使用密钥访问 Amazon Database Migration Service 端点

登录 Amazon Web Services Management Console 并打开 Amazon Identity and Access Management 控制台，网址为https://console.amazonaws.cn/iam/。

选择用户，然后选择用于发出 CreateEndpoint 和 ModifyEndpoint API 调用的用户 ID。

从权限选项卡中选择 {} JSON。

请确保用户具有以下所示的权限。

{
	"Statement": [{
			"Effect": "Allow",
			"Action": [
				"iam:GetRole",
				"iam:PassRole"
			],
			"Resource": "SECRET_ACCESS_ROLE_ARN"
		},
		{
			"Effect": "Allow",
			"Action": "secretsmanager:DescribeSecret",
			"Resource": "SECRET_ARN"
		}
	]
}
                    

如果用户没有这些权限，添加权限。

如果使用 IAM 角色发出 DMS API 调用，请对相应的角色重复上述步骤。

打开终端，使用假设上面使用的角色或用户来验证权限是否正确授予。 Amazon CLI

1. SecretAccessRole 使用 IAM get-role 命令验证用户的权限。

   aws iam get-role --role-name ROLE_NAME
                               

   将 ROLE_NAME 替换为 SecretsManagerAccessRole 的名称。

   如果命令返回错误消息，请确保已正确授予权限。

2. 使用 Secrets Manager describe-secret 命令验证用户对密钥的权限。

   aws secretsmanager describe-secret --secret-id SECRET_NAME OR SECRET_ARN --region=REGION_NAME
                               

   用户可以是友好名称、部分 ARN 或完整 ARN。有关更多信息，请参阅 describe-secret。

   如果命令返回错误消息，请确保已正确授予权限。

登录 Amazon Web Services Management Console 并打开 Amazon Secrets Manager 控制台，网址为https://console.amazonaws.cn/secretsmanager/。

选择存储新密钥。

在存储新密钥页面上，在选择密钥类型下选择其他类型的密钥，然后选择明文。

在明文字段中：

选择 Amazon KMS 加密密钥来加密密钥。您可以接受由为您的服务创建的默认加密密钥， Amazon Secrets Manager 也可以选择自己创建的 Amazon KMS 密钥。

指定引用此密钥的名称和可选的描述。这是您用作 SecretsManagerSecretId 或 SecretsManagerOracleAsmSecretId 值的友好名称。

如果要在密钥中启用自动轮换，则需要选择或创建一个 Amazon Lambda 函数，该函数有权轮换密钥的证书，如上所述。但是，在设置自动轮换以使用 Lambda 函数之前，请确保该函数的配置设置将以下四个字符添加到 EXCLUDE_CHARACTERS 环境变量的值中。

;.:+{}

Amazon DMS 不允许在用于端点凭证的密码中使用这些字符。配置 Lambda 函数以排除这些字符，可以防止 Amazon Secrets Manager 生成这些字符作为其轮换密码值的一部分。将自动轮换设置为使用 Lambda 函数后， Amazon Secrets Manager 立即轮换密钥以验证您的密钥配置。

查看您的密钥并将其存储在中 Amazon Secrets Manager。然后，您可以在中按其友好名称查找每个密钥 Amazon Secrets Manager，然后检索密钥 ARN 作为值，SecretsManagerSecretId或SecretsManagerOracleAsmSecretId根据需要检索该密钥 ARN，以验证对终端节点数据库连接和 Oracle ASM（如果使用）的访问权限。

登录 Amazon Web Services Management Console 并打开 Amazon Identity and Access Management (IAM) 控制台，网址为 https://console.aws.amazon.com/iam/。

选择策略，然后选择创建策略。

选择 JSON 并输入以下策略，以启用对密钥的访问和解密。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": secret_arn,
        },
        {
             "Effect": "Allow",
             "Action": [
                        "kms:Decrypt",
                        "kms:DescribeKey"
                      ],
             "Resource": kms_key_arn,
        }
     ]
}

此处，secret_arn 是密钥的 ARN，您可以根据需要从 SecretsManagerSecretId 或 SecretsManagerOracleAsmSecretId 中获取，kms_key_arn 是您用于加密密钥的 Amazon KMS 密钥的 ARN，如以下示例所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:us-east-2:123456789012:secret:MySQLTestSecret-qeHamH"
        },
        {
             "Effect": "Allow",
             "Action": [
                        "kms:Decrypt",
                        "kms:DescribeKey"
                      ],
             "Resource": "arn:aws:kms:us-east-2:123456789012:key/761138dc-0542-4e58-947f-4a3a8458d0fd"
        }
     ]
}

查看并创建具友好名称和描述（可选）的策略。

选择角色，然后选择创建角色。

选择 Amazon 服务作为可信实体的类型。

从服务列表中选择 DMS 作为可信服务，然后选择下一步：权限。

查找并附加您在步骤 4 中创建的策略，然后继续添加所有标签并查看角色。此时，编辑该角色的信任关系，以使用您的 Amazon DMS 区域服务主体作为可信实体。此主体采用以下格式。

dms.region-name.amazonaws.com

此处，region-name 是区域的名称，如 us-east-1。因此，该 Amazon DMS 区域的区域服务负责人随之而来。

dms.us-east-1.amazonaws.com

编辑完角色的可信实体后，创建具友好名称和描述（可选）的角色。现在，您可以在 IAM 中按友好名称查找新角色，然后检索角色 ARN 作为 SecretsManagerAccessRoleArn 或 SecretsManagerOracleAsmAccessRoleArn 值，以验证端点数据库连接。

创建密钥管理器 VPC 端点并记下该端点的 DNS。有关创建密钥管理器 VPC 端点的更多信息，请参阅《Amazon Secrets Manager 用户指南》中的通过 VPC 端点连接到 Secrets Manager。

将复制实例安全组附加到密钥管理器 VPC 端点。

对于复制实例安全组出站规则，允许目的地为 0.0.0.0/0 的所有流量。

设置端点额外连接属性，secretsManagerEndpointOverride=secretsManager endpoint DNS，以提供密钥管理器 VPC 端点 DNS，如以下示例所示。

secretsManagerEndpointOverride=vpce-1234a5678b9012c-12345678.secretsmanager.eu-west-1.vpce.amazonaws.com