Die Verwendung von gMSA für EC2 Linux Container bei Amazon ECS

Entscheiden Sie, ob Sie die Instanzen mit der Domäne verbinden oder Domainless verwenden möchten gMSA.

• Fügen Sie EC2 Instanzen der Active Directory-Domäne hinzu

  • Die Instances anhand von Benutzerdaten hinzufügen

    Fügen Sie die Schritte zum Hinzufügen der Active Directory-Domäne zu Ihren EC2 Benutzerdaten in einer EC2 Startvorlage hinzu. Mehrere Amazon EC2 Auto Scaling Scaling-Gruppen können dieselbe Startvorlage verwenden.

    Sie können diese Schritte verwenden, um einem Active Directory beizutreten oder FreeIPA Domäne in den Fedora-Dokumenten.

• Machen Sie einen Active Directory-Benutzer für Domainless gMSA

  Der credentials-fetcher Daemon verfügt über eine Funktion, die als domänenlos bezeichnet wird gMSA. Für diese Funktion ist eine Domäne erforderlich, die EC2 Instanz muss jedoch nicht mit der Domäne verknüpft werden. Durch die Verwendung von Domainless gMSA, die Container-Instance ist nicht mit der Domain verbunden, andere Anwendungen auf der Instance können die Anmeldeinformationen nicht verwenden, um auf die Domain zuzugreifen, und Aufgaben, die verschiedenen Domänen beitreten, können auf derselben Instance ausgeführt werden. Stattdessen geben Sie den Namen eines Geheimnisses AWS Secrets Manager in der CredSpec file. Das Secret muss einen Benutzernamen, ein Passwort und die Domain enthalten, bei der die Anmeldung erfolgen soll.

  Dieses Feature wird unterstützt und kann mit Linux- und Windows-Containern verwendet werden.

  Diese Funktion ähnelt der gMSA support for non-domain-joined container hostsMerkmal. Weitere Informationen zur Windows-Funktion finden Sie unter gMSA Architektur und Verbesserungen auf der Microsoft Learn-Website.

  1. Erstellen Sie einen Benutzer in Ihrer Active-Directory-Domain. Der Benutzer in Active Directory muss über die erforderlichen Zugriffsrechte verfügen gMSA Dienstkonten, die Sie für die Aufgaben verwenden.

  2. Erstellen Sie ein Geheimnis in AWS Secrets Manager, nachdem Sie den Benutzer in Active Directory erstellt haben. Weitere Informationen finden Sie unter Create an AWS Secrets Manager Secret.

  3. Geben Sie den Benutzernamen, das Passwort und die Domäne des Benutzers in JSON Schlüssel-Wert-Paare einusername, die jeweils als password und domainName bezeichnet werden.

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. Fügen Sie die Konfiguration zur hinzu CredSpec Datei für das Dienstkonto. Die zusätzliche HostAccountConfig enthält den Amazon-Ressourcennamen (ARN) des Geheimnisses in Secrets Manager.

     Unter Windows PluginGUID muss der mit dem GUID folgenden Beispielausschnitt übereinstimmen. Auf Linux wird der PluginGUID ignoriert. MySecretErsetzen Sie das Beispiel durch den Amazon-Ressourcennamen (ARN) Ihres Geheimnisses.

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. Das Domainlose gMSADie Funktion benötigt zusätzliche Berechtigungen in der Rolle „Aufgabenausführung“. Folgen Sie dem Schritt (Optional) domänenlos gMSA Secret.

Instances und installieren Sie den credentials-fetcher-Daemon konfigurieren

Sie können den credentials-fetcher Daemon mit einem Benutzerdatenskript in Ihrer EC2 Startvorlage installieren. Die folgenden Beispiele veranschaulichen zwei Arten von Benutzerdaten: cloud-config YAML or bash skript. Diese Beispiele gelten für Amazon Linux 2023 (AL2023). MyClusterErsetzen Sie es durch den Namen des ECS Amazon-Clusters, dem diese Instances beitreten sollen.

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetch && systemctl enable credentials-fetcher"

• bash script

  Wenn Sie sich wohler fühlen bash Verwenden Sie für Skripten mit mehreren Variablen, in die geschrieben werden kann/etc/ecs/ecs.config, das folgende heredoc Format. Bei Verwendung dieses Formats wird alles zwischen den Zeilen cat und EOF in die Konfigurationsdatei geschrieben.

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetch && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

Es gibt optionale Konfigurationsvariablen für den credentials-fetcher-Daemon, die Sie in /etc/ecs/ecs.config einrichten können. Wir empfehlen, dass Sie die Variablen in den Benutzerdaten im YAML Block oder heredoc ähnlich wie in den vorherigen Beispielen festlegen. Dadurch werden Probleme mit der teilweisen Konfiguration vermieden, die beim mehrfachen Bearbeiten einer Datei auftreten können. Weitere Informationen zur ECS Agentenkonfiguration finden Sie unter Amazon ECS Container Agent on GitHub.

(Optional) domänenlos gMSA Secret

Wenn Sie die domainlose Methode verwenden, bei der die Instance nicht mit der Domain verknüpft ist, gehen Sie wie folgt vor.

Sie müssen der IAM Aufgabenausführungsrolle die folgenden Berechtigungen als Inline-Richtlinie hinzufügen. Dadurch erhält der credentials-fetcher-Daemon Zugriff auf das Secrets-Manager-Secret. Ersetzen Sie das MySecret Beispiel durch den Amazon-Ressourcennamen (ARN) Ihres Geheimnisses in der Resource Liste.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

Entscheiden Sie, ob Sie SSM Parameter Store oder S3 zum Speichern von verwenden CredSpec

Amazon ECS unterstützt die folgenden Möglichkeiten, auf den Dateipfad im credentialSpecs Feld der Aufgabendefinition zu verweisen.

Wenn Sie die Instances zu einer einzigen Domain zusammenfügen, verwenden Sie das Präfix credentialspec: am Anfang von ARN in der Zeichenfolge. Wenn Sie Domainless verwenden gMSA, dann benutzecredentialspecdomainless:.

Für weitere Informationen über CredSpec, finden Sie unter Anmeldeinformationsspezifikationsdatei.

• Amazon S3 Bucket

  Fügen Sie die Anmeldeinformationsspezifikation zu einem Amazon-S3-Bucket hinzu. Verweisen Sie dann im credentialSpecs Feld der Aufgabendefinition auf den Amazon-Ressourcennamen (ARN) des Amazon S3-Buckets.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  Um Ihren Aufgaben Zugriff auf den S3-Bucket zu gewähren, fügen Sie der ECS IAM Amazon-Aufgabenausführungsrolle die folgenden Berechtigungen als Inline-Richtlinie hinzu.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• SSM Parameterspeicher-Parameter

  Fügen Sie die Anmeldeinformationsspezifikation einem SSM Parameter Store-Parameter hinzu. Verweisen Sie dann auf den Amazon-Ressourcennamen (ARN) des SSM Parameter-Speicher-Parameters im credentialSpecs Feld der Aufgabendefinition.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  Um Ihren Aufgaben Zugriff auf den SSM Parameter Parameter Store zu gewähren, fügen Sie der ECS IAM Amazon-Aufgabenausführungsrolle die folgenden Berechtigungen als Inline-Richtlinie hinzu.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }