Contrôle d’accès basé sur les rôles pour Kinesis

Cet article explique comment les clients de ClickPipes peuvent utiliser le contrôle d’accès basé sur les rôles pour s’authentifier auprès d’Amazon Kinesis et accéder à leurs flux de données en toute sécurité.

Cet article montre comment les clients de ClickPipes peuvent tirer parti du contrôle d’accès basé sur les rôles pour s’authentifier auprès d’Amazon Kinesis et accéder à leurs flux de données en toute sécurité.

​

Prérequis

Pour suivre ce guide, vous aurez besoin des éléments suivants :

• Un service ClickHouse Cloud actif
• Un compte AWS

​

Introduction

Avant d’aborder la configuration de l’accès sécurisé à Kinesis, il est important de comprendre le mécanisme. Voici un aperçu de la façon dont ClickPipes peut accéder aux flux de données Amazon Kinesis en assumant un rôle au sein des comptes AWS des clients.

Grâce à cette approche, les clients peuvent gérer en un seul endroit l’ensemble des accès à leurs flux de données Kinesis (via la stratégie IAM du rôle assumé), sans avoir à modifier individuellement la stratégie d’accès de chaque flux.

​

Configuration

​

Obtention de l’ARN du rôle IAM du service ClickHouse

• 1. Connectez-vous à votre compte ClickHouse Cloud.
• 2. Sélectionnez le service ClickHouse pour lequel vous souhaitez créer l’intégration
• 3. Sélectionnez l’onglet Settings
• 4. Faites défiler la page jusqu’à la section Network security information, en bas de la page
• 5. Copiez la valeur Service role ID (IAM) associée au service, comme indiqué ci-dessous.

​

Configuration pour assumer le rôle IAM

​

Créer manuellement un rôle IAM.

• 1. Connectez-vous à votre compte AWS dans votre navigateur avec un utilisateur IAM autorisé à créer et gérer des rôles IAM.
• 2. Accédez à la Console du service IAM
• 3. Créez un nouveau rôle IAM avec AWS account comme type d’entité de confiance. Notez que le nom du rôle IAM doit commencer par ClickHouseAccessRole- pour que cela fonctionne.

  i. Configurer la stratégie d’approbation

  La stratégie d’approbation permet au rôle IAM ClickHouse d’assumer ce rôle. Remplacez {ClickHouse_IAM_ARN} par l’ARN du rôle IAM de votre service ClickHouse (obtenu à l’étape précédente).

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "{ClickHouse_IAM_ARN}"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

  ii. Configurer la stratégie d’autorisation

  La stratégie d’autorisation accorde l’accès à votre flux Kinesis. Remplacez les paramètres fictifs suivants :

  • {REGION}: votre région AWS (par exemple, us-east-1)
  • {ACCOUNT_ID}: l’ID de votre compte AWS
  • {STREAM_NAME}: le nom de votre flux Kinesis
  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "kinesis:DescribeStream",
          "kinesis:GetShardIterator",
          "kinesis:GetRecords",
          "kinesis:ListShards",
          "kinesis:RegisterStreamConsumer",
          "kinesis:DeregisterStreamConsumer",
          "kinesis:ListStreamConsumers"
        ],
        "Resource": [
          "arn:aws:kinesis:{REGION}:{ACCOUNT_ID}:stream/{STREAM_NAME}"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "kinesis:SubscribeToShard",
          "kinesis:DescribeStreamConsumer"
        ],
        "Resource": [
          "arn:aws:kinesis:{REGION}:{ACCOUNT_ID}:stream/{STREAM_NAME}/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "kinesis:ListStreams"
        ],
        "Resource": "*"
      }
    ]
  }
  
• 4. Copiez le nouvel ARN du rôle IAM une fois sa création terminée. C’est celui dont vous aurez besoin pour accéder à votre flux Kinesis.