Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Découvrez comment utiliser gMSAs les conteneurs EC2 Windows pour Amazon ECS

Amazon ECS prend en charge l'authentification Active Directory pour les conteneurs Windows par l'intermédiaire d'un type de compte de service spécial appelé group Managed Service Account (gMSA).

Applications réseau basées sur Windows, telles que. NETles applications utilisent souvent Active Directory pour faciliter la gestion de l'authentification et des autorisations entre les utilisateurs et les services. Les développeurs conçoivent généralement leurs applications de façon qu'elles s'intègrent à Active Directory et s'exécutent à cette fin sur des serveurs joints à un domaine. Les conteneurs Windows ne pouvant pas être joints à un domaine, vous devez configurer un conteneur Windows pour qu'il s'exécute avec g. MSA

Un conteneur Windows s'exécutant avec g attend MSA de son EC2 instance Amazon hôte qu'elle récupère les MSA informations d'identification g auprès du contrôleur de domaine Active Directory et qu'elle les communique à l'instance de conteneur. Pour plus d'informations, consultez la section Créer gMSAs des conteneurs Windows.

Considérations

Les éléments suivants doivent être pris en compte lors de l' gMSAs utilisation de conteneurs Windows :

Prérequis

Avant d'utiliser le gMSA pour la fonctionnalité de conteneurs Windows avec AmazonECS, assurez-vous de remplir les conditions suivantes :

Configuration gMSA pour Windows Containers sur Amazon ECS

Pour configurer gMSA pour Windows Containers sur AmazonECS, vous pouvez suivre le didacticiel complet qui inclut la configuration des prérequisUtilisation de conteneurs Amazon ECS Windows avec un environnement sans domaine gMSA à l'aide du AWS CLI.

Les sections suivantes couvrent CredSpec configuration en détail.

Exemple CredSpec

Amazon ECS utilise un fichier de spécifications d'identification qui contient gMSA métadonnées utilisées pour propager le gMSA contexte du compte dans le conteneur Windows. Vous pouvez générer le fichier de spécification d'informations d'identification et le référencer dans le champ credentialSpec de votre définition de tâche. Le fichier de spécification d'informations d'identification ne contient pas de secrets.

Voici un exemple de fichier de spécification d'informations d'identification :

{
    "CmsPlugins": [
        "ActiveDirectory"
    ],
    "DomainJoinConfig": {
        "Sid": "S-1-5-21-2554468230-2647958158-2204241789",
        "MachineAccountName": "WebApp01",
        "Guid": "8665abd4-e947-4dd0-9a51-f8254943c90b",
        "DnsTreeName": "contoso.com",
        "DnsName": "contoso.com",
        "NetBiosName": "contoso"
    },
    "ActiveDirectoryConfig": {
        "GroupManagedServiceAccounts": [
            {
                "Name": "WebApp01",
                "Scope": "contoso.com"
            }
        ]
    }
}

Sans domaine gMSA configuration

Il est recommandé de ne pas utiliser de domaine gMSA au lieu de joindre les instances de conteneur à un seul domaine. En utilisant sans domaine gMSA, l'instance de conteneur n'est pas jointe au domaine, les autres applications de l'instance ne peuvent pas utiliser les informations d'identification pour accéder au domaine et les tâches qui joignent différents domaines peuvent s'exécuter sur la même instance.

Référencement d'un fichier de spécification d'informations d'identification dans une définition de tâche

Amazon ECS permet de référencer le chemin du fichier dans le credentialSpecs champ de définition de tâche. Pour chacune de ces options, vous pouvez fournir credentialspec: oudomainlesscredentialspec:, selon que vous joignez les instances de conteneur à un seul domaine, ou utilisez sans domaine gMSA, respectivement.

Compartiment Amazon S3

Ajoutez la spécification des informations d'identification à un compartiment Amazon S3, puis référencez l'Amazon Resource Name (ARN) du compartiment Amazon S3 dans le credentialSpecs champ de définition de tâche.

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
            ],
            ...
        }
    ],
    ...
}

Vous devez également ajouter les autorisations suivantes sous forme de stratégie en ligne au IAM rôle d'exécution de ECS tâche Amazon pour permettre à vos tâches d'accéder au compartiment Amazon S3.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::{bucket_name}",
                "arn:aws:s3:::{bucket_name}/{object}"
            ]
        }
    ]
}

Paramètre SSM Parameter Store

Ajoutez la spécification d'informations d'identification à un compartiment SSM Parameter Store, puis référencez l'Amazon Resource Name (ARN) du SSM paramètre Parameter Store dans le credentialSpecs champ de définition de tâche.

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspecdomainless:arn:aws:ssm:region:111122223333:parameter/parameter_name"
            ],
            ...
        }
    ],
    ...
}

Vous devez également ajouter les autorisations suivantes sous forme de stratégie en ligne au IAM rôle d'exécution de ECS tâche Amazon pour permettre à vos tâches d'accéder au SSM paramètre Parameter Store.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": [
                "arn:aws:ssm:region:111122223333:parameter/parameter_name"
            ]
        }
    ]
}

Fichier local

Référencez le chemin d'un fichier local qui contient les détails de la spécification d'informations d'identification dans le champ credentialSpecs de la définition de tâche. Le chemin de fichier référencé doit être relatif au répertoire C:\ProgramData\Docker\CredentialSpecs et utiliser la barre oblique inverse (« \ ») comme séparateur de chemin de fichier.

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspec:file://CredentialSpecDir\CredentialSpecFile.json"
            ],
            ...
        }
    ],
    ...
}