Uso de contenedores de Amazon ECS para Windows con gMSA sin dominio mediante la AWS CLI

Generar una clave raíz del servicio de distribución de claves

La clave raíz de KDS y los permisos de gMSA se configuran con su Microsoft AD administrado por AWS.

Si aún no ha creado una cuenta de servicio de gMSA en su dominio, primero tendrá que generar una clave raíz del Servicio de distribución de claves (KDS). El KDS es responsable de crear, rotar y divulgar la contraseña de gMSA a los hosts autorizados. Cuando ccg.exe necesita recuperar las credenciales de gMSA, se pone en contacto con KDS para recuperar la contraseña actual.

Para comprobar si la clave raíz de KDS ya se ha creado, ejecute el siguiente cmdlet de PowerShell con privilegios de administrador de dominio en un controlador de dominio mediante el módulo PowerShell de ActiveDirectory. Para obtener más información sobre el módulo, consulte el Módulo de ActiveDirectory en el sitio web de Microsoft Learn.

PS C:\> Get-KdsRootKey

Si el comando devuelve un ID de clave, puede omitir el resto de este paso. De lo contrario, cree la clave raíz de KDS mediante el siguiente comando:

PS C:\> Add-KdsRootKey -EffectiveImmediately

Aunque el argumento EffectiveImmediately al comando implica que la clave entra en vigor inmediatamente, debe esperar 10 horas antes de que la clave raíz de KDS se replique y esté disponible para su uso en todos los controladores de dominio.

Crear la cuenta de gMSA

Para crear la cuenta de gMSA y permitir que ccg.exe recupere la contraseña de gMSA, ejecute los siguientes comandos de PowerShell desde un servidor o cliente de Windows con acceso al dominio. Reemplace ExampleAccount por el nombre que desee para la cuenta de gMSA.

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. Cree un usuario con una contraseña permanente que no caduque. Estas credenciales se almacenan en AWS Secrets Manager y utilizan en cada tarea para unirse al dominio.

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. Instale el módulo de PowerShell para crear objetos de CredSpec en Active Directory y generar el JSON CredSpec.

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

Copie la salida JSON del comando anterior en un archivo llamado gmsa-cred-spec.json. Este es el archivo CredSpec. Se usa en el paso 3, Paso 3: Modifique el JSON CredSpec para incluir información de gMSA sin dominio.

Agregue la siguiente información al archivo de CredSpec que se encuentra dentro del ActiveDirectoryConfig. Reemplace el ARN con el secreto de Secrets Manager del paso anterior.

Tenga en cuenta que el valor de PluginGUID debe coincidir con el GUID del siguiente fragmento de ejemplo y es obligatorio.

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

También puede utilizar un secreto en SSM Parameter Store mediante el ARN en este formato: \"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\".

Tras modificar el archivo de CredSpec, tendrá un aspecto semejante al de este ejemplo:

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

Copie el archivo CredSpec en la computadora o el entorno en el que esté ejecutando los comandos de la AWS CLI.

Ejecute el siguiente comando de la AWS CLI para cargar el CredSpec a Amazon S3. Reemplace MyBucket con el nombre de su bucket de Amazon S3. Puede almacenar el archivo como un objeto en cualquier bucket y ubicación, pero debe permitir el acceso a ese bucket y ubicación en la política que asocie al rol de ejecución de la tarea.

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

Para crear un rol de ejecución de tareas, consulte Creación del rol de de ejecución de tareas. Los permisos predeterminados permiten a la instancia de contenedor extraer imágenes de contenedores de Amazon Elastic Container Registry y stdout y stderr de sus aplicaciones para registrarlas en registros de Amazon CloudWatch.

Como el rol necesita permisos personalizados para este tutorial, puede asignarle un nombre diferente al de ecsTaskExecutionRole. Este tutorial utiliza ecsTaskExecutionRole en otros pasos.

Agregue los siguientes permisos creando una política personalizada, ya sea una política en línea que solo exista para este rol o una política que pueda reutilizar. Sustituya el ARN con el Resource en la primera declaración con el bucket y la ubicación de Amazon S3, y el segundo Resource con el ARN del secreto de Secrets Manager.

Si cifra el secreto en Secrets Manager con una clave personalizada, también debe permitir kms:Decrypt para la clave.

Si utiliza SSM Parameter Store en lugar de Secrets Manager, debe permitir ssm:GetParameter para el parámetro, en lugar de secretsmanager:GetSecretValue.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

Cree un archivo denominado ecs-tasks-trust-policy.json con el siguiente contenido:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Crear un rol de IAM. Puede reemplazar el nombre ecs-exec-demo-task-role, pero consérvelo para los siguientes pasos.

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

Puede eliminar el archivo ecs-tasks-trust-policy.json.

Cree un archivo denominado ecs-exec-demo-task-role-policy.json con el siguiente contenido:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

Cree una política de IAM y asóciela al rol del paso anterior.

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

Puede eliminar el archivo ecs-exec-demo-task-role-policy.json.

Cree un archivo denominado windows-gmsa-domainless-task-def.json con el siguiente contenido:

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

Registre la definición de tarea ejecutando el siguiente comando:

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

Para lanzar una instancia de Amazon EC2 para Windows que esté configurada para Amazon ECS en la AWS Management Console, consulte Lanzamiento de una instancia de contenedor de Windows de Amazon ECS. Deténgase en el paso correspondiente a los datos de usuario.

Para gMSA, los datos del usuario deben configurar la variable de entorno ECS_GMSA_SUPPORTED antes de iniciar el agente de contenedor de ECS.

En el caso de ECS Exec, el agente debe empezar con el argumento -EnableTaskIAMRole.

Para proteger el rol de IAM de la instancia impidiendo que las tareas lleguen al servicio web IMDS de EC2 para recuperar las credenciales del rol, agregue el argumento -AwsvpcBlockIMDS. Esto solo se aplica a las tareas que utilizan el modo de red de awsvpc.

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

Revise un resumen de la configuración de su instancia en el panel Summary (Resumen); cuando haya terminado, elija Launch instance.

Haga una lista de las instancias de contenedor del clúster. Las instancias de contenedor tienen un ID diferente del ID de la instancia de EC2.

$ aws ecs list-container-instances

Salida:

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

Por ejemplo, 526bd5d0ced448a788768334e79010fd es un ID de instancia de contenedor válido.

Utilice el ID de instancia de contenedor del paso anterior para obtener los detalles de la instancia de contenedor. Reemplace MyContainerInstanceID por el ID.

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

Tenga en cuenta que el resultado es muy largo.

Compruebe que la lista de attributes tenga un objeto con la clave llamado name y un valor ecs.capability.gmsa-domainless. A continuación, se muestra un ejemplo del objeto.

Salida:

{
    "name": "ecs.capability.gmsa-domainless"
}

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command --cluster windows-domainless-gmsa-cluster

Tenga en cuenta el ID de la tarea que devuelve el comando.

Ejecute el siguiente comando para comprobar que la tarea ha comenzado. Este comando espera y no devuelve el indicador del intérprete de comandos hasta que se inicie la tarea. Sustituya MyTaskID por el ID de la tarea del paso anterior.

$ aws ecs wait tasks-running --task MyTaskID

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

El resultado será un indicador de PowerShell.

Ejecute el siguiente comando en la terminal de PowerShell dentro del contenedor.

PS C:\> klist get ExampleAccount$

En la salida, tenga en cuenta que Principal es la que creó anteriormente.

Detenga la tarea. Sustituya MyTaskID por el ID de la tarea del paso 12, Paso 12: Ejecutar una tarea de Windows.

$ aws ecs stop-task --task MyTaskID

Termine la instancia de Amazon EC2. Después, la instancia de contenedor del clúster se eliminará automáticamente al cabo de una hora.

Puede buscar y terminar la instancia con la consola de Amazon EC2. O bien, puede ejecutar el siguiente comando. Para ejecutar el comando, busque el ID de instancia de EC2 en el resultado del comando aws ecs describe-container-instances del paso 1, Paso 11: Verificar la instancia de contenedor. El ID i-10a64379 es un ejemplo de un ID de instancia de EC2.

$ aws ec2 terminate-instances --instance-ids MyInstanceID

Elimine el archivo CredSpec en Amazon S3. Reemplace MyBucket con el nombre de su bucket de Amazon S3.

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

Elimine el secreto de Secrets Manager. Si utilizó SSM Parameter Store en su lugar, elimine el parámetro.

El siguiente comando utiliza caracteres de continuación con barra invertida que utilizan los intérpretes de comandos compatibles y sh. No se admite este comando con PowerShell. Debe modificar el comando para usarlo con PowerShell.

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

Anule el registro y elimine la definición de tarea. Al anular el registro de la definición de tarea, se marca como inactiva para que no se pueda utilizar para iniciar nuevas tareas. A continuación, puede eliminar la definición de tarea.

1. Anule el registro de la definición de la tarea especificando la versión. ECS crea automáticamente versiones de las definiciones de tareas, numeradas a partir del 1. Se hace referencia a las versiones en el mismo formato que las etiquetas de las imágenes de los contenedores, por ejemplo :1.

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. Elimine la definición de tareas.

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

(Opcional) Elimine el clúster de ECS si creó un clúster.

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster