Utilisation de conteneurs Amazon ECS Windows avec un environnement sans domaine gMSA à l'aide du AWS CLI

Génération d'une clé racine du service de diffusion de clés

La clé KDS racine et gMSA les autorisations sont configurées avec votre AD Microsoft AWS géré par.

Si vous n'avez pas encore créé un gMSA Compte de service dans votre domaine, vous devez d'abord générer une clé racine du service de diffusion de clés (KDS). L'KDSest responsable de la création, de la rotation et de la libération de l' gMSA mot de passe pour les hôtes autorisés. Quand le ccg.exe besoin de récupérer gMSA informations d'identification, il KDS contacte pour récupérer le mot de passe actuel.

Pour vérifier si la clé KDS racine a déjà été créée, exécutez l' PowerShellapplet de commande suivante avec des privilèges d'administrateur de domaine sur un contrôleur de domaine à l'aide du ActiveDirectory PowerShell module. Pour plus d'informations sur le module, veuillez consulter ActiveDirectory Module sur le site Web de Microsoft Learn (langue française non garantie).

PS C:\> Get-KdsRootKey

Si la commande renvoie un ID de clé, vous pouvez ignorer le reste de cette étape. Dans le cas contraire, créez la clé KDS racine en exécutant la commande suivante :

PS C:\> Add-KdsRootKey -EffectiveImmediately

Bien que l'argument EffectiveImmediately de la commande implique que la clé est effective immédiatement, vous devez attendre 10 heures avant que la clé KDS racine soit répliquée et puisse être utilisée sur tous les contrôleurs de domaine.

Créer le gMSA compte

Pour créer le gMSA et autorisez le ccg.exe à récupérer le gMSA mot de passe, exécutez les PowerShell commandes suivantes à partir d'un serveur ou d'un client Windows ayant accès au domaine. Remplacez ExampleAccount par le nom que vous souhaitez pour votre gMSA .

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. Créez un utilisateur avec un mot de passe permanent qui n'expire pas. Ces informations d'identification sont stockées dans AWS Secrets Manager et utilisées par chaque tâche pour rejoindre le domaine.

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. Installez le PowerShell module de création CredSpec objets dans Active Directory et publient le CredSpec JSON.

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

Copiez le JSON résultat de la commande précédente dans un fichier appelégmsa-cred-spec.json. C'est le CredSpec dans le fichier. Il est utilisé à l'étape 3, Étape 3 : Modifiez votre CredSpec JSONpour inclure les applications sans domaine gMSA Informations.

Ajoutez les informations suivantes à CredSpec fichier à l'intérieur duActiveDirectoryConfig. Remplacez l'ARNpar le secret de l'étape précédente dans Secrets Manager.

Veuillez noter que la PluginGUID valeur doit correspondre GUID à celle de l'extrait de code suivant et qu'elle est obligatoire.

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

Vous pouvez également utiliser un secret dans SSM Parameter Store en utilisant le ARN format suivant :\"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\".

Après avoir modifié le CredSpec fichier, il doit ressembler à l'exemple suivant :

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

Copier le CredSpec fichier sur l'ordinateur ou l'environnement dans lequel vous exécutez AWS CLI les commandes.

Exécutez la AWS CLI commande suivante pour télécharger CredSpec à Amazon S3. Remplacez MyBucket par le nom de votre compartiment Simple Storage Service (Amazon S3). Vous pouvez stocker le fichier sous forme d'objet dans n'importe quel compartiment et à n'importe quel emplacement, mais vous devez autoriser l'accès à ce compartiment et à cet emplacement dans la stratégie que vous associez au rôle d'exécution des tâches.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

Pour créer un rôle d'exécution de tâche, veuillez consulter Création du rôle d'exécution de tâche. Les autorisations par défaut permettent à l'instance de conteneur d'extraire des images de conteneur d'Amazon Elastic Container Registry stdout et stderr de vos applications pour les connecter à Amazon CloudWatch Logs.

Comme le rôle nécessite des autorisations personnalisées pour ce didacticiel, vous pouvez lui donner un nom différent de ecsTaskExecutionRole. Ce didacticiel utilise ecsTaskExecutionRole dans les étapes suivantes.

Ajoutez les autorisations suivantes en créant une stratégie personnalisée, soit une stratégie en ligne qui n'existe que pour ce rôle, soit une stratégie que vous pouvez réutiliser. Remplacez la ARN pour Resource dans la première instruction par le compartiment et l'emplacement Amazon S3, et la seconde Resource par la ARN du secret dans Secrets Manager.

Si vous chiffrez le secret dans Secrets Manager avec une clé personnalisée, vous devez également autoriser kms:Decrypt pour la clé.

Si vous utilisez SSM Parameter Store au lieu de Secrets Manager, vous devez autoriser ssm:GetParameter le paramètre au lieu desecretsmanager:GetSecretValue.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

Créez un fichier nommé ecs-tasks-trust-policy.json avec le contenu suivant :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Créez un IAM rôle. Vous pouvez remplacer le nom ecs-exec-demo-task-role mais le conserver pour les étapes suivantes.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

Vous pouvez supprimer le fichier ecs-tasks-trust-policy.json.

Créez un fichier nommé ecs-exec-demo-task-role-policy.json avec le contenu suivant :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

Créez une IAM politique et attachez-la au rôle de l'étape précédente.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

Vous pouvez supprimer le fichier ecs-exec-demo-task-role-policy.json.

Créez un fichier nommé windows-gmsa-domainless-task-def.json avec le contenu suivant :

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

Enregistrez la définition de tâche en exécutant la commande suivante :

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

Pour lancer une instance Amazon EC2 Windows configurée pour Amazon ECS dans le AWS Management Console, consultezLancement d'une instance de conteneur Amazon ECS Windows. Arrêtez-vous à l'étape des données utilisateur.

Dans gMSA, les données utilisateur doivent définir la variable d'environnement ECS_GMSA_SUPPORTED avant de démarrer l'agent de ECS conteneur.

Pour ECS Exec, l'agent doit commencer par l'argument-EnableTaskIAMRole.

Pour sécuriser le IAM rôle d'instance en empêchant les tâches d'atteindre le service EC2 IMDS Web pour récupérer les informations d'identification du rôle, ajoutez l'argument-AwsvpcBlockIMDS. Cela s'applique uniquement aux tâches qui utilisent le mode réseau awsvpc.

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

Consultez un résumé de la configuration de votre instance dans le panneau Summary (Récapitulatif) et, lorsque vous êtes prêt, choisissez Launch instance (Lancer l’instance).

Répertoriez les instances de conteneur dans le cluster. Les instances de conteneur ont un ID différent de celui de l'EC2instance.

$ aws ecs list-container-instances

Sortie :

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

Par exemple, 526bd5d0ced448a788768334e79010fd est un ID d'instance de conteneur valide.

Utilisez l'ID d'instance de conteneur indiqué à l'étape précédente pour obtenir les détails de l'instance de conteneur. Remplacez MyContainerInstanceID par l'ID.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

Veuillez noter que la sortie est très longue.

Vérifiez que la liste attributes contient un objet avec la clé appelée name et une valeur ecs.capability.gmsa-domainless. Voici un exemple de l'objet.

Sortie :

{
    "name": "ecs.capability.gmsa-domainless"
}

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command --cluster windows-domainless-gmsa-cluster

Notez l'ID de tâche qui est renvoyé par la commande.

Exécutez la commande suivante pour vérifier que la tâche a démarré. Cette commande attend et ne renvoie pas l'invite du shell tant que la tâche ne démarre pas. Remplacez MyTaskID par l'ID de tâche de l'étape précédente.

$ aws ecs wait tasks-running --task MyTaskID

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

Le résultat sera une PowerShell invite.

Exécutez la commande suivante dans le PowerShell terminal à l'intérieur du conteneur.

PS C:\> klist get ExampleAccount$

Dans la sortie, notez que le Principal est celui que vous avez créé précédemment.

Arrêtez la tâche. Remplacez MyTaskID par l'ID de tâche de l'étape 12, Étape 12 : exécuter une tâche Windows.

$ aws ecs stop-task --task MyTaskID

Résiliez l'EC2instance Amazon. Ensuite, l'instance de conteneur du cluster sera automatiquement supprimée au bout d'une heure.

Vous pouvez détecter et résilier l'instance à l'aide de la EC2 console Amazon. Vous pouvez également exécuter la commande suivante. Pour exécuter la commande, recherchez l'ID d'EC2instance dans la sortie de la aws ecs describe-container-instances commande de l'étape 1Étape 11 : vérifier l'instance de conteneur. i-10a64379 est un exemple d'ID d'instance. EC2

$ aws ec2 terminate-instances --instance-ids MyInstanceID

Supprimez les photos ou les vidéos CredSpec fichier dans Amazon S3. Remplacez MyBucket par le nom de votre compartiment Simple Storage Service (Amazon S3).

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

Supprimez le secret dans Secrets Manager. Si vous avez plutôt utilisé SSM Parameter Store, supprimez le paramètre.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

Annulez l'enregistrement et supprimez la définition de tâche. En annulant l'enregistrement de la définition de tâche, vous la marquez comme inactive afin qu'elle ne puisse pas être utilisée pour démarrer de nouvelles tâches. Ensuite, vous pouvez supprimer la définition de tâche.

1. Annulez l'enregistrement de la définition de tâche en spécifiant la version. ECScrée automatiquement des versions des définitions de tâches, qui sont numérotées à partir de 1. Vous faites référence aux versions dans le même format que les étiquettes sur les images des conteneurs, telles que :1.

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. Supprimez la définition de tâche.

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

(Facultatif) Supprimez le ECS cluster, si vous en avez créé un.

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster