Erstellen Sie ein geheimes Salesforce-Kundengeheimnis

In diesem Tutorial erstellen Sie ein geheimes Salesforce-Client-Geheimnis und speichern es AWS Secrets Manager als verwaltetes externes Geheimnis, aktivieren die verwaltete Rotation und testen dann die rotierten Anmeldeinformationen, indem Sie sie gegen ein Zugriffstoken austauschen. Die Bearbeitung dieses Tutorials dauert etwa 20 bis 30 Minuten.

In diesem Tutorial werden AWS Dienste verwendet, für die möglicherweise Gebühren anfallen AWS-Konto, einschließlich Gebühren für den geheimen Schlüssel, den Sie in Secrets Manager speichern, und, falls Sie einen solchen verwenden, für einen vom Kunden verwalteten Schlüssel. Weitere Informationen finden Sie unter Preisgestaltung.

Anmerkung

In diesem Tutorial wird der SalesforceClientSecretgeheime Typ als Beispiel verwendet. Andere Typen von verwalteten externen Geheimnissen folgen einem ähnlichen Ablauf. Sie erstellen den geheimen Schlüssel in dem Format, das der Integrationspartner definiert, aktivieren die verwaltete Rotation und verwenden dann die rotierten Anmeldeinformationen. Eine Liste der integrierten Partner und ihrer erforderlichen geheimen Formate finden Sie unter. Integrationspartner

Bevor Sie mit diesem Tutorial beginnen, stellen Sie sicher, dass Sie über Folgendes verfügen.

• Ein Salesforce-Konto (Entwickler oder nicht), mit dem Sie externe Client-Apps (ECAs) erstellen können.

• Administratorberechtigungen für Ihre AWS-Konto. In einer Produktionsumgebung ist es eine bewährte Methode, verschiedene Rollen für unterschiedliche Aufgaben zu verwenden. Beispielsweise würde eine Rolle, die geheime Daten in Ihrer Organisation verwaltet, das Geheimnis erstellen, und eine separate Rolle würde das Geheimnis zur Laufzeit verwenden. Für die Tutorial-Schritte empfehlen wir Ihnen, weiterhin dieselbe Identität zu verwenden. Informationen zum Einrichten von Berechtigungen in einer Produktionsumgebung finden Sie unter Authentifizierung und Zugriffskontrolle für AWS Secrets Manager.

Schritt 1: Erstellen Sie eine externe Client-App und aktivieren Sie OAuth

Der erste Schritt besteht darin, eine External Client App (ECA) in Salesforce zu erstellen und sie für OAuth zu konfigurieren, sodass Secrets Manager den geheimen Clientschlüssel rotieren kann. Das vollständige Salesforce-Verfahren finden Sie unter Einrichten der Autorisierung mit einer externen Client-Anwendung in der Salesforce-Dokumentation.

Stellen Sie bei der Einrichtung der ECA sicher, dass Sie Folgendes konfigurieren:

• Aktivieren Sie auf Organisationsebene die Option Zugriff auf Kundengeheimnisse der externen Client-App über die REST-API zulassen. Mit dieser Einstellung kann Secrets Manager das Verbrauchergeheimnis über die Salesforce-REST-API abrufen und rotieren.

• Aktivieren Sie auf der ECA den OAuth-Bereich Benutzerdaten über APIs (API) verwalten.

• Aktivieren Sie auf der ECA die Option Enable Client Credentials Flow.

• Aktivieren Sie auf der ECA die Optionen Enable Token Exchange Flow und Require Secret for Token Exchange Flow.

Nachdem Sie die ECA erstellt haben, sammeln Sie im nächsten Schritt die Werte, die Sie im Secret speichern müssen:

• Der Verbraucherschlüssel (Client-ID) und der geheime Verbraucherschlüssel (Client-Secret) aus den OAuth-Einstellungen von ECA Manager.

• Zum Beispiel Ihre Salesforce My Domain-Basis-URL. https://MyDomainName.my.salesforce.com

• Die Anwendungs-ID und die Verbraucher-ID für die ECA. Diese entsprechen den consumer_id Feldern external_client_app_identifier und in der Salesforce-Dokumentation. Informationen zum Abrufen dieser Werte finden Sie unter Stage OAuth-Anmeldeinformationen in der Salesforce-Dokumentation.

Eine Beschreibung der einzelnen Felder, die im Secret erforderlich sind, finden Sie unter. Geheimer Salesforce-Client

Schritt 2: Erstellen Sie den verwalteten externen geheimen Schlüssel und aktivieren Sie die Rotation

Als Nächstes speichern Sie das Salesforce-Client-Geheimnis in Secrets Manager als verwaltetes externes Geheimnis und aktivieren die verwaltete Rotation. Mit der verwalteten Rotation erstellen oder verwalten Sie keine Lambda-Rotationsfunktion. Secrets Manager wechselt das Geheimnis für Sie.

Um das Geheimnis zu erstellen und die Rotation einzuschalten (Konsole)

1. Öffnen Sie die Secrets Manager Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

2. Wählen Sie Store a new secret (Ein neues Secret speichern).

3. Führen Sie auf der Seite Choose secret type (Secret-Typ auswählen) die folgenden Schritte aus:

   1. Wählen Sie als Geheimtyp den vom Salesforce-Client verwalteten geheimen externen Geheimtyp (SalesforceClientSecret) aus.

   2. Geben Sie die Felder für den geheimen Wert des Salesforce-Client-Geheimnisses ein: den Verbraucherschlüssel, den geheimen Verbraucherschlüssel, den Basis-URI, die Anwendungs-ID und die Verbraucher-ID. Eine Beschreibung der einzelnen Felder finden Sie unterGeheimer Salesforce-Client.

   3. Wählen Sie aws/secretsmanagerfür den Verschlüsselungsschlüssel den Von AWS verwalteter Schlüssel for Secrets Manager aus. Für die Verwendung dieses Schlüssels fallen keine Kosten an. Sie können auch Ihren eigenen, vom Kunden verwalteten Schlüssel verwenden. Informationen zu den Kosten der Verwendung eines vom Kunden verwalteten Schlüssels finden Sie unter Preisgestaltung.

   4. Wählen Sie Weiter aus.

4. Geben Sie auf der Seite Geheimen Schlüssel konfigurieren einen aussagekräftigen Geheimnamen und eine Beschreibung ein und klicken Sie dann auf Weiter.

5. Gehen Sie auf der Seite „Rotation konfigurieren“ wie folgt vor. Bei verwalteten externen Geheimnissen ist die Rotation bei der Erstellung von Geheimnissen standardmäßig aktiviert.

   1. Vergewissern Sie sich, dass die automatische Rotation aktiviert ist.

   2. Geben Sie unter Rotationsmetadaten für API-Version (apiVersion) die API-Version Ihrer Salesforce-Organisation ein. Dies ist ein Pflichtfeld. Sie muss das Format habenvXX.X, in dem es X sich um ein numerisches Zeichen handelt, und muss mindestens seinv65.0. Wenn Sie möchten, dass Secrets Manager das Secret mit einem separaten Satz von Administratoranmeldeinformationen rotiert, geben Sie auch den geheimen Administrator-ARN an. Eine Beschreibung der einzelnen Metadatenfelder finden Sie unterGeheimer Salesforce-Client.

   3. Wählen Sie unter Dienstberechtigungen für die geheime Rotation die Option Neue Rolle erstellen aus, um automatisch eine IAM-Rolle mit den Berechtigungen zu erstellen, die Secrets Manager für die Rotation des Secrets benötigt. Standardmäßig sind die Berechtigungen auf den Integrationspartner in der AWS Region beschränkt, in der der geheime Schlüssel erstellt wurde. Weitere Informationen finden Sie unter Sicherheit und Berechtigungen.

   4. Geben Sie unter Rotationsplan Ihren Zeitplan in der UTC-Zeitzone ein, z. B. die automatische Rotation alle 30 Tage.

   5. Wählen Sie Weiter aus.

6. Prüfen Sie auf der Seite Review (Prüfen) die Secret-Details und wählen Sie Store (Speichern).

Weitere Möglichkeiten, die Rotation für ein verwaltetes externes Geheimnis zu konfigurieren, einschließlich des AWS AWS CLI, finden Sie unterRotate Secrets Manager verwaltete externe Geheimnisse.

Schritt 3: Testen Sie die rotierten Anmeldeinformationen

Der letzte Schritt besteht darin, zu überprüfen, ob die rotierten Anmeldeinformationen funktionieren, indem der geheime Wert abgerufen und die Anmeldeinformationen gegen ein Salesforce-Zugriffstoken ausgetauscht werden.

Um den geheimen Wert abzurufen (Konsole)

1. Öffnen Sie die Secrets Manager Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

2. Wählen Sie auf der Seite Secrets Ihr Secret aus.

3. Scrollen Sie auf der Seite Secret details (Geheimnis-Details) nach unten und wählen Sie Retrieve secret value (Geheimnis-Wert abrufen) aus. Notieren Sie sich die aktuellen consumerSecret Werte consumerKey und.

Anmerkung

Vergewissern Sie sich, dass sich die consumerSecret Werte für consumerKey und tatsächlich gegenüber den Werten geändert haben, die Sie ursprünglich gespeichert haben. Wenn sie sich nicht geändert haben, warten Sie ein paar Minuten und überprüfen Sie es erneut. Wenn sie sich immer noch nicht geändert haben, suchen Sie AWS CloudTrail nach RotationFailed Ereignissen für das Geheimnis, die Einzelheiten darüber enthalten, warum die Rotation fehlgeschlagen ist. Weitere Informationen finden Sie unter Mein verwaltetes externes Geheimnis rotiert nicht.

Verwenden Sie als Nächstes die abgerufenen Anmeldeinformationen, um ein Zugriffstoken von Salesforce anzufordern. MyDomainNameErsetzen Sie es durch Ihren Salesforce-Namen „Meine Domäne“ und ersetzen Sie „consumerKeyundconsumerSecret“ durch die Werte, die Sie abgerufen haben.

curl -X POST "https://MyDomainName.my.salesforce.com/services/oauth2/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=consumerKey" \
  -d "client_secret=consumerSecret"

Wenn die Anmeldeinformationen gültig sind, gibt Salesforce eine JSON-Antwort zurück, die eine enthältaccess_token. Der Empfang eines Zugriffstokens bestätigt, dass die rotierten Anmeldeinformationen funktionieren.

Wenn Sie Befehle in eine Befehls-Shell eingeben, besteht die Gefahr, dass auf den Befehlsverlauf zugegriffen wird oder Serviceprogramme Zugriff auf Ihre Befehlsparameter haben. Siehe Reduzieren Sie die Risiken, die mit der Verwendung von AWS CLI zur Aufbewahrung Ihrer AWS Secrets Manager Geheimnisse verbunden sind.

Schritt 4: Bereinigen von Ressourcen

Um laufende Gebühren zu vermeiden, löschen Sie die Ressourcen, die Sie in diesem Tutorial erstellt haben, wenn Sie sie nicht mehr benötigen: die geheime und die IAM-Rotationsrolle, die Secrets Manager erstellt hat. Durch das Löschen des Secrets wird auch die automatische Rotation gestoppt.

Um das Geheimnis zu löschen (Konsole)

1. Öffnen Sie die Secrets Manager Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

2. Wählen Sie auf der Seite Secrets Ihr Secret aus.

3. Wählen Sie im Bereich Secret details (Secret-Details) die Option Actions (Aktionen) und danach Delete secret (Secret löschen) aus.

4. Geben Sie im Dialogfeld „Löschen von geheimen Daten und Zeitplan deaktivieren“ eine Wartezeit ein und wählen Sie dann Löschen planen aus. Secrets Manager macht das Geheimnis sofort unzugänglich und plant, dass es nach Ablauf des Wiederherstellungsfensters gelöscht wird. Weitere Informationen finden Sie unter Löschen Sie eine AWS Secrets Manager Secret.

Um die Rotationsrolle zu löschen (Konsole)

1. Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/und wählen Sie dann Rollen aus.

2. Suchen Sie die Rolle, die Secrets Manager für die Rotation erstellt hat, wählen Sie sie aus, und klicken Sie dann auf Löschen. Weitere Informationen zum Löschen von Rollen finden Sie unter Löschen von Rollen oder Instance-Profilen im IAM-Benutzerhandbuch.

Nächste Schritte

• Weitere Informationen zu verwalteten externen Geheimnissen und den Partnern, mit denen Secrets Manager integriert werden kann, finden Sie unterVerwenden AWS Secrets Manager verwaltete externe Geheimnisse zur Verwaltung von Geheimnissen von Drittanbietern.

• Informationen zu den erforderlichen Feldern für geheime Werte und Rotationsmetadaten für Salesforce finden Sie unterGeheimer Salesforce-Client.

• Weitere Möglichkeiten, die Rotation für ein verwaltetes externes Geheimnis einzurichten, finden Sie unterVerwaltete externe Geheimnisse rotieren.

• Sie können die Leistung verbessern und Kosten senken, indem Sie Secrets zwischenspeichern. Weitere Informationen finden Sie unter Holen Sie sich Geheimnisse von AWS Secrets Manager.

• Informationen zu den Kosten der Verwendung von Secrets Manager finden Sie unterPreisgestaltung.