Amazon EC2 の Linux コンテナで gMSA を使用する

インスタンスをドメインに参加させるか、ドメインレス gMSA を使用するかを決定します。

• EC2 インスタンスを Active Directory ドメインに参加させる

  • ユーザーデータを使用してインスタンスを参加させる

    Active Directory ドメインを EC2 起動テンプレートの EC2 ユーザーデータに参加させるステップを追加します。複数の Amazon EC2 Auto Scaling グループが同じ起動テンプレートを使用できます。

    Fedora ドキュメントの「Active Directory または FreeIPA ドメインへの参加」のこれらのステップを使用できます。

• ドメインレス gMSA 用に Active Directory ユーザーを作成する

  credentials-fetcher デーモンには、ドメインレス gMSA と呼ばれる機能があります。この機能にはドメインが必要ですが、EC2 インスタンスをドメインに参加させる必要はありません。ドメインレス gMSA を使用すると、コンテナインスタンスはドメインに参加せず、インスタンス上の他のアプリケーションは認証情報を使用してドメインにアクセスできなくなり、異なるドメインに参加するタスクを同じインスタンス上で実行できます。代わりに、CredSpec ファイルの AWS Secrets Manager にシークレットの名前を指定します。シークレットには、ユーザー名、パスワード、ログイン先のドメインが含まれている必要があります。

  この機能はサポートされており、Linux および Windows コンテナで使用できます。

  この機能は gMSA support for non-domain-joined container hosts 機能に似ています。Windows の機能の詳細については、Microsoft Learn ウェブサイトの「gMSA アーキテクチャと改善」を参照してください。

  1. Active Directory ドメインでユーザーを作成します。Active Directory のユーザーは、タスクで使用する gMSA サービスアカウントにアクセスするための許可を持っている必要があります。

  2. Active Directory でユーザーを作成した後、AWS Secrets Manager でシークレットを作成します。詳細については、「AWS Secrets Manager シークレットを作成する」を参照してください。

  3. ユーザーのユーザー名、パスワード、ドメインを、それぞれ username、password、domainName と呼ばれる JSON キーと値のペアに入力します。

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. サービスアカウントの CredSpec ファイルに構成を追加します。追加の HostAccountConfig には、Secrets Manager のシークレットの Amazon リソースネーム (ARN) が含まれています。

     Windows では、PluginGUID は次のスニペットの例の GUID と一致する必要があります。Linux では、PluginGUID は無視されます。MySecret の例を、シークレットの Amazon リソースネーム (ARN) に置き換えます。

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. ドメインレス gMSA 機能には、タスク実行ロールの追加のアクセス許可が必要です。ステップ (オプション) ドメインレス gMSA シークレット に従います。

インスタンスを設定し、credentials-fetcher デーモンをインストールする

EC2 起動テンプレートでユーザーデータスクリプトを使用して credentials-fetcher デーモンをインストールできます。次の例は、2 種類のユーザーデータ (cloud-config YAML または bash スクリプト) を示しています。これらの例は、Amazon Linux 2023 (AL2023) についてのものです。MyCluster を、これらのインスタンスが参加する Amazon ECS クラスターの名前に置き換えます。

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher"

• bash スクリプト

  bash スクリプトに慣れていて、/etc/ecs/ecs.config に書き込む変数が複数ある場合は、次の heredoc 形式を使用します。この形式は cat で始まる行と EOF の間のすべてを設定ファイルに書き込みます。

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

/etc/ecs/ecs.config で設定できる credentials-fetcher デーモンのオプションの設定変数があります。YAML ブロック内のユーザーデータに変数を設定するか、heredoc前の例と同様に変数を設定することをお勧めします。これにより、1 つのファイルを複数回編集した場合に発生する、部分的な構成に関する問題を回避できます。ECS エージェントの設定の詳細については、GitHub の「Amazon ECS コンテナエージェント」を参照してください。

(オプション) ドメインレス gMSA シークレット

インスタンスがドメインに参加していないドメインレス方式を使用する場合は、次のステップに従います。

次の権限をインラインポリシーとしてタスク実行 IAM ロールに追加する必要があります。これにより、credentials-fetcher デーモンが Secrets Manager シークレットにアクセスできるようになります。MySecret の例を、Resource リスト内のシークレットの Amazon リソースネーム (ARN) に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

SSM Parameter Store または S3 を使用して CredSpec を保存するかどうかを決定する

Amazon ECS では、タスク定義の credentialSpecs フィールドでファイルパスを参照する次の方法がサポートされています。

インスタンスを単一のドメインに参加させる場合は、文字列内の ARN の先頭にプレフィックスを使用します。ドメインレス gMSA を使用する場合は、次に credentialspecdomainless: を使用します。

CredSpec の詳細については、「認証情報仕様ファイル」を参照してください。

• Amazon S3 バケット

  認証情報の仕様を Amazon S3 バケットに追加します。次に、タスク定義の credentialSpecs フィールドで Amazon S3 バケットの Amazon リソースネーム (ARN) を参照します。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  タスクに S3 バケットへのアクセスを許可するには、次のアクセス許可をインラインポリシーとして Amazon ECS タスク実行 IAM ロールに追加します。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• SSM パラメータストアパラメータ

  SSM Parameter Store パラメータに認証情報仕様を追加します。タスク定義の credentialSpecs フィールドで SSM パラメータストアパラメータの Amazon リソースネーム (ARN) を参照します。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  タスクに SSM Parameter Store パラメータへのアクセスを許可するには、次のアクセス許可をインラインポリシーとして Amazon ECS タスク実行 IAM ロールに追加します。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }