Utilizzo di contenitori Amazon ECS Windows con sistema domainless gMSA utilizzando il AWS CLI

Genera una chiave principale del servizio di distribuzione delle chiavi

La chiave principale di KDS e gMSA le autorizzazioni sono configurate con Microsoft AD AWS gestito.

Se non hai già creato un gMSA Account di servizio nel tuo dominio, devi prima generare una chiave radice del Key Distribution Service (KDS). Il KDS è responsabile della creazione, della rotazione e del rilascio di gMSA password per gli host autorizzati. Quando è ccg.exe necessario recuperare gMSA credenziali, contatta KDS per recuperare la password corrente.

Per verificare se la chiave radice KDS è già stata creata, esegui il seguente PowerShell cmdlet con privilegi di amministratore di dominio su un controller di dominio utilizzando il modulo. ActiveDirectory PowerShell Per ulteriori informazioni sul modulo, vedere ActiveDirectory Module nel sito Web Microsoft Learn.

PS C:\> Get-KdsRootKey

Se il comando restituisce un ID chiave, puoi ignorare il resto della procedura. In caso contrario, crea la chiave principale KDS eseguendo il comando seguente:

PS C:\> Add-KdsRootKey -EffectiveImmediately

Sebbene l'argomento EffectiveImmediately del comando implichi l'efficacia immediata della chiave, devi attendere 10 ore prima che la chiave principale KDS venga replicata e sia disponibile per l'uso su tutti i controller di dominio.

Crea il gMSA account

Per creare il gMSA account e consentire ccg.exe loro di recuperare il gMSA password, esegui PowerShell i seguenti comandi da un server o client Windows con accesso al dominio. Sostituiscilo ExampleAccount con il nome che desideri assegnare al tuo gMSA conto.

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. Crea un utente con una password permanente senza scadenza. Queste credenziali vengono archiviate AWS Secrets Manager e utilizzate da ogni attività per entrare a far parte del dominio.

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. Installa il PowerShell modulo per la creazione CredSpec oggetti in Active Directory e visualizza il CredSpec JSON.

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

Copia l'output JSON del comando precedente in un file denominato gmsa-cred-spec.json. Questa è la CredSpec file. che viene utilizzato nella fase 3, Passaggio 3: Modifica il tuo CredSpec JSON da includere senza dominio gMSA Informazioni.

Aggiungi le seguenti informazioni al CredSpec file all'interno diActiveDirectoryConfig. Sostituisci l'ARN con il segreto in Secrets Manager del passaggio precedente.

Tieni presente che il valore PluginGUID deve corrispondere al GUID nel seguente frammento di codice esemplificativo ed è obbligatorio.

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

Puoi anche usare un segreto nell'archivio parametri SSM con l'ARN in questo formato: \"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\".

Dopo aver modificato il CredSpec il file dovrebbe essere simile al seguente esempio:

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

Copia il CredSpec file nel computer o nell'ambiente in cui si eseguono AWS CLI i comandi.

Eseguite il AWS CLI comando seguente per caricare il CredSpec su Amazon S3. Sostituisci MyBucket con il nome del bucket Amazon S3. Puoi archiviare il file come oggetto in qualsiasi bucket e posizione, ma devi consentire l'accesso a tale bucket e tale posizione nella policy associata al ruolo di esecuzione dell'attività.

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

Per creare un ruolo di esecuzione dell'attività, consulta Creazione del ruolo di esecuzione attività. Le autorizzazioni predefinite consentono all'istanza del contenitore di estrarre le immagini dei contenitori da Amazon Elastic Container Registry stdout e stderr dalle tue applicazioni per registrarle su Amazon CloudWatch Logs.

Poiché il ruolo richiede autorizzazioni personalizzate per questo tutorial, puoi assegnare al ruolo un nome diverso da ecsTaskExecutionRole. Questo tutorial utilizza ecsTaskExecutionRole nelle fasi successive.

Aggiungi le seguenti autorizzazioni creando una policy personalizzata, una policy in linea che esiste solo per questo ruolo o una policy che puoi riutilizzare. Sostituisci l'ARN della Resource nella prima istruzione con il bucket e la posizione di Amazon S3 e la seconda Resource con l'ARN del segreto in Secrets Manager.

Se esegui la crittografa del segreto in Secrets Manager con una chiave personalizzata, devi consentire anche kms:Decrypt per la chiave.

Se al posto di Secrets Manager utilizzi l'archivio parametri SSM, devi consentire ssm:GetParameter per il parametro, anziché secretsmanager:GetSecretValue.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

Crea un file denominato ecs-tasks-trust-policy.json con i seguenti contenuti:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Crea un ruolo IAM. Puoi sostituire il nome ecs-exec-demo-task-role ma mantenerlo per i passaggi successivi.

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

Puoi eliminare il file ecs-tasks-trust-policy.json.

Crea un file denominato ecs-exec-demo-task-role-policy.json con i seguenti contenuti:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

Crea una policy IAM e collegala al ruolo della fase precedente.

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

Puoi eliminare il file ecs-exec-demo-task-role-policy.json.

Crea un file denominato windows-gmsa-domainless-task-def.json con i seguenti contenuti:

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

Registra la definizione di attività con il comando seguente:

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

Per avviare un'istanza Amazon EC2 Windows configurata per Amazon ECS in AWS Management Console, consultaAvvio di un'istanza di container Windows di Amazon ECS. Fermati alla fase relativa ai dati utente.

In gMSA, i dati utente devono impostare la variabile di ambiente ECS_GMSA_SUPPORTED prima di avviare l'agente contenitore ECS.

Per ECS Exec, l'agente deve iniziare con l'argomento -EnableTaskIAMRole.

Per proteggere il ruolo IAM dell'istanza impedendo alle attività di raggiungere il servizio web EC2 IMDS per recuperare le credenziali del ruolo, aggiungi l'argomento. -AwsvpcBlockIMDS Ciò si applica solo alle attività che utilizzano la modalità di rete awsvpc.

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

Analizza un riepilogo della configurazione dell'istanza nel pannello Summary (Riepilogo) e, quando è tutto pronto, scegli Launch instance (Avvia istanza).

Elenca le istanze di container nel cluster. Le istanze del contenitore hanno un ID diverso dall'ID dell' EC2 istanza.

$ aws ecs list-container-instances

Output:

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

Ad esempio, 526bd5d0ced448a788768334e79010fd è un ID di istanza di container valido.

Utilizza l'ID istanza di container della fase precedente per informazioni dettagliate sull'istanza di container. Sostituisci MyContainerInstanceID con l'ID.

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

Nota che l'output è molto lungo.

Verifica che l'elenco attributes contenga un oggetto con la chiave denominata name e un valore ecs.capability.gmsa-domainless. Di seguito è mostrato un esempio dell'oggetto.

Output:

{
    "name": "ecs.capability.gmsa-domainless"
}

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command --cluster windows-domainless-gmsa-cluster

Prendi nota dell'ID attività restituito dal comando.

Esegui il comando seguente per verificare che l'attività sia stata avviata. Questo comando resta in attesa e non restituisce il prompt della shell (interprete di comandi) fino all'avvio dell'attività. Sostituisci MyTaskID con l'ID attività ottenuto nella fase precedente.

$ aws ecs wait tasks-running --task MyTaskID

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

L'output sarà un PowerShell prompt.

Esegui il seguente comando nel PowerShell terminale all'interno del contenitore.

PS C:\> klist get ExampleAccount$

Tieni presente che il Principal presente nell'output è uguale a quello creato in precedenza.

Interrompi l'attività. Sostituisci MyTaskID con l'ID attività della fase 12, Fase 12: esecuzione di un'attività di Windows.

$ aws ecs stop-task --task MyTaskID

Termina l' EC2 istanza Amazon. Successivamente, l'istanza di container nel cluster verrà eliminata automaticamente dopo un'ora.

Puoi trovare e terminare l'istanza utilizzando la EC2 console Amazon. o puoi eseguire il comando seguente. Per eseguire il comando, trova l'ID dell' EC2 istanza nell'output del aws ecs describe-container-instances comando del passaggio 1Fase 11: verifica dell'istanza di container. i-10a64379 è un esempio di ID di istanza. EC2

$ aws ec2 terminate-instances --instance-ids MyInstanceID

Elimina le foto o i video CredSpec file in Amazon S3. Sostituisci MyBucket con il nome del bucket Amazon S3.

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

Elimina il segreto da Secrets Manager. Se invece hai utilizzato l'archivio parametri SSM, elimina il parametro.

Il comando seguente utilizza i caratteri di continuazione (barra rovesciata) utilizzati da sh e dalle shell compatibili. Questo comando non è compatibile con PowerShell. È necessario modificare il comando con cui utilizzarlo PowerShell.

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

Annulla la registrazione della definizione di attività ed eliminala. Dopo aver annullato la registrazione, la definizione di attività viene contrassegnata come inattiva, in modo che non possa essere utilizzata per avviare nuove attività. Puoi quindi eliminare la definizione di attività.

1. Annulla la registrazione della definizione di attività specificando la versione. ECS crea automaticamente delle versioni delle definizioni di attività, numerate a partire da 1. Fai riferimento alle versioni nello stesso formato delle etichette sulle immagini di container, ad esempio :1.

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. Elimina la definizione di attività.

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

(Facoltativo) Elimina il cluster ECS, se ne hai creato uno.

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster