View a markdown version of this page

Usa il segreto - Amazon Data Firehose
Concedi l'accesso a Firehose per recuperare il segreto

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Usa il segreto

Ti consigliamo di AWS Secrets Manager utilizzarlo per archiviare le credenziali o le chiavi per connetterti a destinazioni di streaming come Amazon Redshift, HTTP endpoint, Snowflake, Splunk, Coralogix, Datadog, Dynatrace, Elastic, Honeycomb,,,, MongoDB Cloud e New Relic. LogicMonitor Logz.io

È possibile configurare l'autenticazione con Secrets Manager per queste destinazioni tramite la console di gestione al momento della creazione dello stream Firehose. AWS Per ulteriori informazioni, consulta Configurare le impostazioni di destinazione. In alternativa, puoi anche utilizzare le operazioni CreateDeliveryStream e UpdateDestination API per configurare l'autenticazione con Secrets Manager.

Firehose memorizza i segreti nella cache con una crittografia e li utilizza per ogni connessione alle destinazioni. Aggiorna la cache ogni 10 minuti per garantire che vengano utilizzate le credenziali più recenti.

Puoi scegliere di disattivare la funzionalità di recupero dei segreti da Secrets Manager in qualsiasi momento durante il ciclo di vita dello stream. Se non desideri utilizzare Secrets Manager per recuperare i segreti, puoi invece utilizzare la username/password chiave API or.

Nota

Sebbene non vi siano costi aggiuntivi per questa funzionalità in Firehose, l'accesso e la manutenzione di Secrets Manager sono fatturati. Per ulteriori informazioni, consulta la pagina dei prezzi AWS Secrets Manager.

Concedi l'accesso a Firehose per recuperare il segreto

Affinché Firehose possa recuperare un segreto AWS Secrets Manager, è necessario fornire a Firehose le autorizzazioni necessarie per accedere al segreto e la chiave che crittografa il segreto.

Quando si utilizza AWS Secrets Manager per archiviare e recuperare i segreti, sono disponibili diverse opzioni di configurazione a seconda di dove è archiviato il segreto e di come è crittografato.

  • Se il segreto è archiviato nello stesso AWS account del ruolo IAM ed è crittografato con la chiave AWS gestita predefinita (aws/secretsmanager), il ruolo IAM assunto da Firehose richiede solo l'secretsmanager:GetSecretValueautorizzazione sul segreto. 

    // secret role policy
{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "Secret ARN"
        }
    ]
}

    Per ulteriori informazioni sulle politiche IAM, consulta Esempi di policy sulle autorizzazioni per. AWS Secrets Manager

  • Se il segreto è archiviato nello stesso account del ruolo ma crittografato con una chiave gestita dal cliente (CMK), il ruolo richiede entrambe secretsmanager:GetSecretValue le kms:Decrypt autorizzazioni. La policy CMK deve inoltre consentire l'esecuzione del ruolo IAM. kms:Decrypt

  • Se il segreto è archiviato in un AWS account diverso da quello del tuo ruolo ed è crittografato con la chiave AWS gestita predefinita, questa configurazione non è possibile in quanto Secrets Manager non consente l'accesso tra account quando il segreto è crittografato con una chiave AWS gestita.

  • Se il segreto è archiviato in un account diverso e crittografato con un CMK, il ruolo IAM richiede l'secretsmanager:GetSecretValueautorizzazione sul segreto e l'kms:Decryptautorizzazione sulla CMK. La politica sulle risorse del segreto e la politica CMK nell'altro account devono inoltre concedere al ruolo IAM le autorizzazioni necessarie. Per ulteriori informazioni, vedi Cross-account accesso.