Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erfahren Sie, wie Sie Container gMSAs für EC2 Windows für Amazon verwenden ECS

Amazon ECS unterstützt die Active Directory-Authentifizierung für Windows-Container über ein spezielles Servicekonto namens group Managed Service Account (gMSA).

Windows-basierte Netzwerkanwendungen wie. NETAnwendungen verwenden häufig Active Directory, um die Authentifizierung und Autorisierung zwischen Benutzern und Services zu verwalten. Entwickler entwerfen ihre Anwendungen häufig so, dass sie sich in Active Directory integrieren lassen und zu diesem Zweck auf der Domain angehörenden Servern ausgeführt werden. Da Windows-Container nicht mit einer Domain verbunden werden können, müssen Sie einen Windows-Container für die Ausführung mit g konfigurieren. MSA

Ein Windows-Container, der mit g ausgeführt wird, ist zur Abfrage der MSA g-Anmeldeinformationen vom Active Directory-Domain-Controller und zur Bereitstellung an die EC2 Container-Instance auf die Amazon-Instance seines Hosts MSA angewiesen. Weitere Informationen finden Sie unter Erstellen von Containern gMSAs für Windows.

Überlegungen

Bei der Verwendung gMSAs für Windows-Container sollte Folgendes berücksichtigt werden:

Voraussetzungen

Bevor Sie das gMSA Für die Windows-Container-Funktion mit Amazon ECS müssen Sie folgende Schritte ausführen:

Einrichtung gMSA für Windows-Container bei Amazon ECS

So führen Sie die Einrichtung durch: gMSA für Windows-Container auf Amazon ECS können Sie dem vollständigen Tutorial folgen, das auch die Konfiguration der Voraussetzungen beinhaltetVerwenden von Amazon ECS Windows-Containern mit Domainless gMSA unter Verwendung der AWS CLI.

Die folgenden Abschnitte behandeln die CredSpec Konfiguration im Detail.

Beispiel CredSpec

Amazon ECS verwendet eine Anmeldeinformationsspezifikationsdatei, die Folgendes enthält: gMSA Metadaten, die verwendet werden, um das zu verbreiten gMSA Kontokontext zum Windows-Container. Sie können die Anmeldeinformations-Spezifikationsdatei generieren und im Feld credentialSpec in Ihrer Aufgabendefinition darauf verweisen. Die Anmeldeinformations-Spezifikationsdatei enthält keine Secrets.

Im Folgenden finden Sie eine Beispiel-Anmeldeinformations-Spezifikationsdatei:

{
    "CmsPlugins": [
        "ActiveDirectory"
    ],
    "DomainJoinConfig": {
        "Sid": "S-1-5-21-2554468230-2647958158-2204241789",
        "MachineAccountName": "WebApp01",
        "Guid": "8665abd4-e947-4dd0-9a51-f8254943c90b",
        "DnsTreeName": "contoso.com",
        "DnsName": "contoso.com",
        "NetBiosName": "contoso"
    },
    "ActiveDirectoryConfig": {
        "GroupManagedServiceAccounts": [
            {
                "Name": "WebApp01",
                "Scope": "contoso.com"
            }
        ]
    }
}

Domänenlos gMSA Einrichten

Wir empfehlen Domainless gMSA anstatt die Container-Instances zu einer einzigen Domain zu verbinden. Durch die Verwendung von Domainlose gMSA, die Container-Instance ist nicht mit der Domain verbunden, andere Anwendungen auf der Instance können die Anmeldeinformationen nicht verwenden, um auf die Domain zuzugreifen, und Aufgaben, die verschiedenen Domains angehören, können auf derselben Instance ausgeführt werden.

Referenzieren einer Anmeldeinformations-Spezifikationsdatei in einer Aufgabendefinition

Amazon ECS unterstützt die folgenden Möglichkeiten, um auf den Dateipfad im credentialSpecs Feld der Aufgabendefinition zu verweisen. Für jede dieser Optionen können Sie credentialspec: oder angeben, je nachdemdomainlesscredentialspec:, ob Sie die Container-Instances zu einer einzigen Domain zusammenfügen oder domainlose Instances verwenden gMSAjeweils.

Amazon S3 Bucket

Fügen Sie die Anmeldeinformationsspezifikation zu einem Amazon S3 Bucket hinzu und verweisen Sie dann im credentialSpecs Feld der Aufgabendefinition auf den Amazon-Ressourcennamen (ARN) des Amazon S3 Buckets.

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
            ],
            ...
        }
    ],
    ...
}

Sie müssen auch die folgenden Berechtigungen als Inline-Richtlinie zur ECS IAM Amazon-Aufgabenausführungsrolle hinzufügen, um Ihren Aufgaben Zugriff auf den Amazon S3 Bucket zu geben.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::{bucket_name}",
                "arn:aws:s3:::{bucket_name}/{object}"
            ]
        }
    ]
}

SSM Parameterspeicher-Parameter

Fügen Sie die Anmeldeinformationsspezifikation zu einem SSM Parameter hinzu und verweisen Sie dann im credentialSpecs Feld der Aufgabendefinition auf den SSM Amazon-Ressourcennamen (ARN) des Parameterspeicher-Parameters.

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspecdomainless:arn:aws:ssm:region:111122223333:parameter/parameter_name"
            ],
            ...
        }
    ],
    ...
}

Sie müssen auch die folgenden Berechtigungen als Inline-Richtlinie zur ECS IAM Amazon-Aufgabenausführungsrolle hinzufügen, um Ihren Aufgaben Zugriff auf den SSM Parameter Store zu geben.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": [
                "arn:aws:ssm:region:111122223333:parameter/parameter_name"
            ]
        }
    ]
}

Lokale Datei

Wenn die Daten der Anmeldeinformationsspezifikation in einer lokalen Datei enthalten sind, verweisen Sie auf den Dateipfad im Feld credentialSpecs der Aufgabendefinition. Der Dateipfad, auf den verwiesen wird, muss relativ zum C:\ProgramData\Docker\CredentialSpecs-Verzeichnis sein und den umgekehrten Schrägstrich („\“) als Dateipfadtrennzeichen verwenden.

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspec:file://CredentialSpecDir\CredentialSpecFile.json"
            ],
            ...
        }
    ],
    ...
}