Data Management (DMS) oferece suporte à integração de credenciais do RDS. Quando o DMS precisa acessar remotamente um banco de dados RDS, ele recupera o valor do segredo do KMS em tempo real para fazer login. Este tópico descreve como configurar o DMS para usar credenciais do RDS no acesso a um banco de dados RDS.
Como funciona
Antes de usar o Data Management (DMS) para executar operações como gerenciamento de ativos de dados e desenvolvimento de banco de dados em uma instância do ApsaraDB RDS, adicione primeiro a instância RDS ao DMS. Esse processo exige a configuração das credenciais de login da instância RDS no DMS, o que permite a conexão remota do DMS à instância.
Em vez de inserir manualmente a conta e a senha do ApsaraDB RDS no DMS, utilize o KMS para armazenar a conta e a senha como um segredo e configure o DMS para usá-lo no login. Ao se conectar ao banco de dados ApsaraDB RDS, o DMS recupera o valor do segredo do KMS em tempo real. O fluxo de trabalho a seguir descreve esse processo:
Um administrador de segredos cria um segredo do ApsaraDB RDS no KMS.
Durante o registro do banco de dados no DMS, um administrador configura o banco de dados para usar o segredo do KMS.
O administrador do DMS inicia uma solicitação de conexão com o banco de dados ApsaraDB RDS.
O DMS chama as operações de API ListSecrets e GetSecretValue do KMS e recupera o valor correspondente do segredo RDS do KMS em tempo real.
O DMS utiliza o valor do segredo recuperado para fazer login no banco de dados ApsaraDB RDS.
Benefícios
A integração do DMS com segredos do ApsaraDB RDS aprimora a segurança do banco de dados e garante acesso seguro às credenciais.
Segurança aprimorada: Os segredos do ApsaraDB RDS são criptografados e armazenados no KMS. Armazenar segredos no KMS reduz a exposição de contas e senhas de banco de dados em texto simples.
-
Gerenciamento simplificado de senhas: O KMS pode rotacionar automaticamente os segredos do ApsaraDB RDS para atualizar regularmente as senhas do banco de dados. Isso reduz os riscos de segurança associados a senhas de longa duração.
NotaO DMS recupera em tempo real o valor do segredo que possui o rótulo de estágio ACSCurrent do KMS. Portanto, ativar a rotação automática não afeta as conexões remotas do DMS ao banco de dados ApsaraDB RDS. Para obter mais informações sobre rotação, consulte ApsaraDB RDS secrets e Stage labels.
Auditoria abrangente: O KMS integra-se ao ActionTrail para registrar todas as solicitações de acesso aos segredos do ApsaraDB RDS. Isso facilita a auditoria, a rastreabilidade e a detecção oportuna de atividades incomuns.
Observações de uso
É necessário adquirir uma instância do KMS para usar este recurso. Para obter mais informações sobre faturamento e seleção de instâncias do KMS, consulte Billing e Select a KMS instance type.
-
O KMS oferece suporte a segredos para os seguintes tipos de instância do ApsaraDB RDS:
ApsaraDB RDS for MySQL
ApsaraDB RDS for MariaDB
ApsaraDB RDS for SQL Server (exceto instâncias executando SQL Server 2017 EE)
ApsaraDB RDS for PostgreSQL
Caso utilize o KMS para gerenciar um segredo do ApsaraDB RDS, recomenda-se configurar o DMS para usar esse segredo no login em vez de inserir a senha manualmente. Esse método evita falhas de login causadas por atualizações manuais de senha, pois o DMS sempre recupera o segredo atual.
Antes de excluir um segredo do ApsaraDB RDS no KMS, certifique-se de que o DMS não esteja mais acessando o segredo. Para verificar os registros de acesso, consulte Query the usage records of keys and secrets.
Pré-requisitos
Você adquiriu e ativou uma instância do KMS. Para obter mais informações, consulte Purchase and enable a KMS instance.
Como é necessário especificar uma chave simétrica para criptografar um segredo RDS, crie primeiro uma chave simétrica em uma instância do KMS. Para obter mais informações, consulte Create a key.
Etapa 1: Criar um segredo RDS no KMS
Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
-
Na página Secrets, clique em Database Secrets, selecione um Instance ID e clique em . Conclua as configurações e clique em OK.
Parâmetro
Descrição
Database Type
Selecione ApsaraDB RDS Secrets.
Secret Name
Nome personalizado da credencial. Deve ser exclusivo na região atual.
ApsaraDB RDS Instance
Selecione uma instância RDS em sua conta Alibaba Cloud.
Account Management
Manage Dual Accounts (Recomendado): Adequado para acesso programático ao banco de dados. O KMS gerencia duas contas com permissões idênticas para evitar interrupção de conexão durante a rotação.
Clique em Create Account para configurar o nome da conta, selecionar um banco de dados e especificar permissões.
NotaA criação e autorização com um clique não cria imediatamente a nova conta. A conta é criada após você revisar e confirmar as informações da credencial.
Para RDS PostgreSQL, não é possível obter o nome do banco de dados durante a criação. Defina manualmente o DBName.
Clique em Import Existing Accounts para selecionar um nome de usuário e configurar a senha.
NotaRecomenda-se definir a senha como aquela usada ao criar a conta de usuário da instância RDS. Se o nome de usuário e a senha importados não corresponderem, obtenha a conta e a senha corretas após a primeira rotação de credenciais.
Manage Single Account: Adequado para contas privilegiadas ou cenários de hospedagem manual de contas de O&M. A versão atual da credencial pode ficar temporariamente indisponível imediatamente após a redefinição da senha.
Clique em Create Account para configurar o nome da conta e selecionar o tipo de conta.
Oferece suporte a Standard Account e Privileged Account. Ao selecionar Standard Account, selecione também um banco de dados e especifique as permissões.
Clique na aba Import Existing Accounts para selecionar um nome de usuário e configurar a senha.
CMK
Selecione a chave simétrica usada para criptografar o valor da credencial. A chave e a credencial devem pertencer à mesma instância do KMS.
ImportanteA chave e a credencial devem pertencer à mesma instância do KMS, e a chave deve ser simétrica. Para obter mais informações sobre as chaves simétricas suportadas pelo KMS, consulte Key types and specifications.
Se um usuário RAM ou função RAM for utilizado, ele deve ter permissões para executar a operação GenerateDataKey usando a chave mestra de criptografia.
Automatic Rotation
Selecione se deseja ativar a rotação automática. Quando ativado, o KMS atualiza periodicamente o valor da credencial para reduzir o risco de vazamentos.
Rotation Period
Defina este parâmetro apenas quando a rotação automática estiver ativada. Valores válidos: 6 horas a 365 dias.
Especifica o intervalo de rotação. O KMS atualiza periodicamente o valor da credencial com base nessa configuração.
Description
Descrição opcional da credencial para identificação e gerenciamento.
Defina a política de acesso para a credencial a fim de controlar quais usuários ou funções RAM podem lê-la ou modificá-la.
Selecione primeiro a política padrão e modifique-a posteriormente conforme necessário.
Etapa 2: Registrar o banco de dados RDS no DMS
Faça login no DMS 5.0.
-
No lado esquerdo da página inicial do console, na seção Database Instances, clique no ícone Add Instance
.NotaTambém é possível escolher na barra de navegação superior e clicar em New.
-
Na página Create Instance, insira as informações da instância RDS.
Para Access Mode, selecione KMS Credential Logon. Para obter informações sobre como configurar outros parâmetros, consulte Add a cloud database.
Documentação relacionada
Alterar o modo de acesso: Alterne um banco de dados ApsaraDB RDS existente no DMS de login baseado em senha para login baseado em segredo do KMS. Consulte Edit instance information.
Gerenciar bancos de dados: Crie bancos de dados, tabelas e consulte ou modifique dados usando o console SQL. Consulte SQL Console quick start.
Executar DML sem bloqueio: Altere grandes volumes de dados sem bloquear tabelas. Consulte Lock-free DML operation.
Exportar dados: Exporte dados de tabela do banco de dados. Consulte Export data.
Gerenciar rotação de segredos: Configure ou revise as definições de rotação do seu segredo do ApsaraDB RDS. Consulte Manage and use ApsaraDB RDS secrets e Secret versions.