Configuration manuelle de l’authentification de base de données et de l’accès aux ressources - Amazon Aurora
Création d’une clé KMSCréation des secrets de base de donnéesCréation d’un rôle IAMMise à jour de la clé KMSAjout des stratégies d’autorisation de rôle IAM

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration manuelle de l’authentification de base de données et de l’accès aux ressources

Le processus manuel de configuration de l’authentification de la base de données et de l’accès aux ressources comprend les étapes suivantes :

  1. Création du système géré par le client AWS KMS key

  2. Ajout des stratégies d’autorisation de rôle IAM

  3. Création des secrets de base de données

  4. Création d’un rôle IAM

  5. Mettre à jour le système géré par le client AWS KMS key

Ce processus est facultatif et exécute les mêmes tâches que dansConfiguration de l’authentification de la base de données et de l’accès aux ressources à l’aide d’un script. Nous vous recommandons d’utiliser le script.

Création du système géré par le client AWS KMS key

Suivez les procédures décrites dans Création de clés de chiffrement symétriques pour créer une clé KMS gérée par le client. Vous pouvez utiliser une clé existante si elle répond aux exigences suivantes :

Pour créer une clé KMS gérée par le client

  1. Connectez-vous à la AWS KMS console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/km.

  2. Accédez à la page Clés gérées par le client.

  3. Choisissez Create key.

  4. Sur la page Configurer la clé :

    1. Pour Type de clé, choisissez Symétrique.

    2. Pour Utilisation de la clé, choisissez Chiffrer et déchiffrer.

    3. Choisissez Suivant.

  5. Sur la page Ajouter des étiquettes, entrez un Alias tel que limitless, puis choisissez Suivant.

  6. Sur la page Définir les autorisations d’administration de clé, assurez-vous que la case Autoriser les administrateurs clés à supprimer cette clé est cochée, puis choisissez Suivant.

  7. Sur la page Définir des autorisations d’utilisation de clé, choisissez Suivant.

  8. Dans la page Vérification, choisissez Terminer.

    La stratégie de clé doit être mise à jour ultérieurement.

Tapez l’Amazon Resource Name (ARN) de la clé KMS qui doit être utilisée dans Ajout des stratégies d’autorisation de rôle IAM.

Pour plus d'informations sur l'utilisation de AWS CLI pour créer la clé KMS gérée par le client, voir create-key et create-alias.

Création des secrets de base de données

Pour permettre à l'utilitaire de chargement de données d'accéder aux tables de base de données source et de destination, vous devez créer deux secrets AWS Secrets Manager : un pour la base de données source et un pour la base de données de destination. Ces secrets stockent les noms d’utilisateur et les mots de passe permettant d’accéder aux bases de données source et de destination.

Suivez les procédures décrites dans Créer un secret AWS Secrets Manager pour créer les secrets de la paire clé-valeur.

Pour créer des secrets de base de données

  1. Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

  2. Choisissez Store a new secret (Stocker un nouveau secret).

  3. Sur la page Choisir un type de secret :

    1. Pour Type de secret, choisissez Autre type de secret.

    2. Pour les Paires clé/valeur, choisissez l’onglet Texte brut.

    3. Entrez le code JSON suivant, où sourcedbreader et sourcedbpassword sont les informations d’identification de l’utilisateur de la base de données source Création des informations d’identification de base de données source.

      {
    "username":"sourcedbreader",
    "password":"sourcedbpassword"
}

    4. Pour Clé de chiffrement, choisissez la clé KMS que vous avez créée dans Création du système géré par le client AWS KMS key, par exemple limitless.

    5. Choisissez Suivant.

  4. Sur la page Configurer le secret, indiquez un Nom de secret, tel que source_DB_secret puis choisissez Suivant.

  5. Sur la page Configurer la rotation - facultatif, choisissez Suivant.

  6. Sur la page Review (Vérification), choisissez Store (Stocker).

  7. Répétez la procédure pour le secret de base de données de destination :

    1. Entrez le code JSON suivant, où destinationdbwriter et destinationdbpassword sont les informations d’identification de l’utilisateur de la base de données de destination depuis Création des informations d’identification de base de données de destination.

      {
    "username":"destinationdbwriter",
    "password":"destinationdbpassword"
}

    2. Saisissez un Nom de secret, par exemple destination_DB_secret.

Enregistrez ARNs les secrets à utiliserAjout des stratégies d’autorisation de rôle IAM.

Création d’un rôle IAM

Le chargement des données nécessite que vous donniez accès aux AWS ressources. Pour fournir un accès, vous créez le rôle IAM aurora-data-loader en suivant les procédures décrites dans Création d’un rôle pour la délégation d’autorisations à un utilisateur IAM.

Pour créer le rôle IAM

  1. Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

  2. Accédez à la page Rôles.

  3. Choisissez Créer un rôle.

  4. Sur la page Sélectionner une entité de confiance :

    1. Pour Type d’entité de confiance, choisissez Stratégie d’approbation personnalisée.

    2. Entrez le code JSON suivant pour la stratégie d’approbation personnalisée :

      JSON
      {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "rds.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    3. Choisissez Suivant.

  5. Sur la page Add permissions (Ajouter des autorisations), sélectionnez Next (Suivant).

  6. Sur la page Nommer, vérifier et créer :

    1. Pour Nom du rôle, entrez aurora-data-loader ou un autre nom de votre choix.

    2. Choisissez Ajouter une balise et entrez la balise suivante :

      • Clé : assumer

      • Value (Valeur) : aurora_limitless_table_data_load

      Important

      Aurora PostgreSQL Limitless Database peut uniquement assumer un rôle IAM présentant cette balise.

    3. Choisissez Créer un rôle.

Mettre à jour le système géré par le client AWS KMS key

Suivez les procédures décrites dans Modification d’une stratégie de clé pour ajouter le rôle IAM aurora-data-loader à la stratégie clé par défaut.

Pour ajouter le rôle IAM à la stratégie de clé

  1. Connectez-vous à la AWS KMS console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/km.

  2. Accédez à la page Clés gérées par le client.

  3. Choisissez la clé KMS que vous avez créée dans Création du système géré par le client AWS KMS key, par exemplelimitless.

  4. Dans l’onglet Stratégie de clé, pour Utilisateurs de clés, sélectionnez Ajouter.

  5. Dans la fenêtre Ajouter des utilisateurs clés, sélectionnez le nom du rôle IAM dans lequel vous avez crééCréation d’un rôle IAM, par exemple aurora-data-loader.

  6. Choisissez Ajouter.

Ajout des stratégies d’autorisation de rôle IAM

Vous devez ajouter des stratégies d’autorisation au rôle IAM que vous avez créé. Cela permet à l’utilitaire de chargement de données Aurora PostgreSQL Limitless Database d’accéder aux ressources AWS associées pour établir des connexions réseau et récupérer les secrets des informations d’identification de la base de données source et de destination.

Pour plus d’informations, consultez Modification d’un rôle.

Pour ajouter des stratégies d’autorisation

  1. Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

  2. Accédez à la page Rôles.

  3. Choisissez le rôle IAM que vous avez créé dansCréation d’un rôle IAM, par exemple aurora-data-loader.

  4. Dans l’onglet Autorisations, sélectionnez Ajouter des autorisations, puis Créer une stratégie en ligne dans Stratégies d’autorisation.

  5. Sur la page Spécifier les autorisations, choisissez l’éditeur JSON.

  6. Copiez et collez le modèle suivant dans l'éditeur JSON, en remplaçant les espaces réservés par les secrets de votre base de données et la ARNs clé KMS.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Ec2Permission",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DescribeNetworkInterfacePermissions",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DescribeNetworkInterfaceAttribute",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeRegions",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeNetworkAcls"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecretsManagerPermissions",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:source_DB_secret-ABC123",
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:destination_DB_secret-456DEF"
            ]
        },        {
            "Sid": "KmsPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/aa11bb22-####-####-####-fedcba123456"
        },
        {
            "Sid": "RdsPermissions",
            "Effect": "Allow",
            "Action": [
                "rds:DescribeDBClusters",
                "rds:DescribeDBInstances"
            ],
            "Resource": "*"
        }
    ]
}

  7. Vérifiez s’il y a des erreurs et corrigez-les.

  8. Choisissez Suivant.

  9. Sur la page Vérifier et créer, saisissez un Nom de stratégie, tel que data_loading_policy, puis choisissez Créer une stratégie.