Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurisation des identifiants de localisation de stockage

DataSync utilise des emplacements pour accéder à vos ressources de stockage situées sur site, dans d'autres clouds ou dans AWS. Certains types d'emplacement nécessitent que vous fournissiez des informations d'identification, telles qu'une clé d'accès et une clé secrète ou un nom d'utilisateur et un mot de passe, pour vous authentifier auprès de votre système de stockage. Lorsque vous créez un DataSync emplacement qui nécessite des informations d'identification pour l'authentification, vous pouvez choisir l'une des options suivantes pour contrôler la manière dont le secret de vos informations d'identification est stocké :

Dans tous les cas, le secret Secrets Manager est enregistré dans votre compte, ce qui vous permet de le mettre à jour selon vos besoins, indépendamment du DataSync service. Vous n'êtes facturé que pour l'utilisation de secrets que vous créez en dehors de DataSync. Les secrets créés et gérés par DataSync portent le préfixeaws-datasync.

Utilisation d'un secret géré par un service chiffré avec une clé par défaut

Lorsque vous créez votre DataSync position, il vous suffit de fournir la chaîne secrète. DataSynccrée une ressource secrète AWS Secrets Manager pour stocker le secret que vous fournissez, et le chiffre avec la clé KMS par défaut de Secrets Manager pour votre compte. Vous pouvez modifier la valeur du secret directement dans Secrets Manager ou en mettant à jour l'emplacement à l'aide de la DataSync console ou du SDK. AWS CLI Lorsque vous supprimez la ressource de localisation ou que vous la mettez à jour pour utiliser un secret personnalisé, la DataSync ressource secrète est automatiquement supprimée.

Utilisation d'un secret géré par un service chiffré à l'aide d'une clé personnalisée AWS KMS

Lorsque vous créez votre DataSync position, vous fournissez le secret et l'ARN de votre AWS KMS clé. DataSync crée automatiquement une ressource secrète AWS Secrets Manager pour stocker le secret que vous fournissez et le chiffre à l'aide de votre AWS KMS clé. Vous pouvez modifier la valeur du secret directement dans Secrets Manager ou en mettant à jour l'emplacement à l'aide de la DataSync console ou du SDK. AWS CLI Lorsque vous supprimez la ressource de localisation ou que vous la mettez à jour pour utiliser un secret personnalisé, la DataSync ressource secrète est automatiquement supprimée.

Pour créer, modifier et supprimer des ressources secrètes dans Secrets Manager, vous DataSync devez disposer des autorisations appropriées. Pour plus d'informations, consultez Politique gérée par AWS  : AWSDataSyncFullAccess.

Outre l'utilisation de la politique DataSync gérée appropriée, vous devez également disposer des autorisations suivantes :

{
    "Sid": "DataSyncKmsPermissions",
    "Effect": "Allow",
    "Action": [
        "kms:Encrypt",
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "your-kms-key-arn",
    "Condition": {
        "StringLike": {
            "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
    }
}

your-kms-key-arnRemplacez-le par l'ARN de votre clé KMS.

Pour récupérer et déchiffrer la valeur secrète, utilisez un DataSync rôle lié au service (SLR) pour accéder à votre AWS KMS clé. Pour vous assurer que DataSync vous pouvez utiliser votre clé KMS, ajoutez ce qui suit à la déclaration de politique relative à la clé :

{
    "Sid": "Allow DataSync to use the key for decryption",
    "Effect": "Allow",
    "Principal": {
            "AWS": "arn:aws:iam::accountid:role/aws-service-role/datasync.amazonaws.com/AWSServiceRoleForDataSync"
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

accountidRemplacez-le par votre Compte AWS identifiant.

Utiliser un secret que vous gérez

Avant de créer votre DataSync position, créez un secret dans AWS Secrets Manager. La valeur du secret doit uniquement contenir la chaîne secrète elle-même en texte brut. Lorsque vous créez votre DataSync position, vous fournissez l'ARN de votre secret et un rôle IAM qui DataSync permet d'accéder à la fois à votre secret et à la AWS KMS clé utilisée pour le chiffrer. Pour créer un rôle IAM doté des autorisations appropriées, procédez comme suit :

Vous pouvez spécifier ce rôle lors de la création de votre position. Si votre secret utilise une AWS KMS clé gérée par le client pour le chiffrement, vous devrez également mettre à jour la politique de la clé pour autoriser l'accès à partir du rôle que vous avez créé lors de la procédure précédente. Pour mettre à jour la politique, ajoutez ce qui suit à la déclaration de politique de votre AWS KMS clé :

{
    "Sid": "Allow DataSync use of the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam accountid:role/your-role-name”
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

accountidRemplacez-le par votre Compte AWS ID et your-role-name par le nom du rôle IAM que vous avez créé lors de la procédure précédente.