihre Befehlsparameter haben. Siehe Reduzieren Sie die Risiken, die mit der Verwendung von AWS CLI zur Aufbewahrung Ihrer AWS Secrets Manager Geheimnisse verbunden sind.

Beispiel Erstellen Sie ein Geheimnis aus Datenbankanmeldeinformationen in einer JSON-Datei

Das folgende create-secret-Beispiel erstellt ein Secret anhand von Anmeldeinformationen in einer Datei. Weitere Informationen finden Sie im AWS CLI Benutzerhandbuch unter AWS CLI Parameter aus einer Datei laden.

Damit Secrets Manager das Secret rotieren kann, müssen Sie sicherstellen, dass JSON mit JSON-Struktur eines Secrets übereinstimmt.

aws secretsmanager create-secret \
    --name MyTestSecret \
    --secret-string file://mycreds.json

Inhalt von mycreds.json:

{
    "engine": "mysql",
    "username": "saanvis",
    "password": "EXAMPLE-PASSWORD",
    "host": "my-database-endpoint.us-west-2.rds.amazonaws.com",
    "dbname": "myDatabase",
    "port": "3306"
}
Beispiel Ein Secret erstellen

Das folgende create-secret-Beispiel erstellt ein Secret mit zwei Schlüssel-/Wert-Paaren.

aws secretsmanager create-secret \
    --name MyTestSecret \
    --description "My test secret created with the CLI." \
    --secret-string '{"user":"diegor","password":"EXAMPLE-PASSWORD"}'
Beispiel Ein Secret erstellen

Im folgenden create-secret Beispiel wird ein Geheimnis mit zwei Tags erstellt.

aws secretsmanager create-secret \
    --name MyTestSecret \
    --description "My test secret created with the CLI." \
    --secret-string '{"user":"diegor","password":"EXAMPLE-PASSWORD"}'  \
    --tags '[{"Key": "FirstTag", "Value": "FirstValue"}, {"Key": "SecondTag", "Value": "SecondValue"}]'

AWS SDK

Verwenden Sie die CreateSecret Aktion, um mithilfe eines der AWS SDKs ein Geheimnis zu erstellen. Weitere Informationen finden Sie unter AWS SDKs.