Rotación de secreto de base de datos sin función de cartera

Permisos

La ejecución de una función requiere determinadas políticas de IAM.

Para la función Rotación de secreto de base de datos sin cartera, debe crear un grupo dinámico y configurar una política de IAM para permitir que el servicio de rotación de secretos llame a la función. Para definir las políticas adecuadas, realice los siguientes pasos:

• Creación de un grupo dinámico con la regla:

  resource.type='vaultsecret'

  Esta regla incluye todos los secretos del almacén en el grupo dinámico. Puede limitar qué secreto de almacén se incluye en el grupo dinámico mediante una regla más restrictiva. Por ejemplo:

  resource.id='<secret-id>'

• Configure una política de IAM que permita a los recursos incluidos en el grupo dinámico llamar a funciones. Por ejemplo:

  Allow dynamic-group <vs-dynamic-group-name> to manage functions-family in tenancy

  Nota
  
  Sustituya <vs-dynamic-group-name> por el nombre del grupo dinámico que ha creado para el secreto de almacén.

Además, si ha seleccionado la opción No crear un grupo dinámico y una política de IAM al crear la función, debe definir el grupo dinámico y la política de IAM usted mismo para permitir que la función gestione secretos. Para definir las políticas adecuadas, realice los siguientes pasos:

• Creación de un grupo dinámico con la regla:

  resource.type='fnfunc'

  Esta regla incluye todas las funciones del grupo dinámico. Puede limitar qué función se incluye en el grupo dinámico mediante una regla más restrictiva. Por ejemplo:

  resource.id='<function-ocid>'

• Configure una política de IAM mediante el grupo dinámico:

  Allow dynamic-group <dynamic-group-name> to manage secret-family in tenancy

  Puede limitar qué secretos de almacén puede gestionar la función mediante una política más restrictiva. Por ejemplo:

  Allow dynamic-group <dynamic-group-name> to manage secret-family in compartment <compartment-name> where target.secret.id = "<secret-ocid>"

Llamando a esta función

El servicio secreto llamaría a la función creada mediante este PBF para rotar el secreto.

1. Cree una función con este PBF y copie el ID de función.
2. 1. Abra el menú de navegación, seleccione Identidad y seguridad y, a continuación, seleccione Almacén.
   2. En Ámbito de lista, seleccione un compartimento que contenga los secretos que ha creado en un almacén.
   3. En la lista de secretos, seleccione un nombre de secreto que necesite rotar mediante este PBF o cree un nuevo secreto.

      • Para crear un nuevo secreto, consulte Creación de un secreto.
      • Para actualizar un secreto existente, consulte Actualización de un secreto.
3. Seleccione Tipo de sistema de destino como Función para las rotaciones.
4. Agregue el ID de función copiado del paso 1 como ID de sistema de destino.
5. Asegúrese de que el secreto cumpla estos requisitos:
   • La primera versión del secreto se debe crear manualmente. Seleccione Generación de secreto manual con el contenido del secreto en el siguiente formato JSON:

     {
      "username": "<required: username>",
      "password": "<required: password>",
      "connectionString": "<required: DB connection string>"
     }

   • La contraseña debe ser la misma que se define para que se rote la base de datos.
   • Después de la creación correcta del secreto, se debe activar Generación automática de secretos para que el servicio secreto pueda generar automáticamente las versiones posteriores del secreto.
   • Edite el secreto recién creado, active Generación automática de secretos y proporcione el contenido del secreto en el siguiente formato JSON:

     {
      "username": "<required: username>",
      "password": "%GENERATED_PASSPHRASE%",
      "connectionString": "<required: DB connection string>"
     }
     

   • En Generación automática de secretos, la contraseña se proporciona como %GENERATED_PASSPHRASE% para que el servicio secreto pueda generar automáticamente la contraseña en este campo.
   • El nombre de usuario y la contraseña deben establecer una conexión con la base de datos con el formato: jdbc:oracle:thin:@<connectionString>?user=<username>&password=<example-password>
   • Asegúrese de utilizar la conexión TLS.
     Nota
     
     Esta función no es compatible con la conexión MTLS.

Solución de Problemas

Por ejemplo, una entrada de log para la rotación de secreto de base de datos sin la función incorporada de cartera tiene un aspecto similar al siguiente:

"PBF | Database Secret Rotation without Wallet | INFO | 2024-01-31T18:06:50.809Z | Fetching details from Events JSON"