Prácticas recomendadas para trabajar con Oracle

Paso 1: crear una clave de KMS

Cree una clave de KMS para cifrar y descifrar las credenciales de Active Directory en Secrets Manager.

Paso 2: crear un secreto de AWS Secrets Manager

Paso 1: crear una clave de KMS

Cree una clave de KMS para cifrar y descifrar las credenciales de Active Directory en Secrets Manager.

Para crear una clave de KMS, utilice el comando de AWS CLI create-key.

En este comando, defina el parámetro de --policy para especificar la política de claves que define los permisos para la clave de KMS. La política debe incluir lo siguiente:

En el siguiente ejemplo, se crea una clave de KMS de cifrado simétrico con una política que permite a Amazon FSx usarla para operaciones de descifrado y descripción de claves. El comando recupera automáticamente su ID y región de Cuenta de AWS y, a continuación, configura la política de claves con estos valores para garantizar los controles de acceso adecuados entre Amazon FSx, Secrets Manager y la clave de KMS. Asegúrese de que su entorno de AWS CLI esté en la misma región que la SVM que se unirá a Active Directory.

# Set region and get Account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Create Key
KMS_KEY_ARN=$(aws kms create-key --policy "{
  \"Version\": \"2012-10-17\", 		 	 	 
  \"Statement\": [
    {
      \"Sid\": \"Enable IAM User Permissions\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"AWS\": \"arn:aws:iam::$ACCOUNT_ID:root\"
      },
      \"Action\": \"kms:*\",
      \"Resource\": \"*\"
    },
    {
      \"Sid\": \"Allow FSx to use the KMS key\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"Service\": \"fsx.amazonaws.com\"
      },
      \"Action\": [
        \"kms:Decrypt\",
        \"kms:DescribeKey\"
      ],
      \"Resource\": \"*\",
      \"Condition\": {
        \"StringEquals\": {
          \"kms:ViaService\": \"secretsmanager.$REGION.amazonaws.com\",
          \"aws:SourceAccount\": \"$ACCOUNT_ID\"
        },
        \"ArnLike\": {
          \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
        }
      }
    }
  ]
}" --query 'KeyMetadata.Arn' --output text)

echo "KMS Key ARN: $KMS_KEY_ARN"

Paso 2: crear un secreto de AWS Secrets Manager

Para crear un secreto para que Amazon FSx pueda acceder a Active Directory, utilice el comando create-secret de AWS CLI y defina los siguientes parámetros:

Tras crear el secreto, adjunte una política de recursos mediante el comando put-resource-policy y establezca los siguientes parámetros:

En el siguiente ejemplo, se crea un secreto con el formato necesario y se adjunta una política de recursos que permite a Amazon FSx utilizar el secreto. Este ejemplo recupera automáticamente su ID y su región de Cuenta de AWS y, a continuación, configura la política de recursos con estos valores para garantizar los controles de acceso adecuados entre Amazon FSx y el secreto.

Asegúrese de sustituir el KMS_KEY_ARN con el ARN de la clave que creó en el Paso 1, CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME y CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD con las credenciales de la cuenta de servicio de Active Directory. Además, compruebe que su entorno de AWS CLI esté en la misma región que la SVM que se unirá a Active Directory.

# Set region and get account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Replace with your KMS key ARN from Step 1
KMS_KEY_ARN="arn:aws:kms:us-east-2:123456789012:key/1234542f-d114-555b-9ade-fec3c9200d8e"

# Replace with your Active Directory credentials
AD_USERNAME="Your_Username"  
AD_PASSWORD="Your_Password"

# Create the secret
SECRET_ARN=$(aws secretsmanager create-secret \
  --name "FSxSecret" \
  --description "Secret for FSx access" \
  --kms-key-id "$KMS_KEY_ARN" \
  --secret-string "{\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"$AD_USERNAME\",\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"$AD_PASSWORD\"}" \
  --region "$REGION" \
  --query 'ARN' \
  --output text)

echo "Secret created with ARN: $SECRET_ARN"

# Attach the resource policy with proper formatting
aws secretsmanager put-resource-policy \
  --secret-id "FSxSecret" \
  --region "$REGION" \
  --resource-policy "{
    \"Version\": \"2012-10-17\", 		 	 	 
    \"Statement\": [
      {
        \"Effect\": \"Allow\",
        \"Principal\": {
          \"Service\": \"fsx.amazonaws.com\"
        },
        \"Action\": [
          \"secretsmanager:GetSecretValue\",
          \"secretsmanager:DescribeSecret\"
        ],
        \"Resource\": \"$SECRET_ARN\",
        \"Condition\": {
          \"StringEquals\": {
            \"aws:SourceAccount\": \"$ACCOUNT_ID\"
          },
          \"ArnLike\": {
            \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
          }
        }
      }
    ]
  }"

echo "Resource policy attached successfully"