Penggunaan gMSA untuk EC2 Linux kontainer di Amazon ECS

Putuskan apakah Anda ingin menggabungkan instance ke domain, atau menggunakan domainless gMSA.

• Bergabunglah dengan EC2 instance ke domain Active Directory

  • Bergabunglah dengan instance berdasarkan data pengguna

    Tambahkan langkah-langkah untuk bergabung dengan domain Active Directory ke data EC2 pengguna Anda dalam template EC2 peluncuran. Beberapa grup Amazon EC2 Auto Scaling dapat menggunakan template peluncuran yang sama.

    Anda dapat menggunakan langkah-langkah ini Bergabung dengan Active Directory atau FreeIPA domain di Fedora Docs.

• Jadikan pengguna Active Directory untuk domainless gMSA

  credentials-fetcherDaemon memiliki fitur yang disebut domainless gMSA. Fitur ini memerlukan domain, tetapi EC2 instance tidak perlu digabungkan ke domain. Dengan menggunakan domainless gMSA, instance container tidak bergabung ke domain, aplikasi lain pada instance tidak dapat menggunakan kredensional untuk mengakses domain, dan tugas yang menggabungkan domain yang berbeda dapat berjalan pada instance yang sama. Sebaliknya, Anda memberikan nama rahasia AWS Secrets Manager di dalam CredSpec berkas. Rahasianya harus berisi nama pengguna, kata sandi, dan domain untuk masuk.

  Fitur ini didukung dan dapat digunakan dengan wadah Linux dan Windows.

  Fitur ini mirip dengan gMSA support for non-domain-joined container hostsfitur. Untuk informasi selengkapnya tentang fitur Windows, lihat gMSA arsitektur dan peningkatan di situs web Microsoft Learn.

  1. Buat pengguna di domain Active Directory Anda. Pengguna di Active Directory harus memiliki izin untuk mengakses gMSA akun layanan yang Anda gunakan dalam tugas.

  2. Buat rahasia di AWS Secrets Manager, setelah Anda membuat pengguna di Active Directory. Untuk informasi selengkapnya, lihat Membuat AWS Secrets Manager rahasia.

  3. Masukkan nama pengguna, kata sandi, dan domain ke pasangan JSON nilai kunci yang disebutusername, password dandomainName, masing-masing.

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. Tambahkan konfigurasi ke CredSpec file untuk akun layanan. Tambahan HostAccountConfig berisi Amazon Resource Name (ARN) dari rahasia di Secrets Manager.

     Di Windows, PluginGUID harus cocok dengan cuplikan contoh berikut. GUID Di Linux, PluginGUID itu diabaikan. Ganti MySecret dengan contoh dengan Amazon Resource Name (ARN) rahasia Anda.

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. Domainless gMSAfitur membutuhkan izin tambahan dalam peran eksekusi tugas. Ikuti langkahnya(Opsional) tanpa domain gMSA Rahasia.

Konfigurasikan instance dan instal credentials-fetcher daemon

Anda dapat menginstal credentials-fetcher daemon dengan skrip data pengguna di Template EC2 Peluncuran Anda. Contoh berikut menunjukkan dua jenis data pengguna, cloud-config YAML atau bash naskah. Contoh-contoh ini untuk Amazon Linux 2023 (AL2023). Ganti MyCluster dengan nama ECS cluster Amazon yang Anda inginkan untuk bergabung dengan instance ini.

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetch && systemctl enable credentials-fetcher"

• bash script

  Jika Anda merasa lebih nyaman dengan bash skrip dan memiliki beberapa variabel untuk menulis/etc/ecs/ecs.config, menggunakan heredoc format berikut. Format ini menulis segalanya di antara baris dimulai dengan cat dan EOF pada file konfigurasi.

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetch && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

Ada variabel konfigurasi opsional untuk credentials-fetcher daemon yang dapat Anda atur. /etc/ecs/ecs.config Kami menyarankan Anda mengatur variabel dalam data pengguna di YAML blok atau heredoc mirip dengan contoh sebelumnya. Melakukannya mencegah masalah dengan konfigurasi sebagian yang dapat terjadi dengan mengedit file beberapa kali. Untuk informasi selengkapnya tentang konfigurasi ECS agen, lihat Amazon ECS Container Agent di GitHub.

(Opsional) tanpa domain gMSA Rahasia

Jika Anda menggunakan metode domainless di mana instance tidak bergabung dengan domain, ikuti langkah ini.

Anda harus menambahkan izin berikut sebagai kebijakan inline ke peran eksekusi IAM tugas. Melakukan hal itu memberikan akses credentials-fetcher daemon ke rahasia Secrets Manager. Ganti MySecret contoh dengan Amazon Resource Name (ARN) rahasia Anda dalam Resource daftar.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

Putuskan apakah Anda menggunakan SSM Parameter Store atau S3 untuk menyimpan CredSpec

Amazon ECS mendukung cara-cara berikut untuk mereferensikan jalur file di credentialSpecs bidang definisi tugas.

Jika Anda menggabungkan instance ke satu domain, gunakan awalan credentialspec: di awal stringARN. Jika Anda menggunakan domainless gMSA, lalu gunakancredentialspecdomainless:.

Untuk informasi lebih lanjut tentang CredSpec, lihat File spesifikasi kredensi.

• Bucket Amazon S3

  Tambahkan spesifikasi kredenal ke bucket Amazon S3. Kemudian, rujuk Nama Sumber Daya Amazon (ARN) dari bucket Amazon S3 di credentialSpecs bidang definisi tugas.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  Untuk memberikan akses tugas ke bucket S3, tambahkan izin berikut sebagai kebijakan inline ke peran eksekusi ECS tugas Amazon. IAM

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• Parameter Penyimpanan Parameter SSM

  Tambahkan spesifikasi kredenal ke SSM parameter Parameter Store. Kemudian, rujuk Amazon Resource Name (ARN) dari parameter Parameter Store di credentialSpecs bidang definisi tugas. SSM

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  Untuk memberikan akses tugas Anda ke SSM parameter Parameter Store, tambahkan izin berikut sebagai kebijakan inline ke peran eksekusi ECS IAM tugas Amazon.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }