As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Protegendo as credenciais do local de armazenamento

DataSync usa locais para acessar seus recursos de armazenamento localizados no local, em outras nuvens ou em AWS. Alguns tipos de localização exigem que você forneça credenciais, como chave de acesso e chave secreta ou nome de usuário e senha, para se autenticar no sistema de armazenamento. Ao criar um DataSync local que exige credenciais para autenticação, você pode escolher uma das seguintes opções para controlar como o segredo de suas credenciais é armazenado:

Em todos os casos, o segredo do Secrets Manager é armazenado em sua conta, permitindo que você atualize o segredo conforme necessário, independentemente do DataSync serviço. Você é cobrado apenas pelo uso de segredos que você cria fora do DataSync. Segredos criados e gerenciados por DataSync têm o prefixoaws-datasync.

Usando um segredo gerenciado pelo serviço criptografado com uma chave padrão

Ao criar sua DataSync localização, basta fornecer a string secreta. DataSynccria um recurso secreto AWS Secrets Manager para armazenar o segredo que você fornece e criptografa o segredo com a chave KMS padrão do Secrets Manager para sua conta. Você pode alterar o valor secreto diretamente no Secrets Manager ou atualizando o local usando o DataSync console ou o SDK. AWS CLI Quando você exclui o recurso de localização ou o atualiza para usar um segredo personalizado, DataSync exclui o recurso secreto automaticamente.

Usando um segredo gerenciado pelo serviço criptografado com uma chave personalizada AWS KMS

Ao criar sua DataSync localização, você fornece o segredo e o ARN da sua AWS KMS chave. DataSync cria automaticamente um recurso secreto AWS Secrets Manager para armazenar o segredo que você fornece e o criptografa usando sua AWS KMS chave. Você pode alterar o valor secreto diretamente no Secrets Manager ou atualizando o local usando o DataSync console ou o SDK. AWS CLI Quando você exclui o recurso de localização ou o atualiza para usar um segredo personalizado, DataSync exclui o recurso secreto automaticamente.

Para criar, modificar e excluir recursos secretos no Secrets Manager, é DataSync necessário ter as permissões apropriadas. Para obter mais informações, consulte Políticas gerenciadas pela AWS : AWSDataSyncFullAccess.

Além de usar a política DataSync gerenciada correta, você também precisa das seguintes permissões:

{
    "Sid": "DataSyncKmsPermissions",
    "Effect": "Allow",
    "Action": [
        "kms:Encrypt",
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "your-kms-key-arn",
    "Condition": {
        "StringLike": {
            "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
    }
}

your-kms-key-arnSubstitua pelo ARN da sua chave KMS.

Para recuperar e descriptografar o valor secreto, DataSync use uma função vinculada ao serviço (SLR) para acessar sua chave. AWS KMS Para garantir que DataSync você possa usar sua chave KMS, adicione o seguinte à declaração de política da chave:

{
    "Sid": "Allow DataSync to use the key for decryption",
    "Effect": "Allow",
    "Principal": {
            "AWS": "arn:aws:iam::accountid:role/aws-service-role/datasync.amazonaws.com/AWSServiceRoleForDataSync"
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

accountidSubstitua pelo seu Conta da AWS ID.

Usando um segredo que você gerencia

Antes de criar sua DataSync localização, crie uma entrada secreta AWS Secrets Manager. O valor do segredo deve conter somente a própria string secreta em texto simples. Ao criar sua DataSync localização, você fornece o ARN do seu segredo e uma função do IAM que DataSync usa para acessar seu segredo e a AWS KMS chave usada para criptografá-lo. Para criar uma função do IAM com as permissões apropriadas, faça o seguinte:

Você pode especificar essa função ao criar sua localização. Se seu segredo usa uma AWS KMS chave gerenciada pelo cliente para criptografia, você também precisará atualizar a política da chave para permitir o acesso da função que você criou no procedimento anterior. Para atualizar a política, adicione o seguinte à declaração de política da sua AWS KMS chave:

{
    "Sid": "Allow DataSync use of the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam accountid:role/your-role-name”
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

accountidSubstitua pelo seu Conta da AWS ID e your-role-name pelo nome da função do IAM que você criou no procedimento anterior.