Configurazione manuale dell'autenticazione del database e dell'accesso alle risorse

Accedi a AWS Management Console e apri la AWS KMS console su https://console.aws.amazon.com /kms.

Vai alla pagina delle chiavi gestite dal cliente.

Scegliere Create key (Crea chiave).

Nella pagina Configura chiave:

1. Per Tipo di chiave, seleziona Symmetric.

2. Per Utilizzo della chiave, seleziona Crittografa e decrittografa.

3. Scegli Next (Successivo).

Nella pagina Aggiungi etichette, inserisci un alias comelimitless, quindi scegli Avanti.

Nella pagina Definisci le autorizzazioni amministrative chiave, assicurati che la casella di controllo Consenti agli amministratori chiave di eliminare questa chiave sia selezionata, quindi scegli Avanti.

Nella pagina Definisci le autorizzazioni per utilizzare le chiavi scegli Avanti.

Nella pagina Review (Rivedi), scegliere Finish (Fine).

La politica chiave verrà aggiornata in un secondo momento.

Apri la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

Scegli Archivia un nuovo segreto.

Nella pagina Scegli il tipo di segreto:

1. Per Tipo segreto, seleziona Altro tipo di segreto.

2. Per le coppie chiave/valore, scegliete la scheda Testo semplice.

3. Immettete il JSON codice seguente, dove sourcedbreader e sourcedbpassword sono le credenziali dell'utente del database di origine. Crea le credenziali del database di origine

   {
       "username":"sourcedbreader",
       "password":"sourcedbpassword"
   }

4. Per Chiave di crittografia, scegli la KMS chiave in cui hai creatoCreazione del file gestito dal cliente AWS KMS key, ad esempiolimitless.

5. Scegli Next (Successivo).

Nella pagina Configura segreto, inserisci un nome segreto, ad esempiosource_DB_secret, quindi scegli Avanti.

Nella pagina Configura rotazione - opzionale, scegli Avanti.

Nella pagina Review (Rivedi), scegli Store (Archivia).

Ripeti la procedura per il segreto del database di destinazione:

1. Immettere il JSON codice seguente, dove destinationdbwriter e destinationdbpassword sono le credenziali dell'utente del database di Crea le credenziali del database di destinazione destinazione.

   {
       "username":"destinationdbwriter",
       "password":"destinationdbpassword"
   }

2. Inserisci un nome segreto, ad esempiodestination_DB_secret.

Accedi a AWS Management Console e apri la IAM console all'indirizzo. https://console.aws.amazon.com/iam/

Vai alla pagina Ruoli.

Scegliere Crea ruolo.

Nella pagina Seleziona entità attendibile:

1. Per il tipo di entità affidabile, seleziona Criteri di attendibilità personalizzati.

2. Inserisci il seguente JSON codice per la politica di fiducia personalizzata:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rds.amazonaws.com"
                   ]
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

3. Scegli Next (Successivo).

Nella pagina Add permissions (Aggiungi autorizzazioni), scegli Next (Successivo).

Nella pagina Nome, rivedi e crea:

1. Per il nome del ruolo, inserisci aurora-data-loader o un altro nome che preferisci.

2. Scegli Aggiungi tag e inserisci il seguente tag:

   • Chiave: assumer

   • Value (Valore): aurora_limitless_table_data_load

   Importante

   L'Aurora Postgre SQL Limitless Database può assumere solo un IAM ruolo con questo tag.

3. Scegliere Crea ruolo.

Accedi a AWS Management Console e apri la AWS KMS console su https://console.aws.amazon.com/kms.

Vai alla pagina delle chiavi gestite dal cliente.

Scegli la KMS chiave che hai creatoCreazione del file gestito dal cliente AWS KMS key, ad esempiolimitless.

Nella scheda Politica chiave, per Utenti chiave, scegli Aggiungi.

Nella finestra Aggiungi utenti chiave, seleziona, ad esempioCreazione del ruolo IAM, il nome del IAM ruolo in cui hai creato aurora-data-loader.

Scegli Aggiungi.

Accedi a AWS Management Console e apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Vai alla pagina Ruoli.

Scegli, ad esempioCreazione del ruolo IAM, il IAM ruolo in cui hai creato aurora-data-loader.

Nella scheda Autorizzazioni, per Politiche di autorizzazione scegli Aggiungi autorizzazioni, quindi Crea politica in linea.

Nella pagina Specificare le autorizzazioni, scegli l'editor. JSON

Copia e incolla il seguente modello nell'JSONeditor, sostituendo i segnaposto con i segreti e ARNs la chiave del tuo database. KMS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Ec2Permission",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DescribeNetworkInterfacePermissions",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DescribeNetworkInterfaceAttribute",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeRegions",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeNetworkAcls"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecretsManagerPermissions",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:source_DB_secret-ABC123",
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:destination_DB_secret-456DEF"
            ]
        },        {
            "Sid": "KmsPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/aa11bb22-####-####-####-fedcba123456"
        },
        {
            "Sid": "RdsPermissions",
            "Effect": "Allow",
            "Action": [
                "rds:DescribeDBClusters",
                "rds:DescribeDBInstances"
            ],
            "Resource": "*"
        }
    ]
}

Verifica la presenza di errori e correggili.

Scegli Next (Successivo).

Nella pagina Rivedi e crea, inserisci il nome di una politicadata_loading_policy, ad esempio, quindi scegli Crea politica.