Utilizzo gMSA per EC2 Linux contenitori su Amazon ECS

Decidi se vuoi aggiungere le istanze al dominio o usare domainless gMSA.

• Unisci EC2 le istanze al dominio Active Directory

  • Aggiunta delle istanze in base ai dati dell'utente

    Aggiungi i passaggi per aggiungere il dominio Active Directory ai dati EC2 utente in un modello di EC2 avvio. Più gruppi di Amazon EC2 Auto Scaling possono utilizzare lo stesso modello di lancio.

    Puoi utilizzare questi passaggi Unendoti a un Active Directory o FreeIPA dominio in Fedora Docs.

• Crea un utente Active Directory senza dominio gMSA

  Il credentials-fetcher demone ha una funzionalità chiamata domainless gMSA. Questa funzionalità richiede un dominio, ma non è necessario aggiungere l'EC2istanza al dominio. Utilizzando domainless gMSA, l'istanza del contenitore non è aggiunta al dominio, le altre applicazioni sull'istanza non possono utilizzare le credenziali per accedere al dominio e le attività che si uniscono a domini diversi possono essere eseguite sulla stessa istanza. Al contrario, fornisci il nome di un segreto nel AWS Secrets Manager CredSpec file. Il segreto deve contenere un nome utente, una password e un dominio a cui accedere.

  Questa funzionalità è supportata e può essere utilizzata con container Linux e Windows.

  Questa funzionalità è simile alla gMSA support for non-domain-joined container hostscaratteristica. Per ulteriori informazioni sulla funzionalità di Windows, vedere gMSA architettura e miglioramenti sul sito Web Microsoft Learn.

  1. Crea un utente nel dominio di Active Directory. L'utente in Active Directory deve disporre dell'autorizzazione per accedere a gMSA account di servizio utilizzati nelle attività.

  2. Crea un account segreto AWS Secrets Manager, dopo aver creato l'utente in Active Directory. Per ulteriori informazioni, consulta Creare un AWS Secrets Manager segreto.

  3. Inserisci il nome utente, la password e il dominio dell'utente in coppie JSON chiave-valore denominate usernamedomainName, password rispettivamente.

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. Aggiungi la configurazione al CredSpec file per l'account del servizio. L'elemento aggiuntivo HostAccountConfig contiene l'Amazon Resource Name (ARN) del segreto in Secrets Manager.

     In Windows, PluginGUID deve corrispondere allo snippet riportato GUID nell'esempio seguente. In Linux, PluginGUID viene ignorato. Sostituiscilo MySecret con un esempio con l'Amazon Resource Name (ARN) del tuo segreto.

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. Il senza dominio gMSAla funzionalità richiede autorizzazioni aggiuntive nel ruolo di esecuzione dell'attività. Segui il passaggio (Facoltativo) senza dominio gMSA Secret.

Configurazione delle istanze e installazione del daemon credentials-fetcher

Puoi installare il credentials-fetcher demone con uno script di dati utente nel tuo EC2 Launch Template. Gli esempi seguenti mostrano due tipi di dati utente, cloud-config YAML oppure bash sceneggiatura. Questi esempi si riferiscono ad Amazon Linux 2023 (AL2023). Sostituisci MyCluster con il nome del ECS cluster Amazon a cui desideri che queste istanze si uniscano.

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetch && systemctl enable credentials-fetcher"

• bash script

  Se ti senti più a tuo agio con bash gli script e hanno più variabili su cui scrivere/etc/ecs/ecs.config, usa il seguente heredoc formato. Questo formato scrive tutti gli elementi nel file di configurazione, inserendoli tra le righe cat ed EOF.

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetch && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

Esistono variabili di configurazione opzionali per il daemon credentials-fetcher che puoi impostare in /etc/ecs/ecs.config. Ti consigliamo di impostare le variabili nei dati utente nel YAML blocco o in heredoc modo simile agli esempi precedenti. In questo modo si evitano problemi di configurazione parziale che possono verificarsi quando si modifica un file più volte. Per ulteriori informazioni sulla configurazione dell'ECSagente, consulta Amazon ECS Container Agent on GitHub.

(Facoltativo) senza dominio gMSA Secret

Se utilizzi il metodo senza dominio in cui l'istanza non è aggiunta al dominio, segui questo passaggio.

È necessario aggiungere le seguenti autorizzazioni come politica in linea al ruolo di esecuzione dell'attività. IAM In questo modo il daemon credentials-fetcher accede al segreto di Secrets Manager. Sostituisci l'MySecretesempio con l'Amazon Resource Name (ARN) del tuo segreto nell'Resourceelenco.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

Decidi se utilizzare SSM Parameter Store o S3 per archiviare il CredSpec

Amazon ECS supporta i seguenti modi per fare riferimento al percorso del file nel credentialSpecs campo della definizione dell'attività.

Se unisci le istanze a un singolo dominio, usa il prefisso credentialspec: all'inizio della ARN stringa. Se usi domainless gMSA, quindi usa. credentialspecdomainless:

Per ulteriori informazioni su CredSpec, consulta File di specifica delle credenziali.

• Bucket Amazon S3

  Aggiungi le specifiche delle credenziali a un bucket Amazon S3. Quindi, fai riferimento all'Amazon Resource Name (ARN) del bucket Amazon S3 nel credentialSpecs campo della definizione dell'attività.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  Per consentire alle tue attività di accedere al bucket S3, aggiungi le seguenti autorizzazioni come policy in linea al ruolo di esecuzione delle attività di AmazonECS. IAM

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• Parametro dell'Archivio parametri di SSM

  Aggiungi le specifiche delle credenziali a un parametro Parameter Store. SSM Quindi, fai riferimento all'Amazon Resource Name (ARN) del SSM parametro Parameter Store nel credentialSpecs campo della definizione dell'attività.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  Per consentire alle tue attività di accedere al SSM parametro Parameter Store, aggiungi le seguenti autorizzazioni come policy in linea al ruolo di esecuzione IAM delle ECS attività di Amazon.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }