Verwendung der AWS Anbieter von Workload-Anmeldeinformationen

Verwenden Sie das im Repository bereitgestellte install Skript.

Das Skript generiert beim Start ein zufälliges SSRF-Token und speichert es in der Datei/var/run/awssmatoken. Das Token ist für die aws-wcp-token Gruppe lesbar, die das Installationsskript erstellt.

Damit Ihre Anwendung die Tokendatei lesen kann, müssen Sie der aws-wcp-token Gruppe das Benutzerkonto hinzufügen, unter dem Ihre Anwendung ausgeführt wird. Beispielsweise können Sie Ihrer Anwendung mit dem folgenden usermod-Befehl Berechtigungen zum Lesen der Tokendatei gewähren. Dabei <APP_USER> handelt es sich um die Benutzer-ID, unter der Ihre Anwendung ausgeführt wird.

sudo usermod -aG aws-wcp-token <APP_USER>

Installieren Sie die Entwicklungstools

Installieren Sie auf RPM-based Systemen wie AL2023 die Gruppe Entwicklungstools:

sudo yum -y groupinstall "Development Tools"

Installieren Sie Rust

Folgen Sie den Anweisungen unter Rust installieren in der Rust-Dokumentation:

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
. "$HOME/.cargo/env"

Erstellen Sie den Anbieter

Erstellen Sie den AWS Workload Credentials Provider mit dem Befehl cargo build:

cargo build --release

Die ausführbare Datei finden Sie untertarget/release/aws-workload-credentials-provider.

Installieren Sie Entwicklungstools

Installieren Sie auf Debian-based Systemen wie Ubuntu das Paket build-essential:

sudo apt install build-essential

Installieren Sie Rust

Folgen Sie den Anweisungen unter Rust installieren in der Rust-Dokumentation:

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
. "$HOME/.cargo/env"

Erstellen Sie den Anbieter

Erstellen Sie den AWS Workload Credentials Provider mit dem Befehl cargo build:

cargo build --release

Die ausführbare Datei finden Sie untertarget/release/aws-workload-credentials-provider.

Richten Sie die Entwicklungsumgebung ein

Folgen Sie den Anweisungen unter Einrichten Ihrer Entwicklungsumgebung unter Windows für Rust in der Microsoft Windows-Dokumentation.

Erstellen Sie den Anbieter

Erstellen Sie den AWS Workload Credentials Provider mit dem Befehl cargo build:

cargo build --release

Die ausführbare Datei finden Sie untertarget/release/aws-workload-credentials-provider.exe.

Installieren Sie Cross-Compile-Tools

Installieren Sie cargo-xwin:

cargo install cargo-xwin

Fügen Sie Rust-Build-Ziele hinzu

Installieren Sie das Windows MSVC-Build-Ziel:

rustup target add x86_64-pc-windows-msvc

Für Windows erstellen

Cross-compile der Anbieter für Windows:

cargo xwin build --release --target x86_64-pc-windows-msvc

Die ausführbare Datei finden Sie untertarget/x86_64-pc-windows-msvc/release/aws-workload-credentials-provider.exe.

Installieren Sie das Paket

Installieren Sie das RPM-Paket . Der Paketmanager findet die neueste Version für Sie:

sudo dnf install aws-workload-credentials-provider

Das RPM-Paket richtet automatisch Folgendes ein:

Die Secrets Manager-Funktion ist sofort nach der Installation verfügbar. Wenn Sie mit dem RPM-Paket installieren, liest der AWS Workload Credentials Provider die Konfigurationsoptionen aus dem Standardpfad/etc/aws-workload-credentials-provider/config.toml. Um die Konfiguration anzupassen, erstellen oder bearbeiten Sie diese Datei.

(Optional) Aktivieren Sie die Funktion zur Zertifikatsverwaltung

Informationen zum Abrufen und Aktualisieren von AWS Certificate Manager Zertifikaten von finden Sie unter Zertifikatsautomatisierung im AWS Certificate Manager Benutzerhandbuch.

Konfigurieren Sie die Anwendungsberechtigungen

Damit Ihre Anwendung die SSRF-Tokendatei lesen kann, fügen Sie das Benutzerkonto der Anwendung zur aws-wcp-token Gruppe hinzu:

sudo usermod -aG aws-wcp-token APP_USER

APP_USERErsetzen Sie es durch die Benutzer-ID, unter der Ihre Anwendung ausgeführt wird.

(Optional) Gewähren Sie Zugriff auf Anbieterprotokolle

Um Anbieterprotokolle zu lesen, fügen Sie Ihren Benutzer der awscreds Gruppe hinzu und melden Sie sich dann ab und wieder an (oder führen Sie es ausnewgrp awscreds), damit die Änderung wirksam wird:

sudo usermod -aG awscreds APP_USER

Navigieren Sie zum Konfigurationsverzeichnis

Wechseln Sie in das Konfigurationsverzeichnis:

cd aws_workload_credentials_provider_common/configuration

Führen Sie das Installationsskript aus

Führen Sie das im Repository bereitgestellte install Skript aus.

Das Skript generiert beim Start ein zufälliges SSRF-Token und speichert es in der Datei/var/run/awssmatoken. Das Token ist für die aws-wcp-token Gruppe lesbar, die das Installationsskript erstellt.

Konfigurieren Sie die Anwendungsberechtigungen

Fügen Sie das Benutzerkonto, unter dem Ihre Anwendung ausgeführt wird, der aws-wcp-token Gruppe hinzu:

sudo usermod -aG aws-wcp-token APP_USER

APP_USERErsetzen Sie es durch die Benutzer-ID, unter der Ihre Anwendung ausgeführt wird.

Erstellen Sie den Anbieter Dockerfile

Erstellen Sie ein Dockerfile für den Sidecar-Container des AWS Workload Credentials Provider:

# Use the latest Debian image as the base
FROM debian:latest

# Set the working directory inside the container
WORKDIR /app 

# Copy the Workload Credentials Provider binary to the container
COPY aws-workload-credentials-provider . 

# Install any necessary dependencies
RUN apt-get update && apt-get install -y ca-certificates 

# Set the entry point to run the provider
ENTRYPOINT ["./aws-workload-credentials-provider", "sm", "start"]

Erstellen Sie das Dockerfile der Anwendung

Erstellen Sie ein Dockerfile für Ihre Client-Anwendung.

Erstellen Sie eine Docker Compose-Datei

Erstellen Sie eine Docker Compose-Datei, um beide Container mit einer gemeinsamen Netzwerkschnittstelle auszuführen:

version: '3'
services:
    client-application:
    container_name: client-application
    build:
        context: .
        dockerfile: Dockerfile.client
    command: tail -f /dev/null  # Keep the container running
    

    workload-credentials-provider:
    container_name: workload-credentials-provider
    build:
        context: .
        dockerfile: Dockerfile.provider
    network_mode: "container:client-application"  # Attach to the client-application container's network
    depends_on:
        - client-application

Kopieren Sie die Binärdatei des

Kopieren Sie die aws-workload-credentials-provider Binärdatei in dasselbe Verzeichnis, das Ihre Dockerfiles und die Docker Compose-Datei enthält.

Container erstellen und ausführen

Erstellen und starten Sie die Container mit Docker Compose:

docker-compose up --build

Nächste Schritte

Sie können jetzt den AWS Workload Credentials Provider verwenden, um Geheimnisse aus Ihrem Client-Container abzurufen. Weitere Informationen finden Sie unter Rufen Sie Geheimnisse ab mit dem AWS Anbieter für Workload-Anmeldeinformationen.

Verpacken Sie die Provider-Ebene

Führen Sie im Stammverzeichnis des AWS Workload Credentials Provider-Codepakets die folgenden Befehle aus:

AWS_ACCOUNT_ID=AWS_ACCOUNT_ID
LAMBDA_ARN=LAMBDA_ARN

# Build the release binary 
cargo build --release --target=x86_64-unknown-linux-gnu

# Copy the release binary into the `bin` folder
mkdir -p ./bin
cp ./target/x86_64-unknown-linux-gnu/release/aws-workload-credentials-provider ./bin/aws-workload-credentials-provider

# Copy the `secrets-manager-provider-extension.sh` example script into the `extensions` folder.
mkdir -p ./extensions
cp aws_secretsmanager_provider/examples/example-lambda-extension/secrets-manager-provider-extension.sh ./extensions

# Zip the extension shell script and the binary 
zip secrets-manager-provider-extension.zip bin/* extensions/*

# Publish the layer version
LAYER_VERSION_ARN=$(aws lambda publish-layer-version \
    --layer-name secrets-manager-provider-extension \
    --zip-file "fileb://secrets-manager-provider-extension.zip" | jq -r '.LayerVersionArn')

Konfigurieren Sie das SSRF-Token

Die Standardkonfiguration des Anbieters setzt das SSRF-Token automatisch auf den Wert, der in den voreingestellten Variablen AWS_SESSION_TOKEN oder AWS_CONTAINER_AUTHORIZATION_TOKEN Umgebungsvariablen festgelegt ist (letztere Variable für Lambda-Funktionen mit aktivierter Funktion). SnapStart Alternativ können Sie die AWS_TOKEN Umgebungsvariable stattdessen mit einem beliebigen Wert für Ihre Lambda-Funktion definieren, da diese Variable Vorrang vor den anderen beiden hat. Wenn Sie die AWS_TOKEN Umgebungsvariable verwenden möchten, müssen Sie diese Umgebungsvariable mit einem lambda:UpdateFunctionConfiguration Aufruf festlegen.

Fügen Sie der Funktion eine Ebene hinzu

Hängen Sie die Layer-Version an Ihre Lambda-Funktion an:

# Attach the layer version to the Lambda function
aws lambda update-function-configuration \
    --function-name $LAMBDA_ARN \
    --layers "$LAYER_VERSION_ARN"

Funktionscode aktualisieren

Aktualisieren Sie Ihre Lambda-Funktion so, dass http://localhost:2773/secretsmanager/get?secretId=MyTest bei der Abfrage der X-Aws-codes-Secrets-Token Header-Wert auf den Wert des SSRF-Tokens gesetzt ist, das aus einer der oben genannten Umgebungsvariablen stammt, um das Geheimnis abzurufen. Stellen Sie sicher, dass Sie in Ihrem Anwendungscode eine Wiederholungslogik implementieren, um Verzögerungen bei der Initialisierung und Registrierung der Lambda-Erweiterung auszugleichen.

Testen der Funktion

Rufen Sie die Lambda-Funktion auf, um zu überprüfen, ob das Geheimnis korrekt abgerufen wird.