Amazon ECS에서 EC2 Linux 컨테이너에 대해 gMSA 사용

인스턴스를 도메인에 가입시킬지, 아니면 도메인 없는 gMSA를 사용할지 결정합니다.

• EC2 인스턴스를 Active Directory 도메인에 가입

  • 사용자 데이터로 인스턴스 가입

    EC2 시작 템플릿의 EC2 사용자 데이터에 Active Directory 도메인에 가입하는 단계를 추가합니다. 여러 Amazon EC2 Auto Scaling 그룹에서 동일한 시작 템플릿을 사용할 수 있습니다.

    Fedora Docs의 Joining an Active Directory or FreeIPA domain 단계를 사용할 수 있습니다.

• 도메인 없는 gMSA를 위한 Active Directory 사용자 만들기

  credentials-fetcher 대몬(daemon)에는 도메인 없는 gMSA라는 기능이 있습니다. 이 기능에는 도메인이 필요하지만 EC2 인스턴스를 도메인에 가입시킬 필요는 없습니다. 도메인 없는 gMSA를 사용하면 컨테이너 인스턴스는 도메인에 가입되지 않고, 인스턴스의 다른 애플리케이션은 보안 인증을 사용하여 도메인에 액세스할 수 없고, 다른 도메인에 가입하는 작업은 동일한 인스턴스에서 실행될 수 있습니다. 대신 AWS Secrets Manager에서 CredSpec 파일에 보안 암호의 이름을 입력합니다. 보안 암호에는 사용자 이름, 암호 및 로그인할 도메인이 포함되어야 합니다.

  이 기능은 Linux 및 Windows 컨테이너에서 지원되며 사용할 수 있습니다.

  이 기능은 gMSA support for non-domain-joined container hosts 기능과 유사합니다. Windows 기능에 대한 자세한 내용은 Microsoft Learn 웹 사이트의 gMSA architecture and improvements를 참조하세요.

  1. Active Directory 도메인에서 사용자를 만듭니다. Active Directory의 사용자는 작업에서 사용하는 gMSA 서비스 계정에 액세스할 수 있는 권한이 있어야 합니다.

  2. Active Directory에서 사용자를 만든 후 AWS Secrets Manager에서 비밀을 생성합니다. 자세한 내용은 AWS Secrets Manager 보안 암호 생성을 참조하세요.

  3. 사용자의 사용자 이름, 암호 및 도메인을 각각 username, password 및 domainName이라는 JSON 키-값 쌍에 입력합니다.

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. 서비스 계정의 CredSpec 파일에 구성을 추가합니다. 추가 HostAccountConfig에는 Secrets Manager에 있는 보안 암호의 Amazon 리소스 이름(ARN)이 포함됩니다.

     Windows에서 PluginGUID는 다음 예제 코드 조각의 GUID와 일치해야 합니다. Linux에서는 PluginGUID가 무시됩니다. 예제에서 MySecret은 보안 암호의 Amazon 리소스 이름 (ARN)으로 바꿉니다.

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. 도메인 없는 gMSA 기능을 사용하려면 작업 실행 역할에 추가 권한이 필요합니다. (선택 사항) 도메인 없는 gMSA 보안 암호 단계를 따릅니다.

인스턴스 구성 및 credentials-fetcher 대몬(daemon) 설치

EC2 시작 템플릿에서 사용자 데이터 스크립트를 사용하여 credentials-fetcher 대몬(daemon)을 설치할 수 있습니다. 다음 예제에서는 두 가지 유형의 사용자 데이터인 cloud-config YAML 또는 bash 스크립트를 보여줍니다. 이러한 예제는 Amazon Linux 2023(AL2023)용입니다. MyCluster를 이러한 인스턴스를 조인할 Amazon ECS 클러스터의 이름으로 바꿉니다.

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher"

• bash 스크립트

  bash 스크립트에 더 익숙하고 /etc/ecs/ecs.config에 쓸 변수가 여러 개인 경우 다음 heredoc 형식을 사용합니다. 이 형식은 cat으로 시작하는 라인과 EOF 사이의 모든 항목을 구성 파일에 작성합니다.

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

credentials-fetcher 대몬(daemon)에 대한 선택적 구성 변수를 /etc/ecs/ecs.config에서 설정할 수 있습니다. 위 예제와 유사한 YAML 블록 또는 heredoc의 사용자 데이터에 변수를 설정하는 것이 좋습니다. 이렇게 하면 파일을 여러 번 편집하여 발생할 수 있는 부분 구성 문제를 방지할 수 있습니다. ECS 에이전트 구성에 대한 자세한 내용은 GitHub의 Amazon ECS Container Agent를 참조하세요.

(선택 사항) 도메인 없는 gMSA 보안 암호

인스턴스가 도메인에 가입되지 않은 도메인 없는 방법을 사용하는 경우 이 단계를 따릅니다.

작업 실행 IAM 역할에 다음 권한을 인라인 정책으로 추가해야 합니다. 이렇게 하면 credentials-fetcher 대몬(daemon)이 Secrets Manager 보안 암호에 액세스할 수 있게 됩니다. MySecret 예제를 Resource 목록에 있는 보안 암호의 Amazon 리소스 이름(ARN)으로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

SSM Parameter Store 또는 S3를 사용하여 CredSpec를 저장할지 결정

Amazon ECS에서는 작업 정의의 credentialSpecs 필드에서 파일 경로를 참조하는 다음과 같은 방법을 지원합니다.

인스턴스를 단일 도메인에 가입시키는 경우 문자열에서 ARN 시작 부분에 credentialspec: 접두사를 사용합니다. 도메인 없는 gMSA를 사용하는 경우에는 credentialspecdomainless:를 사용합니다.

CredSpec에 대한 자세한 내용은 보안 인증 사양 파일 섹션을 참조하세요.

• Amazon S3 버킷

  보안 인증 사양을 Amazon S3 버킷에 추가합니다. 그런 다음 작업 정의의 credentialSpecs 필드에서 Amazon S3 버킷의 Amazon 리소스 이름(ARN)을 참조합니다.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  또한 작업에 Amazon S3 버킷에 대한 액세스 권한을 부여하려면 Amazon ECS 작업 실행 IAM 역할에 다음 권한을 인라인 정책으로 추가합니다.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• SSM Parameter Store 파라미터

  보안 인증 사양을 SSM Parameter Store 파라미터에 추가합니다. 그런 다음 작업 정의의 credentialSpecs 필드에서 SSM Parameter Store 파라미터의 Amazon 리소스 이름(ARN)을 참조합니다.

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  또한 작업에 SSM Parameter Store 파라미터에 대한 액세스 권한을 부여하려면 Amazon ECS 작업 실행 IAM 역할에 다음 권한을 인라인 정책으로 추가합니다.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }