Crea un segreto per un cliente Salesforce

In questo tutorial, crei un segreto client Salesforce e lo memorizzi AWS Secrets Manager come segreto esterno gestito, attivi la rotazione gestita e quindi testerai le credenziali ruotate scambiandole con un token di accesso. Il completamento di questo tutorial richiede circa 20-30 minuti.

Questo tutorial utilizza AWS servizi che potrebbero comportare costi a tuo carico Account AWS, inclusi gli addebiti per il segreto archiviato in Secrets Manager e, se scegli di usarne uno, una chiave gestita dal cliente. Per ulteriori informazioni, consulta Prezzi.

Nota

Questo tutorial utilizza il tipo SalesforceClientSecretsegreto come esempio. Altri tipi di segreti esterni gestiti seguono un flusso simile. Il segreto viene creato utilizzando il formato definito dal partner di integrazione, si attiva la rotazione gestita e quindi si utilizzano le credenziali ruotate. Per l'elenco dei partner coinvolti e i formati segreti richiesti, consulta. Partner di integrazione

Prima di iniziare questo tutorial, assicurati di avere quanto segue.

• Un account Salesforce (sviluppatore o altro) che ti consente di creare app client esterne (ECA).

• Autorizzazioni amministrative per il tuo. Account AWS In un ambiente di produzione, è consigliabile utilizzare ruoli diversi per attività diverse. Ad esempio, un ruolo che gestisce i segreti all'interno dell'organizzazione creerebbe il segreto e un ruolo separato lo utilizzerebbe in fase di esecuzione. Per i passaggi del tutorial, suggeriamo di continuare a utilizzare la stessa identità. Per informazioni su come configurare le autorizzazioni in un ambiente di produzione, consulta Autenticazione e controllo degli accessi per AWS Secrets Manager.

Passaggio 1: creare un'app client esterna e abilitare OAuth

Il primo passaggio consiste nel creare un'app client esterna (ECA) in Salesforce e configurarla per OAuth in modo che Secrets Manager possa ruotare il segreto del client. Per la procedura completa di Salesforce, consulta Configurare l'autorizzazione con un'app client esterna nella documentazione di Salesforce.

Durante la configurazione di ECA, assicurati di configurare quanto segue:

• A livello di organizzazione, abilita Consenti l'accesso ai segreti dei consumatori dell'app client esterna tramite l'API REST. Questa impostazione consente a Secrets Manager di recuperare e ruotare il segreto del consumatore tramite l'API REST di Salesforce.

• In ECA, abilita l'ambito OAuth Gestisci i dati utente tramite API (api).

• In ECA, abilitare Enable Client Credentials Flow.

• In ECA, abilitare Enable Token Exchange Flow e Require secret for Token Exchange Flow.

Dopo aver creato l'ECA, raccogli i valori da archiviare nel segreto nel passaggio successivo:

• La chiave consumer (ID client) e il segreto del consumatore (client secret) dalle impostazioni OAuth di ECA Manager.

• L'URL di base di Salesforce My Domain, ad esempio. https://MyDomainName.my.salesforce.com

• L'ID dell'app e l'ID del consumatore per l'ECA. Questi corrispondono ai consumer_id campi external_client_app_identifier e della documentazione di Salesforce. Per informazioni su come recuperare questi valori, consulta Stage OAuth Credentials nella documentazione di Salesforce.

Per una descrizione di ogni campo richiesto nel segreto, vedi. Segreto del client Salesforce

Fase 2: Creare il segreto esterno gestito e abilitare la rotazione

Successivamente, memorizzi il segreto del client Salesforce in Secrets Manager come segreto esterno gestito e attivi la rotazione gestita. Con la rotazione gestita, non crei o gestisci una funzione di rotazione Lambda. Secrets Manager fa ruotare il segreto per te.

Per creare il segreto e attivare la rotazione (console)

1. Apri la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

2. Scegli Archivia un nuovo segreto.

3. Nella pagina Choose secret type (Scegli il tipo di segreto), effettua le seguenti operazioni:

   1. Per Tipo segreto, scegli il tipo di segreto esterno gestito dai segreti del client Salesforce () SalesforceClientSecret.

   2. Inserisci i campi con valori segreti per il segreto del client Salesforce: chiave consumer, segreto consumatore, URI di base, ID app e ID consumatore. Per una descrizione di ogni campo, consulta. Segreto del client Salesforce

   3. Per la chiave di crittografia, scegli aws/secretsmanagerdi utilizzare Chiave gestita da AWS for Secrets Manager. L'utilizzo di questa chiave non prevede costi aggiuntivi. Puoi anche utilizzare la tua chiave gestita dal cliente. Per informazioni sui costi di utilizzo di una chiave gestita dal cliente, consulta la sezione Prezzi.

   4. Scegli Avanti.

4. Nella pagina Configura segreto, inserisci un nome segreto e una descrizione descrittivi, quindi scegli Avanti.

5. Nella pagina Configura rotazione, effettuate le seguenti operazioni. Per i segreti esterni gestiti, la rotazione è abilitata per impostazione predefinita durante la creazione dei segreti.

   1. Verificare che la rotazione automatica sia attivata.

   2. In Metadati di rotazione, per la versione API (apiVersion), inserisci la versione API dell'organizzazione Salesforce. Questo campo è obbligatorio. Deve avere il formatovXX.X, dove X è un carattere numerico, e deve essere almeno. v65.0 Se desideri che Secrets Manager ruoti il segreto utilizzando un set separato di credenziali amministrative, fornisci anche l'ARN del segreto amministrativo. Per una descrizione di ogni campo di metadati, consulta. Segreto del client Salesforce

   3. In Autorizzazioni di servizio per la rotazione segreta, scegli Crea un nuovo ruolo per creare automaticamente un ruolo IAM con le autorizzazioni necessarie a Secrets Manager per ruotare il segreto. Per impostazione predefinita, le autorizzazioni sono limitate al partner di integrazione nella AWS regione in cui viene creato il segreto. Per ulteriori informazioni, consulta Sicurezza e autorizzazioni.

   4. In Pianificazione di rotazione, inserisci la tua pianificazione nel fuso orario UTC, ad esempio ruota automaticamente ogni 30 giorni.

   5. Scegli Avanti.

6. Nella pagina Review (Revisione), rivedi i dettagli dei segreti e quindi scegli Store (Archivia).

Per ulteriori modi di configurare la rotazione per un segreto esterno gestito, incluso il AWS AWS CLI, vedi. Segreti esterne gestite da Rotate Secrets Manager

Passaggio 3: Verifica le credenziali ruotate

L'ultimo passaggio consiste nel confermare il funzionamento delle credenziali ruotate recuperando il valore segreto e scambiando le credenziali con un token di accesso Salesforce.

Per recuperare il valore segreto (console)

1. Apri la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

2. Nella pagina dell'elenco Secrets (Segreti) scegli il segreto.

3. Nella pagina Secret details (Dettagli del segreto), scorri e scegli Retrieve secret value (Recupera il valore del segreto). Annotate la corrente consumerKey e consumerSecret i valori.

Nota

Verifica che i consumerSecret valori consumerKey and siano effettivamente cambiati rispetto ai valori originariamente memorizzati. Se non sono cambiati, attendi un paio di minuti e ricontrolla. Se non sono ancora cambiate, controlla AWS CloudTrail gli RotationFailed eventi relativi al segreto, che includono dettagli sul motivo per cui la rotazione non è riuscita. Per ulteriori informazioni, consulta Il mio segreto esterno gestito non ruota.

Successivamente, utilizza le credenziali recuperate per richiedere un token di accesso a Salesforce. MyDomainNameSostituiscilo con il tuo nome Salesforce My Domain consumerKey e consumerSecret sostituiscilo con i valori recuperati.

curl -X POST "https://MyDomainName.my.salesforce.com/services/oauth2/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=consumerKey" \
  -d "client_secret=consumerSecret"

Se le credenziali sono valide, Salesforce restituisce una risposta JSON che contiene un. access_token La ricezione di un token di accesso conferma che le credenziali ruotate funzionano.

Quando immetti i comandi in una shell dei comandi, c'è il rischio che la cronologia dei comandi sia accessibile o che le utilità abbiano accesso ai parametri dei comandi. Consulta Riduci i rischi derivanti dall'utilizzo di AWS CLI per archiviare i tuoi segreti AWS Secrets Manager.

Fase 4: Eliminazione delle risorse

Per evitare di incorrere in addebiti continui, elimina le risorse che hai creato in questo tutorial quando non ti servono più: il segreto e il ruolo di rotazione IAM creato da Secrets Manager. L'eliminazione del segreto interrompe anche la rotazione automatica.

Per eliminare il segreto (console)

1. Apri la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

2. Nella pagina dell'elenco Secrets (Segreti) scegli il segreto.

3. Nella sezione Secrets details (Dettagli Segreti) scegli Actions (Operazioni), quindi scegli Edit description (Modifica descrizione).

4. Nella finestra di dialogo Disabilita l'eliminazione segreta e pianificata, inserisci un periodo di attesa, quindi scegli Pianifica l'eliminazione. Secrets Manager rende il segreto immediatamente inaccessibile e ne pianifica l'eliminazione dopo la finestra di ripristino. Per ulteriori informazioni, consulta Eliminare un AWS Secrets Manager Secret.

Per eliminare il ruolo di rotazione (console)

1. Apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/, quindi scegli Ruoli.

2. Trova il ruolo che Secrets Manager ha creato per la rotazione, selezionalo e scegli Elimina. Per ulteriori informazioni, consulta la sezione Eliminazione di ruoli o profili delle istanze nella Guida per l'utente di IAM.

Fasi successive

• Per ulteriori informazioni sui segreti esterni gestiti e sui partner con cui Secrets Manager si integra, consultaUtilizzo AWS Secrets Manager segreti esterni gestiti per gestire segreti di terze parti.

• Per esaminare i valori segreti richiesti e i campi dei metadati di rotazione per Salesforce, consulta. Segreto del client Salesforce

• Per ulteriori modi per impostare la rotazione per un segreto esterno gestito, consulta. Ruota i segreti esterni gestiti

• È possibile migliorare le prestazioni e ridurre i costi tramite la memorizzazione nella cache dei segreti. Per ulteriori informazioni, consulta Ottieni segreti da AWS Secrets Manager.

• Per ulteriori informazioni sui costi dell'utilizzo di Secrets Manager, vederePrezzi.