Verwenden von Amazon ECS Windows-Containern mit Domainless gMSA unter Verwendung der AWS CLI

Ein Stammschlüssel für den Schlüsselverteilungs-Service generieren

Der KDS Root-Schlüssel und gMSA Berechtigungen werden mit dem AWS Managed Microsoft AD konfiguriert.

Wenn Sie noch keinen erstellt haben gMSA Dienstkonto in Ihrer Domain, Sie müssen zunächst einen Stammschlüssel für den Key Distribution Service (KDS) generieren. Der KDS ist verantwortlich für die Erstellung, Rotation und Veröffentlichung gMSA Passwort für autorisierte Hosts. Wenn sie abgerufen ccg.exe werden müssen gMSA Anmeldeinformationen, es kontaktiert es, KDS um das aktuelle Passwort abzurufen.

Um zu überprüfen, ob der KDS Stammschlüssel bereits erstellt wurde, führen Sie das folgende PowerShell Cmdlet mit Domainadministratorrechten auf einem Domain-Controller mithilfe des ActiveDirectory PowerShell Moduls aus. Weitere Informationen zu dem Modul finden Sie unter ActiveDirectory Modul auf der Microsoft-Learn-Website.

PS C:\> Get-KdsRootKey

Wenn der Befehl eine Schlüssel-ID zurückgibt, können Sie den Rest dieses Schritts überspringen. Erstellen Sie andernfalls den KDS Stammschlüssel, indem Sie den folgenden Befehl ausführen:

PS C:\> Add-KdsRootKey -EffectiveImmediately

Obwohl das Argument EffectiveImmediately des Befehls impliziert, dass der Schlüssel sofort gültig ist, müssen Sie 10 Stunden warten, bis der KDS Stammschlüssel repliziert und auf allen Domain-Controllern verwendet werden kann.

Erstellen der gMSA Konto

Um das zu erstellen der gMSA Konto und erlaube demccg.exe, das abzurufen gMSA Passwort, führen Sie die folgenden PowerShell Befehle von einem Windows Server oder Client mit Zugriff auf die Domain aus. ExampleAccountErsetzen Sie durch den Namen, den Sie für Ihre wünschen. gMSA Konto.

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. Erstellen Sie einen Benutzer mit einem permanenten Passwort, das nicht abläuft. Diese Anmeldeinformationen werden in gespeichert AWS Secrets Manager und von jeder Aufgabe verwendet, um sich mit der Domain zu verbinden.

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. Installieren Sie das PowerShell Modul zum Erstellen CredSpec Objekte in Active Directory und geben Sie die aus CredSpec JSON.

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

Kopieren Sie die JSON Ausgabe des vorherigen Befehls in eine Datei mit dem Namengmsa-cred-spec.json. Das ist der CredSpec file. Sie wird in Schritt 3, Schritt 3: Ändern Sie Ihre CredSpec JSONum Domainless einzubeziehen gMSA Informationen, verwendet.

Fügen Sie die folgende Information zur CredSpec Datei in derActiveDirectoryConfig. Ersetzen Sie das ARN durch das Secret im Secrets Manager aus dem vorherigen Schritt.

Beachten Sie, dass der PluginGUID Wert mit dem GUID im folgenden Beispielausschnitt übereinstimmen muss und erforderlich ist.

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

Sie können auch ein Geheimnis im SSM Parameter Store verwenden, indem Sie das ARN in diesem Format verwenden:. \"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\"

Nachdem Sie das geändert haben CredSpec Datei, sie sollte wie im folgenden Beispiel aussehen:

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

Kopieren der CredSpec Datei auf dem Computer oder der Umgebung, in der Sie AWS CLI -Befehle ausführen.

Führen Sie den folgenden AWS CLI Befehl aus, um Folgendes hochzuladen CredSpec zu Amazon S3. Ersetzen Sie MyBucket durch den Namen Ihres Amazon-S3-Buckets. Sie können die Datei als Objekt in einem beliebigen Bucket und an einem beliebigen Ort speichern, müssen jedoch in der Richtlinie, die Sie der Aufgabenausführungsrolle zuordnen, den Zugriff auf diesen Bucket und diesen Speicherort gewähren.

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

Um eine Aufgabenausführungsrolle zu erstellen, siehe Erstellen der -Aufgabenausführungsrolle. Die Standardberechtigungen ermöglichen es der Container-Instance, Container-Images aus Amazon Elastic Container Registry stdout und stderr Ihren Anwendungen abzurufen, um sie in Amazon CloudWatch Logs zu protokollieren.

Da die Rolle für dieses Tutorial benutzerdefinierte Berechtigungen benötigt, können Sie der Rolle einen anderen Namen als ecsTaskExecutionRole geben. In diesem Tutorial wird ecsTaskExecutionRole in weiteren Schritten verwendet.

Fügen Sie die folgenden Berechtigungen hinzu, indem Sie eine benutzerdefinierte Richtlinie erstellen, entweder eine Inline-Richtlinie, die nur für diese Rolle existiert, oder eine Richtlinie, die Sie wiederverwenden können. Ersetzen Sie das ARN für die Resource in der ersten Anweisung durch den Amazon-S3-Bucket und den Speicherort und das zweite Resource durch das ARN des Secrets Manager.

Wenn Sie das Secret im Secrets Manager mit einem benutzerdefinierten Schlüssel verschlüsseln, müssen Sie auch kms:Decrypt für den Schlüssel zulassen.

Wenn Sie SSM Parameter Store anstelle von Secrets Manager verwenden, müssen Sie ssm:GetParameter den Parameter anstelle von zulassensecretsmanager:GetSecretValue.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

Erstellen Sie eine Datei mit dem Namen ecs-tasks-trust-policy.json und den folgenden Inhalten:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Erstellen Sie eine IAM Rolle. Sie können den Namen ecs-exec-demo-task-role ersetzen, aber behalten Sie den Namen für die folgenden Schritte bei.

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

Sie können die Datei ecs-tasks-trust-policy.json löschen.

Erstellen Sie eine Datei mit dem Namen ecs-exec-demo-task-role-policy.json und den folgenden Inhalten:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

Erstellen Sie eine IAM Richtlinie und verknüpfen Sie sie mit der Rolle aus dem vorherigen Schritt.

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

Sie können die Datei ecs-exec-demo-task-role-policy.json löschen.

Erstellen Sie eine Datei mit dem Namen windows-gmsa-domainless-task-def.json und den folgenden Inhalten:

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

Registrieren Sie die Aufgabendefinition, indem Sie den folgenden Befehl ausführen:

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

Informationen zum Starten einer Amazon EC2 Windows-Instance, die ECS im für Amazon konfiguriert ist AWS Management Console, finden Sie unterStarten einer Amazon ECS Windows-Container-Instance. Halten Sie beim Schritt für Benutzerdaten an.

Wählen Sie in der &Snowconsole; Ihren Auftrag aus der Tabelle. gMSA, müssen die Benutzerdaten die Umgebungsvariable festlegen, ECS_GMSA_SUPPORTED bevor der ECS Container-Agent gestartet wird.

Für ECS Exec muss der Agent mit dem Argument -EnableTaskIAMRole beginnen.

Um die IAM Instance-Rolle zu sichern, indem verhindert wird, dass Aufgaben den EC2 IMDS Webservice zum Abrufen der Rollenanmeldedaten erreichen, fügen Sie das Argument hinzu-AwsvpcBlockIMDS. Dies gilt nur für Aufgaben, die den awsvpc-Netzwerkmodus verwenden.

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

Überprüfen Sie Ihre Instance-Konfiguration im Bereich Summary (Übersicht). Wenn alles in Ordnung ist, klicken Sie auf Launch instance (Instance starten).

Die Container-Instances im Cluster auflisten. Container-Instances haben eine ID, die sich von der ID der EC2 Instance unterscheidet.

$ aws ecs list-container-instances

Ausgabe:

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

526bd5d0ced448a788768334e79010fd ist beispielsweise eine gültige Container-Instance-ID.

Verwenden Sie die Container-Instance-ID aus dem vorherigen Schritt, um die Details für die Container-Instance abzurufen. Ersetzen Sie MyContainerInstanceID durch die ID.

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

Beachten Sie, dass die Ausgabe sehr lang ist.

Stellen Sie sicher, dass die attributes-Liste ein Objekt mit dem Schlüssel namens name und einem Wert ecs.capability.gmsa-domainless enthält. Es folgt ein Beispiel für das Objekt.

Ausgabe:

{
    "name": "ecs.capability.gmsa-domainless"
}

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command --cluster windows-domainless-gmsa-cluster

Notieren Sie sich die Aufgaben-ID, die von dem Befehl zurückgegeben wird.

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Aufgabe gestartet wurde. Dieser Befehl wartet und gibt die Shell-Eingabeaufforderung erst zurück, wenn die Aufgabe startet. Ersetzen Sie MyTaskID mit der Aufgaben-ID aus dem vorherigen Schritt.

$ aws ecs wait tasks-running --task MyTaskID

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

Die Ausgabe wird eine PowerShell Eingabeaufforderung sein.

Führen Sie den folgenden Befehl im PowerShell Terminal im Container aus.

PS C:\> klist get ExampleAccount$

Beachten Sie in der Ausgabe, dass der Principal der ist, den Sie zuvor erstellt haben.

Die Aufgabe anhalten. Ersetzen Sie MyTaskID durch die Aufgaben-ID aus Schritt 12, Schritt 12: Eine Windows-Aufgabe ausführen.

$ aws ecs stop-task --task MyTaskID

Beenden Sie die EC2 Amazon-Instance. Danach wird die Container-Instance im Cluster nach einer Stunde automatisch gelöscht.

Sie können die Instance über die EC2 Amazon-Konsole finden und beenden. Sie können alternativ den folgenden Befehl ausführen. Um den Befehl auszuführen, suchen Sie die EC2 Instance-ID in der Ausgabe des aws ecs describe-container-instances Befehls aus Schritt 1,Schritt 11: Container-Instance überprüfen. i-10a64379 ist ein Beispiel für eine Instance-ID. EC2

$ aws ec2 terminate-instances --instance-ids MyInstanceID

Löschen Sie die CredSpec Datei in Amazon S3. Ersetzen Sie MyBucket durch den Namen Ihres Amazon-S3-Buckets.

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

Das Secret aus Secrets Manager löschen. Wenn Sie stattdessen SSM Parameter Store verwendet haben, löschen Sie den Parameter.

Der folgende Befehl verwendet Backslash-Fortsetzungszeichen, die von sh und kompatiblen Shells verwendet werden. Dieser Befehl ist nicht kompatibel mit PowerShell. Sie müssen den Befehl ändern, um ihn mit verwenden zu können PowerShell.

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

Melden Sie die Aufgabendefinition ab und löschen Sie sie. Wenn Sie die Registrierung der Aufgabendefinition aufheben, markieren Sie sie als inaktiv, sodass sie nicht zum Starten neuer Aufgaben verwendet werden kann. Anschließend können Sie die Aufgabendefinition löschen.

1. Heben Sie die Registrierung der Aufgabendefinition auf, indem Sie die Version angeben. ECSerstellt automatisch Versionen von Aufgabendefinitionen, die von 1 an nummeriert sind. Sie verweisen auf die Versionen im gleichen Format wie die Beschriftungen auf Container-Images, z. B. :1.

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. Löschen Sie die Aufgabendefinition.

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

(Optional) Löschen Sie den ECS Cluster, falls Sie einen Cluster erstellt haben.

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster