为 Amazon Secrets Manager设置交替用户轮换

创建 VPC

1. 打开位于 https://console.aws.amazon.com/vpc/ 的 Amazon VPC 控制台。

2. 选择创建 VPC。

3. 在 Create VPC（创建 VPC）页面上，选择 VPC and more（VPC 等）。

4. 在 Name tag auto-generation（名称标签自动生成）下的 Auto-generate（自动生成）下，输入 SecretsManagerTutorial。

5. 对于 DNS options（DNS 选项），请同时选择 Enable DNS hostnames 和 Enable DNS resolution。

6. 选择创建 VPC。

在 VPC 内创建 Secrets Manager 端点

1. 在 Amazon VPC 控制台的 Endpoints（端点）下，选择 Create Endpoint（创建端点）。

2. 在 Endpoint settings（端点设置）下，为 Name（名称）输入 SecretsManagerTutorialEndpoint。

3. 在 Services（服务）下，输入 secretsmanager 以筛选列表，然后在您的 Amazon Web Services 区域中选择 Secrets Manager 端点。例如，在美国东部（弗吉尼亚北部），选择 com.amazonaws.us-east-1.secretsmanager。

4. 对于 VPC，选择 vpc**** (SecretsManagerTutorial)。

5. 对于 Subnets（子网），选择所有 Availability Zones（可用性区域），然后对于每个区域，选择要包含的 Subnet ID（子网 ID）。

6. 对于 IP address type（IP 地址类型），选择 IPv4。

7. 对于 Security groups（安全组），选择默认安全组。

8. 对于 Policy（策略），选择 Full access。

9. 选择创建端点。

在 VPC 内创建 Amazon RDS 端点

1. 在 Amazon VPC 控制台的 Endpoints（端点）下，选择 Create Endpoint（创建端点）。

2. 在 Endpoint settings（端点设置）下，为 Name（名称）输入 RDSTutorialEndpoint。

3. 在 Services（服务）下，输入 rds 以筛选列表，然后在您的 Amazon Web Services 区域中选择 Amazon RDS 端点。例如，在美国东部（弗吉尼亚北部），选择 com.amazonaws.us-east-1.rds。

4. 对于 VPC，选择 vpc**** (SecretsManagerTutorial)。

5. 对于 Subnets（子网），选择所有 Availability Zones（可用性区域），然后对于每个区域，选择要包含的 Subnet ID（子网 ID）。

6. 对于 IP address type（IP 地址类型），选择 IPv4。

7. 对于 Security groups（安全组），选择默认安全组。

8. 对于 Policy（策略），选择 Full access。

9. 选择创建端点。

为堡垒主机创建 EC2 实例

1. 打开亚马逊 EC2 控制台，网址为https://console.aws.amazon.com/ec2/。

2. 选择 Instances（实例），然后选择 Launch Instances（启动实例）。

3. 在 Name and tags（名称和标签）下，对于 Name（名称），输入 SecretsManagerTutorialInstance。

4. 在 Application and OS Images（应用程序和操作系统映像）下，保留默认值 Amazon Linux 2 AMI (HMV) Kernel 5.10。

5. 在 Instance type（实例类型）下，保留默认值 t2.micro。

6. 在 Key pair（密钥对）下，选择 Create key pair（创建密钥对）。

   在 Create key pair（创建密钥对）对话框中，对于 Key pair name（密钥对名称），输入 SecretsManagerTutorialKeyPair，然后选择 Create key pair（创建密钥对）。

   此时会自动下载密钥对。

7. 在 Network settings（网络设置）下，选择 Edit（编辑），然后执行以下操作：

   1. 对于 VPC，选择 vpc-**** SecretsManagerTutorial。

   2. 对于 Auto-assign Public IP（自动分配公有 IP），选择 Enable。

   3. 对于 Firewall（防火墙），选择 Select existing security group（选择现有安全组）。

   4. 对于 Common security groups（常见安全组），选择 default。

8. 选择启动实例。

使用包含管理员凭证的 Secrets Manager 密钥创建 Amazon RDS 数据库

1. 在 Amazon RDS 控制台中，选择 Create database（创建数据库）。

2. 在 Engine options（引擎选项）部分，为 Engine type（引擎类型）选择 MySQL。

3. 在 Templates（模板）部分，选择 Free tier。

4. 在 Settings（设置）部分，执行以下操作：

   1. 对于 DB instance identifier（数据库实例标识符），输入 SecretsManagerTutorial。

   2. 在 “凭据设置” 下，选择中的管理主凭证。 Amazon Secrets Manager

5. 在 “连接” 部分中，对于 “计算机资源”，选择 “连接到 EC2 计算机资源”，然后在 “EC2 实例” 中选择SecretsManagerTutorialInstance。

6. 选择创建数据库。

允许您的本地计算机连接到实 EC2 例

1. 打开亚马逊 EC2 控制台，网址为https://console.aws.amazon.com/ec2/。

2. 在 EC2 实例上 SecretsManagerTutorialInstance，在安全选项卡上的安全组下，选择sg-*** (ec2-rds-X)。

3. 在 Input rules（输入规则）下，选择Edit inbound rules（编辑入站规则）。

4. 选择 Add rule（添加规则），然后对该规则执行以下操作：

   1. 对于类型，选择 SSH。

   2. 对于 Source type（源类型），选择 My IP。

在 MySQL Workbench 中创建数据库连接

1. 在 MySQL Workbench 中，选择 MySQL Connections（MySQL 连接）旁边的 (+) 按钮。

2. 在 Setup New Connection（设置新连接）对话框中，执行以下操作：

   1. 对于 Connection Name（连接名称），输入 SecretsManagerTutorial。

   2. 对于 Connection Method（连接方法），选择 Standard TCP/IP over SSH。

   3. 在 Parameters（参数）选项卡上，执行以下操作：

      1. 对于 SSH 主机名，请输入 Amazon EC2 实例的公有 IP 地址。

         您可以通过选择实例在 Amazon EC2 控制台上找到 IP 地址SecretsManagerTutorialInstance。复制公有 IPv4 DNS 下的 IP 地址。

      2. 对于 SSH Username（SSH 用户名），输入 ec2-user。

      3. 对于 SSH Keyfile，请选择您在前面的先决条件中下载的密钥对文件 SecretsManagerTutorialKeyPair.pem。

      4. 对于 MySQL Hostname（MySQL 主机名），输入 Amazon RDS 端点地址。

         您可以在 Amazon RDS 控制台上通过选择数据库实例 secretsmanagertutorialdb 查找端点地址。复制 Endpoint（端点）下的地址。

      5. 对于 Username（用户名），输入 admin。

   4. 选择确定。

检索管理员密码

1. 在 Amazon RDS 控制台中，导航到您的数据库。

2. 在 Configuration（配置）选项卡的 Master Credentials ARN（主凭证 ARN）下，选择 Manage in Secrets Manager（在 Secrets Manager 中管理）。

   此时将打开 Secrets Manager 控制台。

3. 在密钥详细信息页面上，选择 Retrieve secret value（检索密钥值）。

4. 密码显示在 Secret value（密钥值）部分中。

创建数据库用户

1. 在 MySQL 工作台中，选择连接SecretsManagerTutorial。

2. 输入从密钥中检索到的管理员密码。

3. 在 MySQL Workbench 中，在 Query（查询）窗口中，输入以下命令（包括强密码），然后选择 Execute（执行）。轮换函数使用 SELECT 测试更新的密钥，因此 appuser 必须至少具有该权限。

   CREATE DATABASE myDB;
   CREATE USER 'appuser'@'%' IDENTIFIED BY 'EXAMPLE-PASSWORD';
   GRANT SELECT ON myDB . * TO 'appuser'@'%';

   在 Output（输出）窗口中，您会看到这些命令执行成功。

1. 打开 Secrets Manager 控制台，网址为https://console.aws.amazon.com/secretsmanager/。

2. 选择存储新密钥。

3. 在 Choose secret type（选择密钥类型）页面上，执行以下操作：

   1. 对于 Secret type（秘密类型），选择 Credentials for Amazon RDS database（Amazon RDS 数据库凭证）。

   2. 对于 Credentials（凭证），输入用户名 appuser，以及您为使用 MySQL Workbench 创建的数据库用户输入的密码。

   3. 对于 Database（数据库），选择 secretsmanagertutorialdb。

   4. 选择下一步。

4. 在 Configure secret（配置密钥）页面上，对于 Secret name（密钥名称），输入 SecretsManagerTutorialAppuser，然后选择 Next（下一步）。

5. 在 Configure rotation（配置轮换）页面上，执行以下操作：

   1. 启用 Automatic rotation（自动轮换）。

   2. 对于 Rotation schedule（轮换计划），设置计划 Days（天数）：2 天，以及 Duration（持续时间）：2h。使 Rotate immediately（立即轮换）处于已选择状态。

   3. 对于 Rotation function（轮换函数），选择 Create a rotation function（创建轮换函数），然后对于函数名称，输入 tutorial-alternating-users-rotation。

   4. 对于轮换策略，选择交替用户，然后在管理员凭证密钥下，选择名为 rds!cluster...，并且描述包含您在本教程 secretsmanagertutorial 中所创建数据库的名称的密钥，例如 Secret associated with primary RDS DB instance: arn:aws:rds:Region:AccountId:db:secretsmanagertutorial。

   5. 选择下一步。

6. 在 Review（检查）页面上，选择 Store（存储）。

   Secrets Manager 会返回到密钥详细信息页面。您可以在该页面顶部查看轮换配置状态。Secrets CloudFormation Manager 用于创建资源，例如 Lambda 轮换函数和运行 Lambda 函数的执行角色。 CloudFormation 完成后，横幅变为预定轮换的 Secret。第一次轮换已完成。

从秘密中检索新密码

1. 打开 Secrets Manager 控制台，网址为https://console.aws.amazon.com/secretsmanager/。

2. 选择 Secrets（秘密），然后选择秘密 SecretsManagerTutorialAppuser。

3. 在 Secret details（秘密详细信息）页面上，向下滚动并选择 Retrieve secret value（检索秘密值）。

4. 在 Key/value（键/值）表中，为 password 复制 Secret value（秘密值）。

测试凭证

1. 在 MySQL 工作台中，右键单击该连接 SecretsManagerTutorial，然后选择 “编辑连接”。

2. 在 Manage Server Connections（管理服务器连接）对话框中，对于 Username（用户名），输入 appuser，然后选择 Close（关闭）。

3. 回到 MySQL 工作台，选择连接SecretsManagerTutorial。

4. 在 Open SSH Connection（打开 SSH 连接）对话框中，对于 Password（密码），粘贴您从秘密中检索到的密码，然后选择 OK（确定）。

   如果凭证有效，则 MySQL Workbench 将打开至数据库的设计页面。