Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Crea un segreto per un cliente Salesforce In questo tutorial, crei un segreto client Salesforce e lo memorizzi AWS Secrets Manager come [segreto esterno gestito](managed-external-secrets.md), attivi la rotazione gestita e quindi testerai le credenziali ruotate scambiandole con un token di accesso. Il completamento di questo tutorial richiede circa 20-30 minuti. Questo tutorial utilizza AWS servizi che potrebbero comportare costi a tuo carico Account AWS, inclusi gli addebiti per il segreto archiviato in Secrets Manager e, se scegli di usarne uno, una chiave gestita dal cliente. Per ulteriori informazioni, consulta [Prezzi](intro.md#asm_pricing). **Nota** Questo tutorial utilizza il tipo [SalesforceClientSecret](mes-partner-salesforce.md)segreto come esempio. Altri tipi di segreti esterni gestiti seguono un flusso simile. Il segreto viene creato utilizzando il formato definito dal partner di integrazione, si attiva la rotazione gestita e quindi si utilizzano le credenziali ruotate. Per l'elenco dei partner coinvolti e i formati segreti richiesti, consulta. [Partner di integrazione](mes-partners.md) Prima di iniziare questo tutorial, assicurati di avere quanto segue. + Un account Salesforce (sviluppatore o altro) che ti consente di creare app client esterne (ECA). + Autorizzazioni amministrative per il tuo. Account AWS In un ambiente di produzione, è consigliabile utilizzare ruoli diversi per attività diverse. Ad esempio, un ruolo che gestisce i segreti all'interno dell'organizzazione creerebbe il segreto e un ruolo separato lo utilizzerebbe in fase di esecuzione. Per i passaggi del tutorial, suggeriamo di continuare a utilizzare la stessa identità. Per informazioni su come configurare le autorizzazioni in un ambiente di produzione, consulta [Autenticazione e controllo degli accessi per AWS Secrets Manager](auth-and-access.md). **Topics** + [Passaggio 1: creare un'app client esterna e abilitare OAuth](#tutorials_salesforce-client-secret_step1) + [Fase 2: Creare il segreto esterno gestito e abilitare la rotazione](#tutorials_salesforce-client-secret_step2) + [Passaggio 3: Verifica le credenziali ruotate](#tutorials_salesforce-client-secret_step3) + [Fase 4: Eliminazione delle risorse](#tutorials_salesforce-client-secret_step4) + [Fasi successive](#tutorials_salesforce-client-secret_nextsteps) ## Passaggio 1: creare un'app client esterna e abilitare OAuth Il primo passaggio consiste nel creare un'app client esterna (ECA) in Salesforce e configurarla per OAuth in modo che Secrets Manager possa ruotare il segreto del client. Per la procedura completa di Salesforce, consulta [Configurare l'autorizzazione con un'app client esterna](https://developer.salesforce.com/docs/platform/accsdk/guide/acc-sdk-setup-auth-external.html) nella documentazione di Salesforce. Durante la configurazione di ECA, assicurati di configurare quanto segue: + A livello di organizzazione, abilita **Consenti l'accesso ai segreti dei consumatori dell'app client esterna tramite l'API REST**. Questa impostazione consente a Secrets Manager di recuperare e ruotare il segreto del consumatore tramite l'API REST di Salesforce. + In ECA, abilita l'ambito OAuth **Gestisci i dati utente** tramite API (api). + In ECA, **abilitare Enable Client** Credentials Flow. + In ECA, **abilitare Enable Token Exchange Flow** e Require **secret for Token Exchange Flow**. Dopo aver creato l'ECA, raccogli i valori da archiviare nel segreto nel passaggio successivo: + La **chiave consumer** (ID client) e il **segreto del consumatore** (client secret) dalle impostazioni OAuth di ECA Manager. + L'URL di base di Salesforce My Domain, ad esempio. `https://{{MyDomainName}}.my.salesforce.com` + L'**ID dell'app e l'ID** **del consumatore** per l'ECA. Questi corrispondono ai `consumer_id` campi `external_client_app_identifier` e della documentazione di Salesforce. Per informazioni su come recuperare questi valori, consulta [Stage OAuth Credentials](https://help.salesforce.com/s/articleView?id=xcloud.eca_stage_oauth_credentials.htm&type=5) nella documentazione di Salesforce. Per una descrizione di ogni campo richiesto nel segreto, vedi. [Segreto del client Salesforce](mes-partner-salesforce.md) ## Fase 2: Creare il segreto esterno gestito e abilitare la rotazione Successivamente, memorizzi il segreto del client Salesforce in Secrets Manager come segreto esterno gestito e attivi la rotazione gestita. Con la rotazione gestita, non crei o gestisci una funzione di rotazione Lambda. Secrets Manager fa ruotare il segreto per te. **Per creare il segreto e attivare la rotazione (console)** 1. Apri la console Secrets Manager all'indirizzo [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Scegli **Archivia un nuovo segreto**. 1. Nella pagina **Choose secret type** (Scegli il tipo di segreto), effettua le seguenti operazioni: 1. Per **Tipo segreto**, scegli il tipo di segreto esterno gestito dai segreti del client Salesforce () **SalesforceClientSecret**. 1. Inserisci i campi con valori segreti per il segreto del client Salesforce: chiave consumer, segreto consumatore, URI di base, ID app e ID consumatore. Per una descrizione di ogni campo, consulta. [Segreto del client Salesforce](mes-partner-salesforce.md) 1. Per la **chiave di crittografia**, scegli **aws/secretsmanager**di utilizzare Chiave gestita da AWS for Secrets Manager. L'utilizzo di questa chiave non prevede costi aggiuntivi. Puoi anche utilizzare la tua chiave gestita dal cliente. Per informazioni sui costi di utilizzo di una chiave gestita dal cliente, consulta la sezione [Prezzi](intro.md#asm_pricing). 1. Scegli **Avanti**. 1. Nella pagina **Configura segreto**, inserisci un **nome segreto** e una **descrizione** descrittivi, quindi scegli **Avanti**. 1. Nella pagina **Configura rotazione**, effettuate le seguenti operazioni. Per i segreti esterni gestiti, la rotazione è abilitata per impostazione predefinita durante la creazione dei segreti. 1. Verificare che **la rotazione automatica** sia attivata. 1. In **Metadati di rotazione**, per la **versione API** (`apiVersion`), inserisci la versione API dell'organizzazione Salesforce. Questo campo è obbligatorio. Deve avere il formato`v{{XX.X}}`, dove {{X}} è un carattere numerico, e deve essere almeno. `v65.0` Se desideri che Secrets Manager ruoti il segreto utilizzando un set separato di credenziali amministrative, fornisci anche l'ARN del segreto amministrativo. Per una descrizione di ogni campo di metadati, consulta. [Segreto del client Salesforce](mes-partner-salesforce.md) 1. In **Autorizzazioni di servizio per la rotazione segreta**, scegli **Crea un nuovo ruolo** per creare automaticamente un ruolo IAM con le autorizzazioni necessarie a Secrets Manager per ruotare il segreto. Per impostazione predefinita, le autorizzazioni sono limitate al partner di integrazione nella AWS regione in cui viene creato il segreto. Per ulteriori informazioni, consulta [Sicurezza e autorizzazioni](mes-security.md). 1. In **Pianificazione di rotazione**, inserisci la tua pianificazione nel fuso orario UTC, ad esempio ruota automaticamente ogni 30 giorni. 1. Scegli **Avanti**. 1. Nella pagina **Review (Revisione)**, rivedi i dettagli dei segreti e quindi scegli **Store (Archivia)**. Per ulteriori modi di configurare la rotazione per un segreto esterno gestito, incluso il AWS AWS CLI, vedi. [Segreti esterne gestite da Rotate Secrets Manager](rotate-secrets_external.md) ## Passaggio 3: Verifica le credenziali ruotate L'ultimo passaggio consiste nel confermare il funzionamento delle credenziali ruotate recuperando il valore segreto e scambiando le credenziali con un token di accesso Salesforce. **Per recuperare il valore segreto (console)** 1. Apri la console Secrets Manager all'indirizzo [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Nella pagina dell'elenco **Secrets (Segreti)** scegli il segreto. 1. Nella pagina **Secret details** (Dettagli del segreto), scorri e scegli **Retrieve secret value** (Recupera il valore del segreto). Annotate la corrente `consumerKey` e `consumerSecret` i valori. **Nota** Verifica che i `consumerSecret` valori `consumerKey` and siano effettivamente cambiati rispetto ai valori originariamente memorizzati. Se non sono cambiati, attendi un paio di minuti e ricontrolla. Se non sono ancora cambiate, controlla AWS CloudTrail gli `RotationFailed` eventi relativi al segreto, che includono dettagli sul motivo per cui la rotazione non è riuscita. Per ulteriori informazioni, consulta [Il mio segreto esterno gestito non ruota](troubleshoot.md#troubleshoot-mes-not-rotating). Successivamente, utilizza le credenziali recuperate per richiedere un token di accesso a Salesforce. {{MyDomainName}}Sostituiscilo con il tuo nome Salesforce My Domain {{consumerKey}} e {{consumerSecret}} sostituiscilo con i valori recuperati. ``` curl -X POST "https://{{MyDomainName}}.my.salesforce.com/services/oauth2/token" \ -H "Content-Type: application/x-www-form-urlencoded" \ -d "grant_type=client_credentials" \ -d "client_id={{consumerKey}}" \ -d "client_secret={{consumerSecret}}" ``` Se le credenziali sono valide, Salesforce restituisce una risposta JSON che contiene un. `access_token` La ricezione di un token di accesso conferma che le credenziali ruotate funzionano. Quando immetti i comandi in una shell dei comandi, c'è il rischio che la cronologia dei comandi sia accessibile o che le utilità abbiano accesso ai parametri dei comandi. Consulta [Riduci i rischi derivanti dall'utilizzo di AWS CLI per archiviare i tuoi segreti AWS Secrets Manager](security_cli-exposure-risks.md). ## Fase 4: Eliminazione delle risorse Per evitare di incorrere in addebiti continui, elimina le risorse che hai creato in questo tutorial quando non ti servono più: il segreto e il ruolo di rotazione IAM creato da Secrets Manager. L'eliminazione del segreto interrompe anche la rotazione automatica. **Per eliminare il segreto (console)** 1. Apri la console Secrets Manager all'indirizzo [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Nella pagina dell'elenco **Secrets (Segreti)** scegli il segreto. 1. Nella sezione **Secrets details (Dettagli Segreti)** scegli **Actions (Operazioni)**, quindi scegli **Edit description (Modifica descrizione)**. 1. Nella finestra di dialogo **Disabilita l'eliminazione segreta e pianificata**, inserisci un periodo di attesa, quindi scegli **Pianifica l'eliminazione**. Secrets Manager rende il segreto immediatamente inaccessibile e ne pianifica l'eliminazione dopo la finestra di ripristino. Per ulteriori informazioni, consulta [Eliminare un AWS Secrets Manager Secret](manage_delete-secret.md). **Per eliminare il ruolo di rotazione (console)** 1. Apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/), quindi scegli **Ruoli**. 1. Trova il ruolo che Secrets Manager ha creato per la rotazione, selezionalo e scegli **Elimina**. Per ulteriori informazioni, consulta la sezione [Eliminazione di ruoli o profili delle istanze](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) nella *Guida per l'utente di IAM*. ## Fasi successive + Per ulteriori informazioni sui segreti esterni gestiti e sui partner con cui Secrets Manager si integra, consulta[Utilizzo AWS Secrets Manager segreti esterni gestiti per gestire segreti di terze parti](managed-external-secrets.md). + Per esaminare i valori segreti richiesti e i campi dei metadati di rotazione per Salesforce, consulta. [Segreto del client Salesforce](mes-partner-salesforce.md) + Per ulteriori modi per impostare la rotazione per un segreto esterno gestito, consulta. [Ruota i segreti esterni gestiti](rotate-secrets_external.md) + È possibile migliorare le prestazioni e ridurre i costi tramite la memorizzazione nella cache dei segreti. Per ulteriori informazioni, consulta [Ottieni segreti da AWS Secrets Manager](retrieving-secrets.md). + Per ulteriori informazioni sui costi dell'utilizzo di Secrets Manager, vedere[Prezzi](intro.md#asm_pricing).