Key Management Service:Intégrer DMS aux secrets ApsaraDB RDS

Fonctionnement

Avant d'utiliser Data Management (DMS) pour gérer les actifs de données et développer des bases de données sur une instance ApsaraDB RDS, vous devez d'abord ajouter l'instance RDS à DMS. Cette opération nécessite de configurer les identifiants de connexion de l'instance RDS dans DMS, ce qui permet à DMS de se connecter à distance à l'instance.

Au lieu de saisir manuellement le compte et le mot de passe ApsaraDB RDS dans DMS, utilisez KMS pour stocker ces informations sous forme de secret, puis configurez DMS pour qu'il les utilise lors de la connexion. Lorsque DMS se connecte à la base de données ApsaraDB RDS, il récupère la valeur du secret depuis KMS en temps réel. Le flux de travail suivant décrit ce processus :

1. Un administrateur de secrets crée un secret ApsaraDB RDS dans KMS.

2. Lors de l'enregistrement de la base de données dans DMS, un administrateur configure la base de données pour utiliser le secret provenant de KMS.

3. L'administrateur DMS initie une demande de connexion à la base de données ApsaraDB RDS.

4. DMS appelle les opérations API ListSecrets et GetSecretValue et récupère la valeur du secret RDS correspondante depuis KMS en temps réel.

5. DMS utilise la valeur du secret récupérée pour se connecter à la base de données ApsaraDB RDS.

Avantages

L'intégration de DMS aux secrets ApsaraDB RDS renforce la sécurité des bases de données et garantit un accès sécurisé aux identifiants de base de données.

• Sécurité renforcée : Les secrets ApsaraDB RDS sont chiffrés et stockés dans KMS. Le stockage des secrets dans KMS réduit l'exposition des comptes et mots de passe de base de données en texte clair.

• Gestion simplifiée des mots de passe : KMS peut faire tourner automatiquement les secrets ApsaraDB RDS pour mettre régulièrement à jour les mots de passe de la base de données. Cela réduit les risques de sécurité associés aux mots de passe statiques.

  Remarque

  DMS récupère en temps réel depuis KMS la valeur du secret portant l'étiquette de stage ACSCurrent. Par conséquent, l'activation de la rotation automatique n'affecte pas les connexions à distance de DMS à la base de données ApsaraDB RDS. Pour plus d'informations sur la rotation, consultez les rubriques Secrets ApsaraDB RDS et Étiquettes de stage.

• Audit complet : KMS s'intègre à ActionTrail pour enregistrer toutes les demandes d'accès aux secrets ApsaraDB RDS. Cela facilite l'audit, la traçabilité et la détection rapide des activités inhabituelles.

Remarques d'utilisation

• Vous devez acheter une instance KMS pour utiliser cette fonctionnalité. Pour plus d'informations sur la facturation et le choix d'une instance KMS, consultez les rubriques Facturation et Sélectionner un type d'instance KMS.

• KMS prend en charge les secrets pour les types d'instances ApsaraDB RDS suivants :

  • ApsaraDB RDS for MySQL

  • ApsaraDB RDS for MariaDB

  • ApsaraDB RDS for SQL Server (à l'exception des instances exécutant SQL Server 2017 EE)

  • ApsaraDB RDS for PostgreSQL

• Si vous utilisez KMS pour gérer un secret ApsaraDB RDS, nous vous recommandons de configurer DMS pour utiliser ce secret lors de la connexion plutôt que de saisir manuellement le mot de passe. Cette méthode évite les échecs de connexion causés par les mises à jour manuelles des mots de passe, car DMS récupère toujours le secret actuel.

• Avant de supprimer un secret ApsaraDB RDS dans KMS, assurez-vous que le secret n'est plus utilisé par DMS. Pour vérifier les journaux d'accès, consultez la rubrique Interroger les journaux d'utilisation des clés et des secrets.

Prérequis

• Vous avez acheté et activé une instance KMS. Pour plus d'informations, consultez la rubrique Acheter et activer une instance KMS.

• Étant donné que vous devez spécifier une clé symétrique pour chiffrer un secret RDS, vous devez d'abord créer une clé symétrique dans une instance KMS. Pour plus d'informations, consultez la rubrique Créer une clé.

Étape 1 : Créer un secret RDS dans KMS

1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resources > Secrets.

2. Sur la page Secrets, cliquez sur Database Secrets, sélectionnez un Instance ID, puis cliquez sur Create Secret > Create Single Secret. Configurez les paramètres requis et cliquez sur OK.

   Paramètre	Description
   Database Type	Sélectionnez ApsaraDB RDS Secrets.
   Secret Name	Nom personnalisé des identifiants. Doit être unique au sein de la région actuelle.
   ApsaraDB RDS Instance	Sélectionnez une instance RDS associée à votre compte Alibaba Cloud.
   Account Management	Manage Dual Accounts (Recommandé) : Convient pour l'accès programmatique à la base de données. KMS gère deux comptes disposant des mêmes autorisations afin d'éviter toute interruption de connexion lors de la rotation. Cliquez sur Create Account pour configurer le nom du compte, sélectionner une base de données et spécifier les autorisations. Remarque La création et l'autorisation en un clic ne créent pas immédiatement le nouveau compte. Le compte est créé après que vous avez examiné et confirmé les informations d'identification. Pour RDS PostgreSQL, vous ne pouvez pas obtenir le nom de la base de données lors de la création. Vous devez définir manuellement le DBName. Cliquez sur Import Existing Accounts pour sélectionner un nom d'utilisateur et configurer le mot de passe. Remarque Nous vous recommandons de définir le mot de passe comme celui utilisé lors de la création du compte utilisateur de l'instance RDS. Si le nom d'utilisateur et le mot de passe importés ne correspondent pas, vous pourrez obtenir le compte et le mot de passe corrects après la première rotation des identifiants. Manage Single Account : Convient pour les comptes privilégiés ou les scénarios d'hébergement de comptes O&M manuels. La version actuelle des identifiants peut être temporairement indisponible immédiatement après la réinitialisation du mot de passe. Cliquez sur Create Account pour configurer le nom du compte et sélectionner le type de compte. Prend en charge Standard Account et Privileged Account. Lorsque vous sélectionnez Standard Account, vous devez également sélectionner une base de données et spécifier les autorisations. Cliquez sur l'onglet Import Existing Accounts pour sélectionner un nom d'utilisateur et configurer le mot de passe.
   CMK	Sélectionnez la clé symétrique utilisée pour chiffrer la valeur des identifiants. La clé et les identifiants doivent appartenir à la même instance KMS. Important La clé et les identifiants doivent appartenir à la même instance KMS, et la clé doit être une clé symétrique. Pour plus d'informations sur les clés symétriques prises en charge par KMS, consultez la rubrique Types et spécifications de clés. Si un utilisateur RAM ou un rôle RAM est utilisé, il doit disposer des autorisations nécessaires pour effectuer l'opération GenerateDataKey à l'aide de la clé maître de chiffrement.
   Tags	Ajoutez des tags aux identifiants pour la classification. Chaque tag est constitué d'une paire clé-valeur. Remarque Format d'une clé de tag et d'une valeur de tag : Une clé de tag ou une valeur de tag peut contenir jusqu'à 128 caractères et inclure des lettres, des chiffres, des barres obliques (/), des barres obliques inverses (\), des traits de soulignement (_), des traits d'union (-), des points (.), des signes plus (+), des signes égal (=), des deux-points (:), des arobases (@) et des espaces. Une clé de tag ne peut pas commencer par aliyun ou acs:. Chaque ensemble d'identifiants prend en charge jusqu'à 20 paires clé-valeur de tags.
   Automatic Rotation	Indiquez si vous souhaitez activer la rotation automatique. Lorsqu'elle est activée, KMS met périodiquement à jour la valeur des identifiants pour réduire le risque de fuite.
   Rotation Period	Définissez ce paramètre uniquement lorsque la rotation automatique est activée. Valeurs valides : de 6 heures à 365 jours. Spécifie l'intervalle de rotation. KMS met périodiquement à jour la valeur des identifiants en fonction de ce paramètre.
   Description	Description facultative des identifiants à des fins d'identification et de gestion.
   Advanced Settings > Policy Settings	Définissez la politique d'accès pour les identifiants afin de contrôler quels utilisateurs ou rôles RAM peuvent les lire ou les modifier. Vous pouvez d'abord sélectionner la politique par défaut et la modifier ultérieurement selon vos besoins.

Étape 2 : Enregistrer la base de données RDS dans DMS

1. Connectez-vous à DMS 5.0.

2. Sur le côté gauche de la page d'accueil de la console, dans la section Database Instances, cliquez sur l'icône Ajouter une instance .

   Remarque

   Vous pouvez également choisir Data Assets > Instances dans la barre de navigation supérieure, puis cliquez sur New.

3. Sur la page Create Instance, saisissez les informations de l'instance RDS.

   Pour le paramètre Access Mode, sélectionnez KMS Credential Logon. Pour savoir comment configurer les autres paramètres, consultez la rubrique Ajouter une base de données cloud.

Documentation connexe

• Modifier le mode d'accès : Basculer une base de données ApsaraDB RDS existante dans DMS d'une connexion par mot de passe à une connexion par secret KMS. Consultez la rubrique Modifier les informations de l'instance.

• Gérer les bases de données : Créer des bases de données, créer des tables et interroger ou modifier des données à l'aide de la console SQL. Consultez la rubrique Guide de démarrage rapide de la console SQL.

• Exécuter des opérations DML sans verrouillage : Modifier de grands volumes de données sans verrouiller les tables. Consultez la rubrique Opération DML sans verrouillage.

• Exporter des données : Exporter les données de table depuis la base de données. Consultez la rubrique Exporter des données.

• Gérer la rotation des secrets : Configurer ou examiner les paramètres de rotation de votre secret ApsaraDB RDS. Consultez les rubriques Gérer et utiliser les secrets ApsaraDB RDS et Versions de secret.