Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de AWS Secrets Manager secretos en lugar de credenciales de bases de datos en Quick Suite

AWS Secrets Manager es un servicio de almacenamiento secreto que puede utilizar para proteger las credenciales de la base de datos, las claves de API y otra información secreta. Usar una clave permite garantizar la integridad del secreto si alguien examina el código, dado que el secreto no está almacenado en el código. Para obtener información general, consulte la Guía del usuario de AWS Secrets Manager.

Los administradores de Quick Suite pueden conceder a Amazon Quick Suite acceso de solo lectura a los secretos que creen en Secrets Manager. Estos secretos se pueden usar en lugar de las credenciales de la base de datos al crear y editar fuentes de datos mediante la API de Quick Suite.

Quick Suite admite el uso de secretos con tipos de fuentes de datos que admiten la autenticación por pares de credenciales. Jira y no ServiceNow son compatibles actualmente.

Utilice los procedimientos descritos en las siguientes secciones para integrar Secrets Manager con Amazon Quick Suite.

Otorgar a Amazon Quick Suite acceso a Secrets Manager y a secretos seleccionados

Si es administrador y tiene información confidencial en Secrets Manager, puede conceder a Amazon Quick Suite acceso de solo lectura a información confidencial seleccionada.

Crear o actualizar una fuente de datos con credenciales secretas mediante la API Amazon Quick Suite

Una vez que el administrador de Amazon Quick Suite haya concedido a Amazon Quick Suite acceso de solo lectura a Secrets Manager, podrá crear y actualizar las fuentes de datos en la API utilizando un secreto que el administrador haya seleccionado como credenciales.

A continuación se muestra un ejemplo de llamada a la API para crear una fuente de datos en Amazon Quick Suite. En este ejemplo, se utiliza la operación de la API create-data-source. También puede utilizar la operación update-data-source. Para obtener más información, consulte CreateDataSourcey UpdateDataSourceen la referencia de la API de Amazon Quick Suite.

El usuario especificado en los permisos del siguiente ejemplo de llamada a la API puede eliminar, ver y editar las fuentes de datos de la fuente de datos MySQL especificada en Amazon Quick Suite. También puede ver y actualizar los permisos del origen de datos. En lugar de un nombre de usuario y una contraseña de Amazon Quick Suite, se utiliza un ARN secreto como credenciales para la fuente de datos.

aws quicksight create-data-source 
    --aws-account-id AWSACCOUNTID \ 
    --data-source-id DATASOURCEID \
    --name NAME \
    --type MYSQL \
    --permissions '[{"Principal": "arn:aws:quicksight:region:accountID:user/namespace/username", "Actions": ["quicksight:DeleteDataSource", "quicksight:DescribeDataSource", "quicksight:DescribeDataSourcePermissions", "quicksight:PassDataSource", "quicksight:UpdateDataSource", "quicksight:UpdateDataSourcePermissions"]}]' \
    --data-source-parameters='{"MySQLParameters":{"Database": "database", "Host":"hostURL", "Port":"port"}}' \
    --credentials='{"SecretArn":"arn:aws:secretsmanager:region:accountID:secret:secretname"}' \
    --region us-west-2

En esta llamada, Amazon Quick Suite autoriza el secretsmanager:GetSecretValue acceso al secreto en función de la política de IAM de la persona que llama a la API, no de la política del rol de servicio de IAM. El rol de servicio de IAM actúa en el ámbito de cuenta y se utiliza cuando un usuario consulta un análisis o un panel. No se puede utilizar para autorizar el acceso al secreto cuando un usuario crea o actualiza el origen de datos.

Al editar una fuente de datos en la interfaz de usuario de Amazon Quick Suite, los usuarios pueden ver el ARN secreto de las fuentes de datos que se utilizan AWS Secrets Manager como tipo de credencial. Sin embargo, no pueden editar el secreto ni seleccionar otro secreto. Si necesitan realizar cambios, por ejemplo en el puerto o el servidor de la base de datos, los usuarios primero tienen que elegir el par de credenciales e introducir el nombre de usuario y la contraseña de su cuenta Amazon Quick Suite.

Los secretos se eliminan automáticamente de un origen de datos cuando el origen de datos se modifica en la interfaz de usuario. Para restaurar el secreto en el origen de datos, utilice la operación de la API update-data-source.

Qué hay en el secreto

Amazon Quick Suite requiere el siguiente formato JSON para acceder a su secreto:

{
  "username": "username",
  "password": "password"
}

Los password campos username y son obligatorios para que Amazon Quick Suite pueda acceder a los secretos. Todos los demás campos son opcionales y Amazon Quick Suite los ignora.

El formato JSON puede variar en función del tipo de base de datos. Para obtener más información, consulte la estructura JSON de los secretos de las credenciales de la AWS Secrets Manager base de datos en la Guía del AWS Secrets Manager usuario.

Modificar un secreto

Para modificar un secreto, se utiliza Secrets Manager. Tras realizar cambios en un secreto, las actualizaciones estarán disponibles la próxima vez que Amazon Quick Suite solicite acceso al secreto.