AWS Secrets Manager アクセストークン認証の設定

AWS Secrets Manager アクセストークン認証を使用する場合は、次の手順を実行します。

1. AWS Key Management Service カスタマーマネージドキーを作成する。

2. AWS Secrets Manager シークレットを作成する。シークレットには、暗号化されたシークレット値として Secrets Manager に保存されているアクセストークンが含まれています。MediaTailor は、 AWS KMS カスタマーマネージドキーを使用してシークレット値を復号します。

3. Secrets Manager アクセストークン認証を使用するように AWS Elemental MediaTailor ソースの場所を設定します。

以下のセクションは、 AWS Secrets Manager アクセストークン認証の設定方法に関するステップバイステップガイダンスです。

ステップ 1: AWS KMS 対称カスタマーマネージドキーを作成する

を使用して AWS Secrets Manager 、シークレットにSecretString保存された の形式でアクセストークンを保存します。SecretString は、ユーザーが作成、所有、および管理する AWS KMS 対称カスタマーマネージドキーを使用することで暗号化されます。MediaTailor は、対称カスタマーマネージドキーを使用して、権限のあるシークレットへのアクセスを容易にし、シークレット値を暗号化および復号化します。

カスタマーマネージドキーを使用することで、以下のようなタスクを実行できます。

• キーポリシーの策定と維持

• IAM ポリシーとグラントの策定と維持

• キーポリシーの有効化と無効化

• 暗号化キーマテリアルのローテーション

• タグの追加

  Secrets Manager が AWS KMS を使用してシークレットを保護する方法については、「 AWS Key Management Service デベロッパーガイド」の「 AWS Secrets Manager が AWS KMS を使用する方法」トピックを参照してください。

  カスタマーマネージドキーの詳細については、AWS Key Management Service デベロッパーガイドの「カスタマーマネージドキー」を参照してください。

注記

AWS KMS カスタマーマネージドキーの使用には 料金が適用されます。料金の詳細については、AWS Key Management Service 「 料金表」ページを参照してください。

対称カスタマーマネージドキーは、 を使用する AWS Management Console か AWS KMS APIs AWS KMS を使用してプログラムで作成できます。

対称カスタマーマネージドキーを作成する

AWS Key Management Service デベロッパーガイドにある対称カスタマーマネージドキーの作成ステップを実行します。

キーの Amazon リソースネーム (ARN) を書き留めておきます。これはステップ 2: AWS Secrets Manager シークレットを作成する で必要になります。

暗号化コンテキスト

暗号化コンテキストは、データに関する追加のコンテキスト情報が含まれたキーバリューペアのオプションのセットです。

Secrets Manager は、SecretString を暗号化および復号化するときに暗号化コンテキストを含めます。暗号化コンテキストにはシークレット ARN が含まれており、これは暗号化をその特定のシークレットに制限します。追加のセキュリティ対策として、MediaTailor はユーザーに代わって AWS KMS 権限を作成します。MediaTailor は、Secrets Manager 暗号化コンテキストに含まれるシークレット ARN SecretStringに関連付けられた のみを復号できるようにする GrantConstraints オペレーションを適用します。

Secrets Manager が暗号化コンテキストを使用する方法については、「 AWS Key Management Service デベロッパーガイド」の「暗号化コンテキスト」トピックを参照してください。

キーポリシーの設定

キーポリシーは、カスタマーマネージドキーへのアクセスを制御します。すべてのカスタマーマネージドキーには、キーポリシーが 1 つ必要になります。このポリシーには、そのキーを使用できるユーザーとその使用方法を規定するステートメントが含まれています。カスタマーマネージドキーを作成するときは、デフォルトのキーポリシーを使用できます。詳細については、AWS Key Management Service デベロッパーガイドの「AWS KMSの認証とアクセスコントロール」を参照してください。

MediaTailor のソースロケーションリソースでカスタマーマネージドキーを使用するには、CreateSourceLocation または UpdateSourceLocation を呼び出す IAM プリンシパルに、次の API オペレーションを使用するアクセス許可を付与する必要があります。

• kms:CreateGrant - カスタマーマネージドキーにグラントを追加します。MediaTailor はカスタマーマネージドキーに対するグラントを作成します。これは、アクセストークン認証が設定されたソースロケーションの作成と更新に MediaTailor がこのキーを使用することを可能にします。での Grants の使用の詳細については AWS KMS、「 AWS Key Management Service デベロッパーガイド」を参照してください。

  これは、MediaTailor が以下を実行できるようにします。

  • GetSecretValue Decryptを呼び出すときに Secrets Manager シークレットを正常に取得できるように、 を呼び出します。

  • ソースロケーションが削除された、またはシークレットへのアクセス権が取り消されたときにグラントを廃止するために RetireGrant を呼び出す。

以下は、MediaTailor に追加できるポリシーステートメントの例です。

{
        "Sid": "Enable MediaTailor Channel Assembly access token usage for the MediaTailorManagement IAM role",
        "Effect": "Allow",
        "Principal": {
        "AWS": "arn:aws:iam::account number:role/MediaTailorManagement"
    },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:ViaService": "mediatailor.region.amazonaws.com"
        }
    }
}

ポリシーでのアクセス許可の指定とキーアクセスのトラブルシューティングの詳細については、「 AWS Key Management Service デベロッパーガイド」の「 のグラン AWS KMSト」を参照してください。

ステップ 2: AWS Secrets Manager シークレットを作成する

Secrets Manager を使用して、 AWS KMS カスタマーマネージドキーで暗号化SecretStringされた の形式でアクセストークンを保存します。MediaTailor は、SecretString の復号化にこのキーを使用します。Secrets Manager が AWS KMS を使用してシークレットを保護する方法については、「 AWS Key Management Service デベロッパーガイド」の「 AWS Secrets Manager が AWS KMS を使用する方法」トピックを参照してください。

をソースロケーションオリジン AWS Elemental MediaPackage として使用し、MediaTailor Secrets Manager アクセストークン認証を使用する場合は、「」の手順に従いますCDN 認可を使用する MediaPackage エンドポイントとの統合。

Secrets Manager API を使用して、 AWS Management Console またはプログラムで Secrets Manager シークレットを作成できます APIs 。

シークレットを作成する

AWS Secrets Manager 「 ユーザーガイド」の「 でシークレットを作成および管理する AWS Secrets Manager」の手順に従います。

シークレットを作成するときは、以下の考慮事項に留意してください。

• KmsKeyId は、ステップ 1 で作成したカスタマーマネージドキーのキー ARN である必要があります。

• SecretString を指定する必要があります。SecretString は、アクセストークンが含まれる、キーと値が含まれた有効な JSON オブジェクトである必要があります。例えば、{"MyAccessTokenIdentifier":"112233445566"} などです。値の長さは 8～128 文字にしてください。

  アクセストークン認証を使用してソースロケーションを設定するときは、SecretString キーを指定します。MediaTailor は、SecretString に保存されているアクセストークンの検索と取得にこのキーを使用します。

  シークレット ARN と SecretString キーを書き留めておきます。これらは、アクセストークン認証を使用するようにソースロケーションを設定するときに使用します。

リソースベースのシークレットポリシーのアタッチ

MediaTailor がシークレット値にアクセスできるようにするには、シークレットにリソースベースのポリシーをアタッチする必要があります。詳細については、「 ユーザーガイド」の「Secrets Manager シークレットにアクセス許可ポリシーをアタッチする」を参照してください。 AWS Secrets Manager

以下は、MediaTailor に追加できるポリシーステートメントの例です。

JSON

{

    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "mediatailor.amazonaws.com" 
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:secret-name" 
        } 
    ] 

}

ステップ 3: アクセストークン認証で MediaTailor のソースロケーションを設定する

Secrets Manager アクセストークン認証は、 を使用する AWS Management Console かMediaTailor APIs を使用してプログラムで設定できます。

Secrets Manager アクセストークン認証でソースロケーションを設定する

「 AWS Elemental MediaTailor ユーザーガイド」のAccess configuration「」の手順に従います。