Crear un secreto de AWS Secrets Manager base de datos

Tras crear un usuario en AmazonRDS, Amazon Aurora, Amazon Redshift o Amazon DocumentDB, puede almacenar sus credenciales en Secrets Manager siguiendo estos pasos. Cuando utilice una AWS CLI o una de ellas SDKs para almacenar el secreto, debe proporcionarlo en la estructura correcta JSON. Cuando utilizas la consola para almacenar un secreto de base de datos, Secrets Manager lo crea automáticamente en la JSON estructura correcta.

sugerencia

Para las credenciales de usuario administrador de Amazon RDS y Amazon Redshift, le recomendamos que utilice secretos gestionados. El secreto administrado se crea a través del servicio de administración y, a continuación, se puede usar la rotación administrada.

Cuando se almacenan las credenciales de una base de datos de origen que se replica a otras regiones, el secreto contiene información de conexión para la base de datos de origen. Si luego replica el secreto, las réplicas son copias del secreto de origen y contienen la misma información de conexión. Puede agregar pares clave/valor adicionales al secreto para obtener información de conexión regional.

Para crear un secreto, necesita los permisos otorgados por. SecretsManagerReadWriteAWS políticas gestionadas

Secrets Manager genera una entrada de CloudTrail registro al crear un secreto. Para obtener más información, consulte AWS Secrets Manager Registra eventos con AWS CloudTrail.

Para crear un secreto (consola)

1. Abra la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

2. Elija Almacenar un secreto nuevo.

3. En la página Choose secret type (Elegir tipo de secreto), haga lo siguiente:

   1. En Secret type (Tipo secreto), elija el tipo de credenciales de base de datos que desea almacenar:

      • RDSBase de datos de Amazon (incluye Aurora)

      • Base de datos de Amazon DocumentDB

      • Almacén de datos de Amazon Redshift

   2. En Credentials (Credenciales), ingrese las credenciales de la base de datos.

   3. En Clave de cifrado, elija la AWS KMS key que Secrets Manager utiliza para cifrar el valor secreto. Para obtener más información, consulte Cifrado y descifrado de secretos.

      • Para la mayoría de los casos, elija aws/secretsmanager para utilizar la Clave administrada de AWS para Secrets Manager. No se aplica ningún cargo por el uso de esta clave.

      • Si necesita acceder al secreto desde otra Cuenta de AWS persona o si quiere usar su propia KMS clave para poder rotarla o aplicarle una política de claves, elija una clave gestionada por el cliente de la lista o seleccione Añadir nueva clave para crear una. Para obtener información sobre los costos por usar una clave administrada por el cliente, consulte Precios.

        Debe tener Permisos para la clave KMS. Para más información sobre el acceso entre cuentas, consulte Accede a AWS Secrets Manager los secretos desde una cuenta diferente.

   4. En Database (Base de datos), elija la base de datos.

   5. Elija Siguiente.

4. En la página Configure secret (Configurar el secreto), haga lo siguiente:

   1. Ingrese un Nombre de secreto descriptivo y una Descripción. Los nombres secretos pueden contener de 1 a 512 caracteres alfanuméricos y /_+ =.@-.

   2. (Opcional) En la sección Tags (Etiquetas), agregue etiquetas a su secreto. Para obtener información sobre estrategias de etiquetado, consulteEtiquetado de secretos de AWS Secrets Manager. No almacene información confidencial en etiquetas porque no están cifradas.

   3. (Opcional) En Resource permissions (Permisos de recursos), para agregar una política de recursos a su secreto, elija Edit permissions (Editar permisos). Para obtener más información, consulte Adición de una política de permisos a un secreto de AWS Secrets Manager.

   4. (Opcional) En Replicar secreto, para replicar tu secreto en otro, selecciona Replicar secreto. Región de AWS Puede replicar el secreto ahora o volver y replicarlo más tarde. Para obtener más información, consulte Replica secretos en todas las regiones.

   5. Seleccione Siguiente.

5. (Opcional) En la página Configure rotation (Configurar rotación), puede activar la rotación automática. También puede mantener la rotación desactivada por ahora y activarla más tarde. Para obtener más información, consulte Rotar secretos de . Seleccione Siguiente.

6. En la página Review (Revisar), revise los detalles del secreto y, a continuación, elija Store (Almacenar).

   Secrets Manager vuelve a la lista de secretos. Si el nuevo secreto no aparece, elija el botón Refresh (Actualizar).

AWS CLI

Cuando utiliza ingresa comandos en un shell de comandos, existe el riesgo de que se acceda al historial de comandos o de que las utilidades tengan acceso a sus parámetros de comando. Consulte Reducción de los riesgos de usar AWS CLI para almacenar sus secretos de AWS Secrets Manager.

ejemplo Cree un secreto a partir de las credenciales de un JSON archivo

En el siguiente ejemplo de create-secret, se crea un secreto a partir de las credenciales de un archivo. Para obtener más información, consulte Carga de AWS CLI parámetros de un archivo en la Guía del AWS CLI usuario.

Para que Secrets Manager pueda rotar el secreto, debes asegurarte de que JSON coincida conEstructura JSON de un secreto.

aws secretsmanager create-secret \
    --name MyTestSecret \
    --secret-string file://mycreds.json

Contenido de mycreds.json:

{
    "engine": "mysql",
    "username": "saanvis",
    "password": "EXAMPLE-PASSWORD",
    "host": "my-database-endpoint.us-west-2.rds.amazonaws.com",
    "dbname": "myDatabase",
    "port": "3306"
}

AWS SDK

Para crear un secreto usando uno de los AWS SDKs, usa la CreateSecretacción. Para obtener más información, consulte AWS SDKs.