AWS ワークロード認証情報プロバイダーの使用

リポジトリで提供されている install スクリプトを使用します。

スクリプトは、起動時にランダムな SSRF トークンを生成し、ファイル /var/run/awssmatoken に保存します。トークンは、インストールスクリプトが作成する aws-wcp-token グループによって読み取り可能です。

アプリケーションがトークンファイルを読み取れるようにするには、アプリケーションが実行するユーザーアカウントを aws-wcp-token グループに追加する必要があります。例えば、次の usermod コマンドを使用してトークンファイルを読み取るアクセス許可をアプリケーションに付与できます。ここで <APP_USER> は、アプリケーションを実行するユーザー ID です。

sudo usermod -aG aws-wcp-token <APP_USER>

開発ツールのインストール

AL2023 などの RPM ベースのシステムでは、開発ツールグループをインストールします。

sudo yum -y groupinstall "Development Tools"

Rust のインストール

「Rust ドキュメント」の「Rust のインストール」の指示に従います。

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
. "$HOME/.cargo/env"

プロバイダーを構築する

貨物ビルドコマンドを使用して AWS ワークロード認証情報プロバイダーを構築します。

cargo build --release

実行ファイルは target/release/aws-workload-credentials-provider にあります。

開発ツールのインストール

Ubuntu などの Debian ベースのシステムでは、build-essential パッケージをインストールします。

sudo apt install build-essential

Rust のインストール

「Rust ドキュメント」の「Rust のインストール」の指示に従います。

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
. "$HOME/.cargo/env"

プロバイダーを構築する

貨物ビルドコマンドを使用して AWS ワークロード認証情報プロバイダーを構築します。

cargo build --release

実行ファイルは target/release/aws-workload-credentials-provider にあります。

開発環境のセットアップ

「Microsoft Windows ドキュメント」の「Windows for Rust で開発環境をセットアップする」の手順に従います。

プロバイダーを構築する

貨物ビルドコマンドを使用して AWS ワークロード認証情報プロバイダーを構築します。

cargo build --release

実行ファイルは target/release/aws-workload-credentials-provider.exe にあります。

クロスコンパイルツールをインストールする

cargo-xwin をインストールします。

cargo install cargo-xwin

Rust ビルドターゲットを追加する

Windows MSVC ビルドターゲットをインストールします。

rustup target add x86_64-pc-windows-msvc

Windows 用にビルドする

Windows のプロバイダーをクロスコンパイルします。

cargo xwin build --release --target x86_64-pc-windows-msvc

実行ファイルは target/x86_64-pc-windows-msvc/release/aws-workload-credentials-provider.exe にあります。

パッケージをインストールする

RPM パッケージをインストールします。パッケージマネージャーは最新バージョンを見つけます。

sudo dnf install aws-workload-credentials-provider

RPM パッケージは、以下を自動的にセットアップします。

Secrets Manager 機能は、インストール後すぐに使用できます。RPM パッケージを使用して をインストールすると、 AWS ワークロード認証情報プロバイダーはデフォルトパス から設定オプションを読み取ります/etc/aws-workload-credentials-provider/config.toml。設定をカスタマイズするには、そのファイルを作成または編集します。

(オプション) 証明書管理機能を有効にする

から証明書を取得および更新するには AWS Certificate Manager、AWS Certificate Manager 「 ユーザーガイド」の「証明書の自動化」を参照してください。

アプリケーションのアクセス許可を設定する

アプリケーションが SSRF トークンファイルを読み取れるようにするには、アプリケーションのユーザーアカウントを aws-wcp-tokenグループに追加します。

sudo usermod -aG aws-wcp-token APP_USER

APP_USER を、アプリケーションが実行されるユーザー ID に置き換えます。

(オプション) プロバイダーログへのアクセスを許可する

プロバイダーログを読み取るには、ユーザーをawscredsグループに追加し、変更を有効にするためにログアウトして再度ログイン (または を実行newgrp awscreds) します。

sudo usermod -aG awscreds APP_USER

設定ディレクトリに移動する

設定ディレクトリに変更します:

cd aws_workload_credentials_provider_common/configuration

インストールスクリプトを実行する

リポジトリで提供されている install スクリプトを実行します。

スクリプトは、起動時にランダムな SSRF トークンを生成し、ファイル /var/run/awssmatoken に保存します。トークンは、インストールスクリプトが作成する aws-wcp-token グループによって読み取り可能です。

アプリケーションのアクセス許可を設定する

アプリケーションが実行されるユーザーアカウントを aws-wcp-token グループに追加します:

sudo usermod -aG aws-wcp-token APP_USER

APP_USER を、アプリケーションが実行されるユーザー ID に置き換えます。

プロバイダー Dockerfile を作成する

AWS ワークロード認証情報プロバイダーサイドカーコンテナの Dockerfile を作成します。

# Use the latest Debian image as the base
FROM debian:latest

# Set the working directory inside the container
WORKDIR /app 

# Copy the Workload Credentials Provider binary to the container
COPY aws-workload-credentials-provider . 

# Install any necessary dependencies
RUN apt-get update && apt-get install -y ca-certificates 

# Set the entry point to run the provider
ENTRYPOINT ["./aws-workload-credentials-provider", "sm", "start"]

アプリケーション Dockerfile を作成する

クライアントアプリケーション用の Dockerfile を作成します。

Docker Compose ファイルを作成する

Docker Compose ファイルを作成して、共有ネットワークインターフェイスで両方のコンテナを実行します:

version: '3'
services:
    client-application:
    container_name: client-application
    build:
        context: .
        dockerfile: Dockerfile.client
    command: tail -f /dev/null  # Keep the container running
    

    workload-credentials-provider:
    container_name: workload-credentials-provider
    build:
        context: .
        dockerfile: Dockerfile.provider
    network_mode: "container:client-application"  # Attach to the client-application container's network
    depends_on:
        - client-application

プロバイダーバイナリをコピーする

aws-workload-credentials-provider バイナリを Dockerfiles および Docker Compose ファイルと同じディレクトリにコピーします。

コンテナの構築と実行

Docker Compose を使用し、コンテナを構築して実行します:

docker-compose up --build

次の手順

AWS ワークロード認証情報プロバイダーを使用して、クライアントコンテナからシークレットを取得できるようになりました。詳細については、「AWS ワークロード認証情報プロバイダーを使用してシークレットを取得する」を参照してください。

プロバイダーレイヤーをパッケージ化する

AWS ワークロード認証情報プロバイダーコードパッケージのルートから、次のコマンドを実行します。

AWS_ACCOUNT_ID=AWS_ACCOUNT_ID
LAMBDA_ARN=LAMBDA_ARN

# Build the release binary 
cargo build --release --target=x86_64-unknown-linux-gnu

# Copy the release binary into the `bin` folder
mkdir -p ./bin
cp ./target/x86_64-unknown-linux-gnu/release/aws-workload-credentials-provider ./bin/aws-workload-credentials-provider

# Copy the `secrets-manager-provider-extension.sh` example script into the `extensions` folder.
mkdir -p ./extensions
cp aws_secretsmanager_provider/examples/example-lambda-extension/secrets-manager-provider-extension.sh ./extensions

# Zip the extension shell script and the binary 
zip secrets-manager-provider-extension.zip bin/* extensions/*

# Publish the layer version
LAYER_VERSION_ARN=$(aws lambda publish-layer-version \
    --layer-name secrets-manager-provider-extension \
    --zip-file "fileb://secrets-manager-provider-extension.zip" | jq -r '.LayerVersionArn')

SSRF トークンを設定する

プロバイダーのデフォルト設定では、SSRF トークンを事前設定変数AWS_SESSION_TOKENまたはAWS_CONTAINER_AUTHORIZATION_TOKEN環境変数 (SnapStart が有効になっている Lambda 関数の後者変数) で設定された値に自動的に設定します。または、Lambda 関数の任意の値を使用して AWS_TOKEN 環境変数を定義することもできます。これは、この変数が他の 2 つよりも優先されるためです。AWS_TOKEN 環境変数を使用する場合は、その環境変数を lambda:UpdateFunctionConfiguration 呼び出しで設定する必要があります。

レイヤーを関数にアタッチする

レイヤーバージョンを Lambda 関数にアタッチします:

# Attach the layer version to the Lambda function
aws lambda update-function-configuration \
    --function-name $LAMBDA_ARN \
    --layers "$LAYER_VERSION_ARN"

関数コードの更新

X-Aws-codes-Secrets-Token ヘッダー値を上記の環境変数から取得した SSRF トークンの値に設定して http://localhost:2773/secretsmanager/get?secretId=MyTest のクエリを実行するように Lambda 関数を更新し、シークレットを取得します。Lambda 拡張機能の初期化と登録の遅延に対応するため、アプリケーションコードに再試行ロジックを実装してください。

関数をテストする

Lambda 関数を呼び出して、シークレットが正しく取得されていることを確認します。