Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Erstellen Sie ein geheimes Salesforce-Kundengeheimnis In diesem Tutorial erstellen Sie ein geheimes Salesforce-Client-Geheimnis und speichern es AWS Secrets Manager als [verwaltetes externes Geheimnis](managed-external-secrets.md), aktivieren die verwaltete Rotation und testen dann die rotierten Anmeldeinformationen, indem Sie sie gegen ein Zugriffstoken austauschen. Die Bearbeitung dieses Tutorials dauert etwa 20 bis 30 Minuten. In diesem Tutorial werden AWS Dienste verwendet, für die möglicherweise Gebühren anfallen AWS-Konto, einschließlich Gebühren für den geheimen Schlüssel, den Sie in Secrets Manager speichern, und, falls Sie einen solchen verwenden, für einen vom Kunden verwalteten Schlüssel. Weitere Informationen finden Sie unter [Preisgestaltung](intro.md#asm_pricing). **Anmerkung** In diesem Tutorial wird der [SalesforceClientSecret](mes-partner-salesforce.md)geheime Typ als Beispiel verwendet. Andere Typen von verwalteten externen Geheimnissen folgen einem ähnlichen Ablauf. Sie erstellen den geheimen Schlüssel in dem Format, das der Integrationspartner definiert, aktivieren die verwaltete Rotation und verwenden dann die rotierten Anmeldeinformationen. Eine Liste der integrierten Partner und ihrer erforderlichen geheimen Formate finden Sie unter. [Integrationspartner](mes-partners.md) Bevor Sie mit diesem Tutorial beginnen, stellen Sie sicher, dass Sie über Folgendes verfügen. + Ein Salesforce-Konto (Entwickler oder nicht), mit dem Sie externe Client-Apps (ECAs) erstellen können. + Administratorberechtigungen für Ihre AWS-Konto. In einer Produktionsumgebung ist es eine bewährte Methode, verschiedene Rollen für unterschiedliche Aufgaben zu verwenden. Beispielsweise würde eine Rolle, die geheime Daten in Ihrer Organisation verwaltet, das Geheimnis erstellen, und eine separate Rolle würde das Geheimnis zur Laufzeit verwenden. Für die Tutorial-Schritte empfehlen wir Ihnen, weiterhin dieselbe Identität zu verwenden. Informationen zum Einrichten von Berechtigungen in einer Produktionsumgebung finden Sie unter [Authentifizierung und Zugriffskontrolle für AWS Secrets Manager](auth-and-access.md). **Topics** + [Schritt 1: Erstellen Sie eine externe Client-App und aktivieren Sie OAuth](#tutorials_salesforce-client-secret_step1) + [Schritt 2: Erstellen Sie den verwalteten externen geheimen Schlüssel und aktivieren Sie die Rotation](#tutorials_salesforce-client-secret_step2) + [Schritt 3: Testen Sie die rotierten Anmeldeinformationen](#tutorials_salesforce-client-secret_step3) + [Schritt 4: Bereinigen von Ressourcen](#tutorials_salesforce-client-secret_step4) + [Nächste Schritte](#tutorials_salesforce-client-secret_nextsteps) ## Schritt 1: Erstellen Sie eine externe Client-App und aktivieren Sie OAuth Der erste Schritt besteht darin, eine External Client App (ECA) in Salesforce zu erstellen und sie für OAuth zu konfigurieren, sodass Secrets Manager den geheimen Clientschlüssel rotieren kann. Das vollständige Salesforce-Verfahren finden Sie unter [Einrichten der Autorisierung mit einer externen Client-Anwendung](https://developer.salesforce.com/docs/platform/accsdk/guide/acc-sdk-setup-auth-external.html) in der Salesforce-Dokumentation. Stellen Sie bei der Einrichtung der ECA sicher, dass Sie Folgendes konfigurieren: + Aktivieren Sie auf Organisationsebene die Option **Zugriff auf Kundengeheimnisse der externen Client-App über die REST-API zulassen**. Mit dieser Einstellung kann Secrets Manager das Verbrauchergeheimnis über die Salesforce-REST-API abrufen und rotieren. + Aktivieren Sie auf der ECA den OAuth-Bereich **Benutzerdaten über APIs (API) verwalten**. + Aktivieren Sie auf der ECA die Option **Enable Client Credentials Flow**. + **Aktivieren Sie auf der ECA die Optionen Enable Token Exchange Flow** und **Require Secret for Token Exchange Flow**. Nachdem Sie die ECA erstellt haben, sammeln Sie im nächsten Schritt die Werte, die Sie im Secret speichern müssen: + Der **Verbraucherschlüssel** (Client-ID) und der **geheime Verbraucherschlüssel** (Client-Secret) aus den OAuth-Einstellungen von ECA Manager. + Zum Beispiel Ihre Salesforce My Domain-Basis-URL. `https://{{MyDomainName}}.my.salesforce.com` + Die **Anwendungs-ID** und die **Verbraucher-ID** für die ECA. Diese entsprechen den `consumer_id` Feldern `external_client_app_identifier` und in der Salesforce-Dokumentation. Informationen zum Abrufen dieser Werte finden Sie unter [Stage OAuth-Anmeldeinformationen](https://help.salesforce.com/s/articleView?id=xcloud.eca_stage_oauth_credentials.htm&type=5) in der Salesforce-Dokumentation. Eine Beschreibung der einzelnen Felder, die im Secret erforderlich sind, finden Sie unter. [Geheimer Salesforce-Client](mes-partner-salesforce.md) ## Schritt 2: Erstellen Sie den verwalteten externen geheimen Schlüssel und aktivieren Sie die Rotation Als Nächstes speichern Sie das Salesforce-Client-Geheimnis in Secrets Manager als verwaltetes externes Geheimnis und aktivieren die verwaltete Rotation. Mit der verwalteten Rotation erstellen oder verwalten Sie keine Lambda-Rotationsfunktion. Secrets Manager wechselt das Geheimnis für Sie. **Um das Geheimnis zu erstellen und die Rotation einzuschalten (Konsole)** 1. Öffnen Sie die Secrets Manager Manager-Konsole unter [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Wählen Sie **Store a new secret** (Ein neues Secret speichern). 1. Führen Sie auf der Seite **Choose secret type** (Secret-Typ auswählen) die folgenden Schritte aus: 1. Wählen Sie als **Geheimtyp** den vom Salesforce-Client verwalteten geheimen externen Geheimtyp (**SalesforceClientSecret**) aus. 1. Geben Sie die Felder für den geheimen Wert des Salesforce-Client-Geheimnisses ein: den Verbraucherschlüssel, den geheimen Verbraucherschlüssel, den Basis-URI, die Anwendungs-ID und die Verbraucher-ID. Eine Beschreibung der einzelnen Felder finden Sie unter[Geheimer Salesforce-Client](mes-partner-salesforce.md). 1. Wählen Sie **aws/secretsmanager**für den **Verschlüsselungsschlüssel** den Von AWS verwalteter Schlüssel for Secrets Manager aus. Für die Verwendung dieses Schlüssels fallen keine Kosten an. Sie können auch Ihren eigenen, vom Kunden verwalteten Schlüssel verwenden. Informationen zu den Kosten der Verwendung eines vom Kunden verwalteten Schlüssels finden Sie unter [Preisgestaltung](intro.md#asm_pricing). 1. Wählen Sie **Weiter** aus. 1. Geben Sie auf der Seite **Geheimen Schlüssel konfigurieren** einen aussagekräftigen **Geheimnamen** und eine **Beschreibung** ein und klicken Sie dann auf **Weiter**. 1. Gehen Sie auf der Seite **„Rotation konfigurieren**“ wie folgt vor. Bei verwalteten externen Geheimnissen ist die Rotation bei der Erstellung von Geheimnissen standardmäßig aktiviert. 1. Vergewissern Sie sich, dass die **automatische Rotation** aktiviert ist. 1. Geben Sie unter **Rotationsmetadaten** für **API-Version** (`apiVersion`) die API-Version Ihrer Salesforce-Organisation ein. Dies ist ein Pflichtfeld. Sie muss das Format haben`v{{XX.X}}`, in dem es {{X}} sich um ein numerisches Zeichen handelt, und muss mindestens sein`v65.0`. Wenn Sie möchten, dass Secrets Manager das Secret mit einem separaten Satz von Administratoranmeldeinformationen rotiert, geben Sie auch den geheimen Administrator-ARN an. Eine Beschreibung der einzelnen Metadatenfelder finden Sie unter[Geheimer Salesforce-Client](mes-partner-salesforce.md). 1. Wählen Sie **unter Dienstberechtigungen für die geheime Rotation** die Option **Neue Rolle erstellen** aus, um automatisch eine IAM-Rolle mit den Berechtigungen zu erstellen, die Secrets Manager für die Rotation des Secrets benötigt. Standardmäßig sind die Berechtigungen auf den Integrationspartner in der AWS Region beschränkt, in der der geheime Schlüssel erstellt wurde. Weitere Informationen finden Sie unter [Sicherheit und Berechtigungen](mes-security.md). 1. Geben Sie unter **Rotationsplan** Ihren Zeitplan in der UTC-Zeitzone ein, z. B. die automatische Rotation alle 30 Tage. 1. Wählen Sie **Weiter** aus. 1. Prüfen Sie auf der Seite **Review (Prüfen)** die Secret-Details und wählen Sie **Store (Speichern)**. Weitere Möglichkeiten, die Rotation für ein verwaltetes externes Geheimnis zu konfigurieren, einschließlich des AWS AWS CLI, finden Sie unter[Rotate Secrets Manager verwaltete externe Geheimnisse](rotate-secrets_external.md). ## Schritt 3: Testen Sie die rotierten Anmeldeinformationen Der letzte Schritt besteht darin, zu überprüfen, ob die rotierten Anmeldeinformationen funktionieren, indem der geheime Wert abgerufen und die Anmeldeinformationen gegen ein Salesforce-Zugriffstoken ausgetauscht werden. **Um den geheimen Wert abzurufen (Konsole)** 1. Öffnen Sie die Secrets Manager Manager-Konsole unter [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Wählen Sie auf der Seite **Secrets** Ihr Secret aus. 1. Scrollen Sie auf der Seite **Secret details** (Geheimnis-Details) nach unten und wählen Sie **Retrieve secret value** (Geheimnis-Wert abrufen) aus. Notieren Sie sich die aktuellen `consumerSecret` Werte `consumerKey` und. **Anmerkung** Vergewissern Sie sich, dass sich die `consumerSecret` Werte für `consumerKey` und tatsächlich gegenüber den Werten geändert haben, die Sie ursprünglich gespeichert haben. Wenn sie sich nicht geändert haben, warten Sie ein paar Minuten und überprüfen Sie es erneut. Wenn sie sich immer noch nicht geändert haben, suchen Sie AWS CloudTrail nach `RotationFailed` Ereignissen für das Geheimnis, die Einzelheiten darüber enthalten, warum die Rotation fehlgeschlagen ist. Weitere Informationen finden Sie unter [Mein verwaltetes externes Geheimnis rotiert nicht](troubleshoot.md#troubleshoot-mes-not-rotating). Verwenden Sie als Nächstes die abgerufenen Anmeldeinformationen, um ein Zugriffstoken von Salesforce anzufordern. {{MyDomainName}}Ersetzen Sie es durch Ihren Salesforce-Namen „Meine Domäne“ und ersetzen Sie „{{consumerKey}}und{{consumerSecret}}“ durch die Werte, die Sie abgerufen haben. ``` curl -X POST "https://{{MyDomainName}}.my.salesforce.com/services/oauth2/token" \ -H "Content-Type: application/x-www-form-urlencoded" \ -d "grant_type=client_credentials" \ -d "client_id={{consumerKey}}" \ -d "client_secret={{consumerSecret}}" ``` Wenn die Anmeldeinformationen gültig sind, gibt Salesforce eine JSON-Antwort zurück, die eine enthält`access_token`. Der Empfang eines Zugriffstokens bestätigt, dass die rotierten Anmeldeinformationen funktionieren. Wenn Sie Befehle in eine Befehls-Shell eingeben, besteht die Gefahr, dass auf den Befehlsverlauf zugegriffen wird oder Serviceprogramme Zugriff auf Ihre Befehlsparameter haben. Siehe [Reduzieren Sie die Risiken, die mit der Verwendung von AWS CLI zur Aufbewahrung Ihrer AWS Secrets Manager Geheimnisse verbunden sind](security_cli-exposure-risks.md). ## Schritt 4: Bereinigen von Ressourcen Um laufende Gebühren zu vermeiden, löschen Sie die Ressourcen, die Sie in diesem Tutorial erstellt haben, wenn Sie sie nicht mehr benötigen: die geheime und die IAM-Rotationsrolle, die Secrets Manager erstellt hat. Durch das Löschen des Secrets wird auch die automatische Rotation gestoppt. **Um das Geheimnis zu löschen (Konsole)** 1. Öffnen Sie die Secrets Manager Manager-Konsole unter [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Wählen Sie auf der Seite **Secrets** Ihr Secret aus. 1. Wählen Sie im Bereich **Secret details (Secret-Details)** die Option **Actions (Aktionen)** und danach **Delete secret (Secret löschen)** aus. 1. Geben **Sie im Dialogfeld „Löschen von geheimen Daten und Zeitplan deaktivieren**“ eine Wartezeit ein und wählen Sie dann **Löschen planen** aus. Secrets Manager macht das Geheimnis sofort unzugänglich und plant, dass es nach Ablauf des Wiederherstellungsfensters gelöscht wird. Weitere Informationen finden Sie unter [Löschen Sie eine AWS Secrets Manager Secret](manage_delete-secret.md). **Um die Rotationsrolle zu löschen (Konsole)** 1. Öffnen Sie die IAM-Konsole unter [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)und wählen Sie dann **Rollen** aus. 1. Suchen Sie die Rolle, die Secrets Manager für die Rotation erstellt hat, wählen Sie sie aus, und klicken Sie dann auf **Löschen**. Weitere Informationen zum Löschen von Rollen finden Sie unter [Löschen von Rollen oder Instance-Profilen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) im *IAM-Benutzerhandbuch*. ## Nächste Schritte + Weitere Informationen zu verwalteten externen Geheimnissen und den Partnern, mit denen Secrets Manager integriert werden kann, finden Sie unter[Verwenden AWS Secrets Manager verwaltete externe Geheimnisse zur Verwaltung von Geheimnissen von Drittanbietern](managed-external-secrets.md). + Informationen zu den erforderlichen Feldern für geheime Werte und Rotationsmetadaten für Salesforce finden Sie unter[Geheimer Salesforce-Client](mes-partner-salesforce.md). + Weitere Möglichkeiten, die Rotation für ein verwaltetes externes Geheimnis einzurichten, finden Sie unter[Verwaltete externe Geheimnisse rotieren](rotate-secrets_external.md). + Sie können die Leistung verbessern und Kosten senken, indem Sie Secrets zwischenspeichern. Weitere Informationen finden Sie unter [Holen Sie sich Geheimnisse von AWS Secrets Manager](retrieving-secrets.md). + Informationen zu den Kosten der Verwendung von Secrets Manager finden Sie unter[Preisgestaltung](intro.md#asm_pricing).