Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de AWS Secrets Manager secretos en lugar de credenciales de bases de datos en Quick

AWS Secrets Manager es un servicio de almacenamiento secreto que puede utilizar para proteger las credenciales de la base de datos, las claves de API y otra información secreta. Usar una clave permite garantizar la integridad del secreto si alguien examina el código, dado que el secreto no está almacenado en el código. Para obtener información general, consulte la Guía del usuario de AWS Secrets Manager.

Los administradores de Quick pueden conceder a Amazon Quick acceso de solo lectura a los secretos que creen en Secrets Manager. Estos secretos se pueden usar en lugar de las credenciales de la base de datos al crear y editar fuentes de datos mediante la API rápida.

Quick admite el uso de secretos con tipos de fuentes de datos que admiten la autenticación por pares de credenciales. Jira y no ServiceNow son compatibles actualmente.

Utilice los procedimientos descritos en las siguientes secciones para integrar Secrets Manager con Amazon Quick.

Otorgar a Amazon Quick acceso a Secrets Manager y a secretos seleccionados

Si eres administrador y tienes secretos en Secrets Manager, puedes conceder a Amazon Quick acceso de solo lectura a determinados secretos.

Crear o actualizar una fuente de datos con credenciales secretas mediante la Amazon Quick API

Una vez que el administrador de Amazon Quick haya concedido a Amazon Quick acceso de solo lectura a Secrets Manager, podrá crear y actualizar las fuentes de datos en la API utilizando un secreto que el administrador haya seleccionado como credenciales.

A continuación se muestra un ejemplo de llamada a la API para crear una fuente de datos en Amazon Quick. En este ejemplo, se utiliza la operación de la API create-data-source. También puede utilizar la operación update-data-source. Para obtener más información, consulta CreateDataSourcey consulta UpdateDataSourcela Amazon Quick API Reference.

El usuario especificado en los permisos del siguiente ejemplo de llamada a la API puede eliminar, ver y editar las fuentes de datos de la fuente de datos MySQL especificada en Amazon Quick. También puede ver y actualizar los permisos del origen de datos. En lugar de un nombre de usuario y una contraseña de Amazon Quick, se utiliza un ARN secreto como credenciales para la fuente de datos.

aws quicksight create-data-source 
    --aws-account-id AWSACCOUNTID \ 
    --data-source-id DATASOURCEID \
    --name NAME \
    --type MYSQL \
    --permissions '[{"Principal": "arn:aws:quicksight:region:accountID:user/namespace/username", "Actions": ["quicksight:DeleteDataSource", "quicksight:DescribeDataSource", "quicksight:DescribeDataSourcePermissions", "quicksight:PassDataSource", "quicksight:UpdateDataSource", "quicksight:UpdateDataSourcePermissions"]}]' \
    --data-source-parameters='{"MySQLParameters":{"Database": "database", "Host":"hostURL", "Port":"port"}}' \
    --credentials='{"SecretArn":"arn:aws:secretsmanager:region:accountID:secret:secretname"}' \
    --region us-west-2

En esta llamada, Amazon Quick autoriza el secretsmanager:GetSecretValue acceso al secreto en función de la política de IAM de la persona que llama a la API, no de la política del rol de servicio de IAM. El rol de servicio de IAM actúa en el ámbito de cuenta y se utiliza cuando un usuario consulta un análisis o un panel. No se puede utilizar para autorizar el acceso al secreto cuando un usuario crea o actualiza el origen de datos.

Al editar una fuente de datos en la Amazon Quick UI, los usuarios pueden ver el ARN secreto de las fuentes de datos que se utilizan AWS Secrets Manager como tipo de credencial. Sin embargo, no pueden editar el secreto ni seleccionar otro secreto. Si necesitan realizar cambios, por ejemplo en el puerto o el servidor de la base de datos, los usuarios primero tienen que elegir el par de credenciales e introducir el nombre de usuario y la contraseña de su cuenta Amazon Quick.

Los secretos se eliminan automáticamente de un origen de datos cuando el origen de datos se modifica en la interfaz de usuario. Para restaurar el secreto en el origen de datos, utilice la operación de la API update-data-source.

Qué hay en el secreto

Amazon Quick requiere el siguiente formato JSON para acceder a tu secreto:

{
  "username": "username",
  "password": "password"
}

Los password campos username y son obligatorios para que Amazon Quick pueda acceder a los secretos. Todos los demás campos son opcionales y Amazon Quick los ignora.

El formato JSON puede variar en función del tipo de base de datos. Para obtener más información, consulte la estructura JSON de los secretos de las credenciales de la AWS Secrets Manager base de datos en la Guía del AWS Secrets Manager usuario.

Modificar un secreto

Para modificar un secreto, se utiliza Secrets Manager. Tras realizar cambios en un secreto, las actualizaciones estarán disponibles la próxima vez que Amazon Quick solicite acceso al secreto.