Uso de gMSA para contenedores de EC2 Linux en Amazon ECS

Decida si quiere unir las instancias al dominio o usar gMSA sin dominio.

• Unir instancias de EC2 al dominio de Active Directory

  • Una las instancias por datos de usuario.

    Agregue los pasos para unir el dominio de Active Directory a sus datos de usuario de EC2 en una plantilla de lanzamiento de EC2. Varios grupos de Amazon EC2 Auto Scaling pueden utilizar la misma plantilla de lanzamiento.

    Puede seguir estos pasos Unirse a un dominio FreeIPA o a Active Directory en los documentos de Fedora.

• Hacer que un usuario de Active Directory sea una gMSA sin dominio

  El credentials-fetcher daemon tiene una característica que se denomina gMSA sin dominio. Esta característica requiere un dominio, pero no es necesario unir la instancia EC2 al dominio. Al usar una gMSA sin dominio, la instancia de contenedor no se une al dominio, las demás aplicaciones de la instancia no pueden utilizar las credenciales para acceder al dominio y las tareas que unen diferentes dominios se pueden ejecutar en la misma instancia. En su lugar, debe proporcionar el nombre de un secreto en AWS Secrets Manager en el archivo de CredSpec. El secreto debe contener un nombre de usuario, una contraseña y el dominio para iniciar sesión.

  Esta característica es compatible y se puede utilizar con contenedores de Linux y Windows.

  Esta característica es similar a la característica gMSA support for non-domain-joined container hosts. Para obtener más información sobre la característica de Windows, consulte Arquitectura y mejoras de gMSA en el sitio web de Microsoft Learn.

  1. Cree un usuario en el dominio de Active Directory. El usuario de Active Directory debe tener permiso para acceder a las cuentas de servicio de gMSA que utilice en las tareas.

  2. Cree un secreto en AWS Secrets Manager después de crear el usuario en Active Directory. Para obtener más información, consulte Crear un secreto de AWS Secrets Manager.

  3. Introduzca el nombre de usuario, la contraseña y el dominio en pares clave-valor de JSON denominados username, password y domainName, respectivamente.

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. Agregue la configuración al archivo de CredSpec de la cuenta de servicio. La HostAccountConfig adicional contiene el nombre de recurso de Amazon (ARN) del secreto de Secrets Manager.

     En Windows, el PluginGUID debe coincidir con el GUID del siguiente fragmento de ejemplo. En Linux, se omite el PluginGUID. Reemplace MySecret con un ejemplo del nombre de recurso de Amazon (ARN) de su secreto.

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. La característica de gMSA sin dominio necesita permisos adicionales en el rol de ejecución de tareas. Siga el paso (Opcional) secreto de gMSA sin dominio.

Configurar las instancias e instalar el credentials-fetcher daemon

Puede instalar el credentials-fetcher daemon con un script de datos de usuario en su plantilla de lanzamiento de EC2. Los siguientes ejemplos muestran dos tipos de datos de usuario, cloud-config YAML o script de bash. Estos ejemplos son para Amazon Linux 2023 (AL2023). Reemplace MyCluster por el nombre del clúster de Amazon ECS al que desea que se unan estas instancias.

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher"

• bash script

  Si se siente más cómodo con scripts de bash y tiene distintas variables en las que escribir /etc/ecs/ecs.config, utilice el siguiente formato de heredoc. Este formato escribe todo entre las líneas que comienzan por cat y EOF en el archivo de configuración.

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

Hay variables de configuración opcionales para el credentials-fetcher daemon que puede configurar en /etc/ecs/ecs.config. Se recomienda configurar las variables de los datos de usuario en el bloque YAML o en heredoc, de forma similar a los ejemplos anteriores. De este modo, se evitan los problemas de configuración parcial que pueden producirse al editar un archivo varias veces. Para obtener más información sobre la configuración del agente de ECS, consulte Agente de contenedor de Amazon ECS en GitHub.

(Opcional) secreto de gMSA sin dominio

Si utiliza el método sin dominio en el que la instancia no está unida al dominio, siga este paso.

También debe agregar los siguientes permisos como una política en línea al rol de IAM de ejecución de tareas. De ese modo, el credentials-fetcher daemon tendrá acceso al secreto de Secrets Manager. Reemplace el ejemplo de MySecret con el nombre de recurso de Amazon (ARN) de su secreto en la lista de Resource.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

Decidir si utilizar SSM Parameter Store o S3 para almacenar el CredSpec

Amazon ECS admite las siguientes formas de hacer referencia a la ruta de archivo en el campo credentialSpecs de una definición de tarea.

Si une las instancias a un solo dominio, utilice el prefijo credentialspec: al principio del ARN de la cadena. Si utiliza la gMSA sin dominio, utilice credentialspecdomainless:.

Para obtener más información sobre CredSpec, consulte Archivo de especificaciones de credenciales.

• Bucket de Amazon S3

  Agregue la especificación de credenciales a un bucket de Amazon S3. A continuación, haga referencia al nombre de recurso de Amazon (ARN) del bucket de Amazon S3 en el campo credentialSpecs de la definición de tareas.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  Para que las tareas tengan acceso al bucket de S3, agregue los siguientes permisos como una política en línea al rol de IAM de ejecución de tareas de Amazon ECS.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• Parámetro de Parameter Store de SSM

  Agregue la especificación de credenciales a un parámetro de SSM Parameter Store. A continuación, haga referencia al nombre de recurso de Amazon (ARN) del parámetro de SSM Parameter Store en el campo credentialSpecs de la definición de tareas.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  Para que las tareas tengan acceso al parámetro de SSM Parameter Store, agregue los siguientes permisos como una política en línea al rol de IAM de ejecución de tareas de Amazon ECS.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }