As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Usando AWS Secrets Manager segredos em vez de credenciais de banco de dados no Quick Suite

AWS Secrets Manager é um serviço de armazenamento secreto que você pode usar para proteger credenciais de banco de dados, chaves de API e outras informações secretas. Usar uma chave ajuda a garantir que o segredo não possa ser comprometido por alguém que esteja examinando seu código, pois o segredo não está ali. Para obter uma visão geral, consulte o Guia do usuário do AWS Secrets Manager.

Os administradores do Quick Suite podem conceder ao Amazon Quick Suite acesso somente de leitura aos segredos que eles criam no Secrets Manager. Esses segredos podem ser usados no lugar das credenciais do banco de dados ao criar e editar fontes de dados usando a API do Quick Suite.

O Quick Suite suporta o uso de segredos com tipos de fonte de dados que oferecem suporte à autenticação de pares de credenciais. Não ServiceNow há suporte para Jira e no momento.

Use os procedimentos descritos nas seções a seguir para integrar o Secrets Manager com o Amazon Quick Suite.

Concedendo ao Amazon Quick Suite acesso ao Secrets Manager e segredos selecionados

Se você for administrador e tiver segredos no Secrets Manager, você pode conceder ao Amazon Quick Suite acesso somente de leitura aos segredos selecionados.

Criação ou atualização de uma fonte de dados com credenciais secretas usando a API do Amazon Quick Suite

Depois que o administrador do Amazon Quick Suite conceder ao Amazon Quick Suite acesso somente de leitura ao Secrets Manager, você poderá criar e atualizar fontes de dados na API usando um segredo que o administrador selecionou como credenciais.

Veja a seguir um exemplo de chamada de API para criar uma fonte de dados no Amazon Quick Suite. Este exemplo usa a operação de API create-data-source. Também é possível usar a operação update-data-source. Para obter mais informações, consulte CreateDataSourcee UpdateDataSourcena Referência de API do Amazon Quick Suite.

O usuário especificado nas permissões no exemplo de chamada de API a seguir pode excluir, visualizar e editar fontes de dados para a fonte de dados MySQL especificada no Amazon Quick Suite. O usuário também pode visualizar e atualizar as permissões da fonte de dados. Em vez de um nome de usuário e senha do Amazon Quick Suite, um ARN secreto é usado como credencial para a fonte de dados.

aws quicksight create-data-source 
    --aws-account-id AWSACCOUNTID \ 
    --data-source-id DATASOURCEID \
    --name NAME \
    --type MYSQL \
    --permissions '[{"Principal": "arn:aws:quicksight:region:accountID:user/namespace/username", "Actions": ["quicksight:DeleteDataSource", "quicksight:DescribeDataSource", "quicksight:DescribeDataSourcePermissions", "quicksight:PassDataSource", "quicksight:UpdateDataSource", "quicksight:UpdateDataSourcePermissions"]}]' \
    --data-source-parameters='{"MySQLParameters":{"Database": "database", "Host":"hostURL", "Port":"port"}}' \
    --credentials='{"SecretArn":"arn:aws:secretsmanager:region:accountID:secret:secretname"}' \
    --region us-west-2

Nessa chamada, o Amazon Quick Suite autoriza o secretsmanager:GetSecretValue acesso ao segredo com base na política de IAM do chamador da API, não na política da função de serviço do IAM. O perfil de serviço do IAM atua no nível da conta e é usado quando uma análise ou painel é visualizado por um usuário. Ele não pode ser usado para autorizar o acesso do segredo quando um usuário cria ou atualiza a fonte de dados.

Quando editam uma fonte de dados na interface do usuário do Amazon Quick Suite, os usuários podem visualizar o ARN secreto das fontes de dados que usam AWS Secrets Manager como tipo de credencial. No entanto, eles não podem editar o segredo nem selecionar um diferente. Se precisarem fazer alterações, por exemplo, no servidor ou na porta do banco de dados, os usuários precisam primeiro escolher o par de credenciais e inserir o nome de usuário e a senha da conta Amazon Quick Suite.

Os segredos são removidos automaticamente de uma fonte de dados quando ela é alterada na interface do usuário. Para restaurar o segredo na fonte de dados, use a operação de API update-data-source.

O que há no segredo?

O Amazon Quick Suite exige o seguinte formato JSON para acessar seu segredo:

{
  "username": "username",
  "password": "password"
}

Os password campos username e são obrigatórios para que o Amazon Quick Suite acesse segredos. Todos os outros campos são opcionais e são ignorados pelo Amazon Quick Suite.

O formato JSON pode variar dependendo do tipo de banco de dados. Para obter mais informações, consulte a estrutura JSON dos segredos das credenciais do AWS Secrets Manager banco de dados no Guia do AWS Secrets Manager usuário.

Modificar um segredo

Para modificar um segredo, use o Secrets Manager. Depois de fazer alterações em um segredo, as atualizações ficam disponíveis na próxima vez que o Amazon Quick Suite solicitar acesso ao segredo.