create-secret

Описание

Создает новый секрет. Секрет может представлять собой пароль, набор учетных данных, таких как имя пользователя и пароль, токен OAuth или другую конфиденциальную информацию, которую вы храните в зашифрованном виде в Secrets Manager. Секрет также включает информацию о подключении для доступа к базе данных или другому сервису, которую Secrets Manager не шифрует. Секрет в Secrets Manager состоит из защищенных данных секрета и важной информации, необходимой для управления секретом.

Для секретов, использующих управляемую ротацию, необходимо создать секрет через управляющий сервис. Для получения дополнительной информации см. Секреты Secrets Manager, управляемые другими сервисами Amazon Web Services.

Сведения о создании секрета в консоли см. в разделе Создание секрета.

Чтобы создать секрет, вы можете предоставить значение секрета для шифрования в параметре SecretString или параметре SecretBinary, но не в обоих. Если вы включите SecretString или SecretBinary, Secrets Manager создает начальную версию секрета и автоматически присваивает ей метку этапа AWSCURRENT.

Для учетных данных базы данных, которые вы хотите вращать, чтобы Secrets Manager смог вращать секрет, вы должны убедиться, что JSON, хранящийся в SecretString, соответствует структуре JSON секрета базы данных.

Если вы не укажете ключ шифрования KMS, Secrets Manager использует управляемый ключ Amazon Web Services aws/secretsmanager. Если этот ключ еще не существует в вашей учетной записи, Secrets Manager создаст его автоматически. Все пользователи и роли в учетной записи Amazon Web Services автоматически имеют доступ к использованию aws/secretsmanager. Создание aws/secretsmanager может привести к кратковременному значительному замедлению возврата результата.

Если секрет находится в другой учетной записи Amazon Web Services, отличной от учетной записи, вызывающей API, то вы не можете использовать aws/secretsmanager для шифрования секрета и должны создать и использовать управляемый клиентом ключ KMS.

Secrets Manager генерирует запись журнала CloudTrail при вызове этого действия. Не включайте конфиденциальную информацию в параметры запроса, за исключением SecretBinary или SecretString, поскольку она может быть зарегистрирована. Дополнительная информация приведена в разделе Ведение журналов событий Secrets Manager с помощью CloudTrail.

Для шифрования секрета с помощью ключа KMS, отличного от aws/secretsmanager, вам необходимо разрешение kms:GenerateDataKey и kms:Decrypt на ключ.

См. также: Документация API AWS

Синопсис

  create-secret
--name <value>
[--client-request-token <value>]
[--description <value>]
[--kms-key-id <value>]
[--secret-binary <value>]
[--secret-string <value>]
[--tags <value>]
[--add-replica-regions <value>]
[--force-overwrite-replica-secret | --no-force-overwrite-replica-secret]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--name (строка)

--client-request-token (строка)

--description (строка)

--kms-key-id (строка)

--secret-binary (двоичные данные)

--secret-string (строка)

--tags (список)

Краткая синтаксическая запись:

Key=string,Value=string ...

Синтаксис JSON:

[
  {
    "Key": "string",
    "Value": "string"
  }
  ...
]

--add-replica-regions (список)

Краткая синтаксическая запись:

Region=string,KmsKeyId=string ...

Синтаксис JSON:

[
  {
    "Region": "string",
    "KmsKeyId": "string"
  }
  ...
]

--force-overwrite-replica-secret | --no-force-overwrite-replica-secret (логическое значение)

--cli-input-json | --cli-input-yaml (строка) Считывает аргументы из предоставленной JSON-строки. JSON-строка соответствует формату, предоставленному --generate-cli-skeleton. Если на командной строке предоставляются другие аргументы, эти значения переопределяют значения, предоставленные JSON. Невозможно передавать произвольные двоичные значения с помощью предоставленного JSON-значения, так как строка будет взята буквально. Это не может быть указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод без отправки запроса API. Если не указано значение или значение input, выводит JSON-пример входных данных, который можно использовать как аргумент для --cli-input-json. Аналогично, если указано значение yaml-input, выводится пример YAML-входных данных, который можно использовать с --cli-input-yaml. Если указано значение output, то проверяются входные данные команды и возвращается пример JSON-выходных данных для этой команды. Сгенерированный JSON-скелет не является стабильным между версиями AWS CLI, и нет гарантий обратной совместимости в сгенерированном JSON-скелете.

Глобальные параметры

--debug (логическое значение)

Включить отладку протоколирования.

--endpoint-url (строка)

Переопределить URL по умолчанию команды заданным URL.

--no-verify-ssl (логическое значение)

По умолчанию AWS CLI использует SSL при общении с AWS-сервисами. Для каждого SSL-соединения AWS CLI будет проверять SSL-сертификаты. Этот параметр переопределяет поведение проверки SSL-сертификатов по умолчанию.

--no-paginate (логическое значение)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI сделает только один вызов для первой страницы результатов.

--output (строка)

Стиль форматирования вывода команды.

• json
• текст
• таблица
• yaml
• yaml-поток

--query (строка)

Запрос JMESPath для фильтрации данных ответа.

--profile (строка)

Использовать определённый профиль из вашего файла учетных данных.

--region (строка)

Регион для использования. Переопределяет настройки конфигурации/среды.

--version (строка)

Показать версию этого инструмента.

--color (строка)

Включить/отключить цветной вывод.

• включить
• выключить
• авто

--no-sign-request (логическое значение)

Не подписывать запросы. Учетные данные не будут загружены, если этот аргумент предоставлен.

--ca-bundle (строка)

Файл набора сертификатов CA для проверки SSL-сертификатов. Переопределяет настройки конфигурации/среды.

--cli-read-timeout (целое число)

Максимальное время чтения сокета в секундах. Если значение установлено в 0, чтение сокета будет блокирующим и не будет иметь тайм-аута. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (целое число)

Максимальное время подключения сокета в секундах. Если значение установлено в 0, подключение сокета будет блокирующим и не будет иметь тайм-аута. Значение по умолчанию — 60 секунд.

--cli-binary-format (строка)

Стиль форматирования для двоичных блоков. Формат по умолчанию — base64. Формат base64 ожидает, что двоичные блоки будут предоставлены как закодированная в base64 строка. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, и двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, соответствующего двоичному блоку, fileb:// всегда будет обрабатываться как двоичное и будет использовать содержимое файла непосредственно независимо от значения cli-binary-format. При использовании file:// содержимое файла должно быть правильно отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (логическое значение)

Отключить пейджер командной строки для вывода.

--cli-auto-prompt (логическое значение)

Автоматически запрашивать параметры ввода CLI.

--no-cli-auto-prompt (логическое значение)

Отключить автоматическую запрос параметров ввода CLI.

Примеры

Пример 1: Создание секрета из данных в файле JSON

Следующий create-secret пример создаёт секрет из данных в файле. Для получения дополнительной информации см. загрузку параметров AWS CLI из файла в руководстве пользователя AWS CLI.

aws secretsmanager create-secret \
    --name MyTestSecret \
    --secret-string file://mycreds.json

Содержание файла mycreds.json:

{
  "engine": "mysql",
  "username": "saanvis",
  "password": "EXAMPLE-PASSWORD",
  "host": "my-database-endpoint.us-west-2.rds.amazonaws.com",
  "dbname": "myDatabase",
  "port": "3306"
}

Вывод:

{
  "ARN": "arn:aws:secretsmanager:us-west-2:123456789012:secret:MyTestSecret-a1b2c3",
  "Name": "MyTestSecret",
  "VersionId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
}

Для получения дополнительной информации см. создание секрета в руководстве пользователя Secrets Manager.

Пример 2: Создание секрета

Следующий create-secret пример создаёт секрет с двумя парами ключ-значение. При вводе команд в командной оболочке существует риск доступа к истории команд или к вашим параметрам команд от сторонних утилиты. Это представляет опасность, если команда включает значение секрета. Для получения дополнительной информации см. минимизацию рисков использования командных инструментов для хранения секретов в руководстве пользователя Secrets Manager.

aws secretsmanager create-secret \
    --name MyTestSecret \
    --description "My test secret created with the CLI." \
    --secret-string "{\"user\":\"diegor\",\"password\":\"EXAMPLE-PASSWORD\"}"

Вывод:

{
  "ARN": "arn:aws:secretsmanager:us-west-2:123456789012:secret:MyTestSecret-a1b2c3",
  "Name": "MyTestSecret",
  "VersionId": "EXAMPLE1-90ab-cdef-fedc-ba987EXAMPLE"
}

Для получения дополнительной информации см. создание секрета в руководстве пользователя Secrets Manager.

Вывод

ARN -> (строка)

Имя -> (строка)

VersionId -> (строка)

ReplicationStatus -> (список)