Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Protezione delle credenziali della posizione di archiviazione

DataSync utilizza le posizioni per accedere alle risorse di archiviazione situate in sede, in altri cloud o in. AWS Alcuni tipi di ubicazione richiedono l'immissione di credenziali, come una chiave di accesso e una chiave segreta o un nome utente e una password, per l'autenticazione con il sistema di storage. Quando si crea una DataSync posizione che richiede credenziali per l'autenticazione, è possibile scegliere una delle seguenti opzioni per controllare la modalità di archiviazione del segreto delle credenziali:

In tutti i casi, il segreto di Secrets Manager viene memorizzato nel tuo account, consentendoti di aggiornarlo secondo necessità, indipendentemente dal DataSync servizio. Ti viene addebitato solo l'uso di segreti che crei al di fuori di DataSync. I segreti creati e gestiti da DataSync hanno il prefissoaws-datasync.

Utilizzo di un segreto gestito dal servizio crittografato con una chiave predefinita

Quando crei la tua DataSync posizione, devi semplicemente fornire la stringa segreta. DataSynccrea una risorsa segreta AWS Secrets Manager per archiviare il segreto fornito e lo crittografa con la chiave KMS Secrets Manager predefinita per il tuo account. Puoi modificare il valore segreto direttamente in Secrets Manager o aggiornando la posizione utilizzando la DataSync console o AWS CLI l'SDK. Quando elimini la risorsa di localizzazione o la aggiorni per utilizzare un segreto personalizzato, DataSync elimina automaticamente la risorsa segreta.

Utilizzo di un segreto gestito dal servizio crittografato con una chiave personalizzata AWS KMS

Quando crei la tua DataSync posizione, fornisci il segreto e l'ARN della tua AWS KMS chiave. DataSync crea automaticamente una risorsa segreta in AWS Secrets Manager cui archiviare il segreto fornito e lo cripta utilizzando la tua AWS KMS chiave. Puoi modificare il valore segreto direttamente in Secrets Manager o aggiornando la posizione utilizzando la DataSync console o AWS CLI l'SDK. Quando elimini la risorsa di localizzazione o la aggiorni per utilizzare un segreto personalizzato, DataSync elimina automaticamente la risorsa segreta.

Per creare, modificare ed eliminare risorse segrete in Secrets Manager, è DataSync necessario disporre delle autorizzazioni appropriate. Per ulteriori informazioni, consulta l'argomento relativo alle policy gestite da AWS : AWSDataSyncFullAccess.

Oltre a utilizzare la politica DataSync gestita corretta, sono necessarie anche le seguenti autorizzazioni:

{
    "Sid": "DataSyncKmsPermissions",
    "Effect": "Allow",
    "Action": [
        "kms:Encrypt",
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "your-kms-key-arn",
    "Condition": {
        "StringLike": {
            "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
    }
}

your-kms-key-arnSostituiscilo con la tua chiave KMS ARN.

Per recuperare e decrittografare il valore segreto, DataSync utilizza un Service Linked Role (SLR) per accedere alla chiave. AWS KMS Per assicurarti di DataSync poter utilizzare la tua chiave KMS, aggiungi quanto segue alla dichiarazione sulla politica della chiave:

{
    "Sid": "Allow DataSync to use the key for decryption",
    "Effect": "Allow",
    "Principal": {
            "AWS": "arn:aws:iam::accountid:role/aws-service-role/datasync.amazonaws.com/AWSServiceRoleForDataSync"
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

accountidSostituiscila con il tuo Account AWS ID.

Usando un segreto che gestisci

Prima di creare la tua DataSync posizione, crea un indirizzo segreto. AWS Secrets Manager Il valore del segreto deve contenere solo la stringa segreta stessa in testo semplice. Quando crei la tua DataSync posizione, fornisci l'ARN del tuo segreto e un ruolo IAM che DataSync utilizza per accedere sia al tuo segreto che alla AWS KMS chiave utilizzata per crittografare il tuo segreto. Per creare un ruolo IAM con le autorizzazioni appropriate, procedi come segue:

Puoi specificare questo ruolo durante la creazione della tua sede. Se il tuo segreto utilizza una AWS KMS chiave gestita dal cliente per la crittografia, dovrai anche aggiornare la politica della chiave per consentire l'accesso dal ruolo creato nella procedura precedente. Per aggiornare la politica, aggiungi quanto segue alla dichiarazione sulla politica della tua AWS KMS chiave:

{
    "Sid": "Allow DataSync use of the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam accountid:role/your-role-name”
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

Sostituiscila accountid con il tuo Account AWS ID e your-role-name con il nome del ruolo IAM che hai creato nella procedura precedente.