Usar contêineres do Windows no Amazon ECS com gMSA sem domínio usando a AWS CLI

Gerar uma chave raiz do Serviço de Distribuição de Chaves

A chave raiz do KDS e as permissões do gMSA são configuradas com seu Microsoft AD gerenciado pela AWS.

Se você ainda não criou uma conta de serviço do gMSA em seu domínio, primeiro precisará gerar uma chave raiz do Serviço de Distribuição de Chaves (KDS). O KDS é responsável por criar, alternar e liberar a senha do gMSA para os hosts autorizados. Quando o ccg.exe precisa recuperar as credenciais do gMSA, ele entra em contato com o KDS para recuperar a senha atual.

Para verificar se a chave raiz do KDS já foi criada, execute o cmdlet do PowerShell a seguir com privilégios de administrador de domínio em um controlador de domínio usando o módulo do ActiveDirectory do PowerShell. Para obter mais informações sobre o módulo, consulte Módulo do ActiveDirectory no site do Microsoft Learn.

PS C:\> Get-KdsRootKey

Se o comando retornar uma ID de chave, será possível ignorar o restante desta etapa. Caso contrário, crie a chave raiz do KDS executando o comando a seguir:

PS C:\> Add-KdsRootKey -EffectiveImmediately

Embora o argumento EffectiveImmediately para o comando implique que a chave entra em vigor imediatamente, é preciso esperar 10 horas antes que a chave raiz do KDS seja replicada e esteja disponível para uso em todos os controladores de domínio.

Criar a conta gMSA

Para criar a conta gMSA e permitir que o ccg.exe recupere a senha do gMSA, execute os comandos a seguir do PowerShell em um Windows Server ou cliente com acesso ao domínio. Substitua ExampleAccount pelo nome que você deseja para sua conta gMSA.

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. Crie um usuário com uma senha permanente que não expire. Essas credenciais são armazenadas no AWS Secrets Manager e usadas por cada tarefa para se associar ao domínio.

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. Instale o módulo PowerShell para criar objetos do CredSpec no Active Directory e gere a saída de JSON do CredSpec.

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

Copie a saída de JSON do comando anterior em um arquivo chamado gmsa-cred-spec.json. Esse é o arquivo CredSpec. Ele será usado na Etapa 3, Etapa 3: modificar seu JSON do CredSpec para incluir informações do gMSA sem domínio.

Adicione as informações a seguir ao arquivo CredSpec dentro do ActiveDirectoryConfig. Substitua o ARN pelo segredo no Secrets Manager da etapa anterior.

Observe que o valor PluginGUID deve corresponder ao GUID no trecho de exemplo a seguir, e é obrigatório.

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

Você também pode usar um segredo no SSM Parameter Store usando o ARN neste formato: \"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\".

Depois de modificar o arquivo CredSpec, ele será semelhante à saída do exemplo a seguir:

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

Copie o arquivo CredSpec para o computador ou ambiente em que você está executando os comandos da AWS CLI.

Execute o comando AWS CLI a seguir para fazer upload do CredSpec no Amazon S3. Substitua MyBucket pelo nome do bucket do Amazon S3. É possível armazenar o arquivo como um objeto em qualquer bucket e local, mas deve permitir o acesso a esse bucket e ao local na política que você anexa ao perfil de execução da tarefa.

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

Para criar um perfil de execução de tarefa, consulte Criar a função de execução de tarefa do. As permissões padrão permitem que a instância de contêiner extraia imagens de contêiner do Amazon Elastic Container Registry e stdout e stderr de suas aplicações para serem registradas em log no Amazon CloudWatch Logs.

Como o perfil precisa de permissões personalizadas para este tutorial, é possível atribuir ao perfil um nome diferente de ecsTaskExecutionRole. Este tutorial usa ecsTaskExecutionRole em etapas adicionais.

Adicione as permissões a seguir criando uma política personalizada, uma política em linha que só exista para esse perfil ou uma política que você possa reutilizar. Substitua o ARN para o Resource na primeira declaração pelo bucket do Amazon S3 e a localização, e o segundo Resource pelo ARN do segredo no Secrets Manager.

Se você criptografar o segredo no Secrets Manager com uma chave personalizada, também deverá permitir kms:Decrypt para a chave.

Se você usar o SSM Parameter Store em vez do Secrets Manager, deverá permitir ssm:GetParameter para o parâmetro, em vez de secretsmanager:GetSecretValue.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

Crie um arquivo chamado ecs-tasks-trust-policy.json com o conteúdo a seguir:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Criar um perfil do IAM. É possível substituir o nome ecs-exec-demo-task-role, mas mantenha-o nas etapas a seguir.

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

É possível excluir o arquivo ecs-tasks-trust-policy.json.

Crie um arquivo chamado ecs-exec-demo-task-role-policy.json com o conteúdo a seguir:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

Crie uma política do IAM e anexe-a ao perfil da etapa anterior.

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

É possível excluir o arquivo ecs-exec-demo-task-role-policy.json.

Crie um arquivo chamado windows-gmsa-domainless-task-def.json com o conteúdo a seguir:

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

Registre a definição de tarefa executando o comando a seguir.

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

Para iniciar uma instância de Windows do Amazon EC2 que esteja configurada para o Amazon ECS no AWS Management Console, consulte Iniciar uma instância de contêiner do Windows do Amazon ECS. Pare na etapa de dados do usuário.

Em sgMSA, os dados do usuário devem definir a variável de ambiente ECS_GMSA_SUPPORTED antes de iniciar o agente de contêiner do ECS.

Para o ECS Exec, o agente deve começar com o argumento -EnableTaskIAMRole.

Para proteger o perfil do IAM da instância impedindo que as tarefas cheguem ao serviço da Web IMDS do EC2 para recuperar as credenciais do perfil, adicione o argumento -AwsvpcBlockIMDS. Isso se aplica somente às tarefas que usem o modo de rede awsvpc.

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

Revise um resumo da configuração da instância no painel Summary (Resumo) e, quando você estiver pronto, escolha Launch instance (Iniciar instância).

Listar as instâncias de contêiner no cluster. As instâncias de contêiner têm um ID diferente do ID da instância do EC2.

$ aws ecs list-container-instances

Saída:

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

Por exemplo, 526bd5d0ced448a788768334e79010fd é um ID de instância de contêiner válido.

Use o ID da instância de contêiner da etapa anterior para obter os detalhes da instância de contêiner. Substitua MyContainerInstanceID pelo ID.

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

Observe que a saída é muito longa.

Verifique se a lista attributes tem um objeto com a chave chamada name e um valor de ecs.capability.gmsa-domainless. Veja a seguir um exemplo do objeto.

Saída:

{
    "name": "ecs.capability.gmsa-domainless"
}

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command --cluster windows-domainless-gmsa-cluster

Anote o ID da tarefa retornado pelo comando.

Execute o comando a seguir para verificar se a tarefa foi iniciada. Esse comando espera e não retorna o prompt do shell até que a tarefa seja iniciada. Substitua MyTaskID pelo ID da tarefa da etapa anterior.

$ aws ecs wait tasks-running --task MyTaskID

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

A saída será um prompt do PowerShell.

Execute o comando a seguir no terminal do PowerShell dentro do contêiner.

PS C:\> klist get ExampleAccount$

Na saída, observe que Principal é o que você criou anteriormente.

Interrompa a tarefa. Substitua MyTaskID pelo ID da tarefa da etapa 12, Etapa 12: executar uma tarefa do Windows.

$ aws ecs stop-task --task MyTaskID

Encerre a instância do Amazon EC2. Depois disso, a instância de contêiner no cluster será excluída automaticamente após uma hora.

É possível encontrar e encerrar a instância usando o console do Amazon EC2. É possível executar o comando a seguir: Para executar o comando, encontre o ID da instância do EC2 na saída do comando aws ecs describe-container-instances da etapa 1, Etapa 11: verificar a instância de contêiner. i-10a64379 é um exemplo de ID de instância do EC2.

$ aws ec2 terminate-instances --instance-ids MyInstanceID

Exclua o arquivo CredSpec no Amazon S3. Substitua MyBucket pelo nome do bucket do Amazon S3.

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

Exclua o segredo no Secrets Manager. Se você usou o SSM Parameter Store em vez disso, exclua o parâmetro.

O comando a seguir usa caracteres de continuação de barra invertida que são usados pelo sh e por shells compatíveis. Esse comando não é compatível com o PowerShell. Você deve modificar o comando para usá-lo com o PowerShell.

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

Cancele o registro e exclua a definição de tarefa. Ao cancelar o registro da definição da tarefa, você a marca como inativa para que não possa ser usada para iniciar novas tarefas. Em seguida, é possível excluir a definição da tarefa.

1. Cancele o registro da definição da tarefa especificando a versão. O ECS cria automaticamente versões das definições de tarefas, que são numeradas a partir de 1. Você faz referência às versões no mesmo formato dos rótulos nas imagens do contêiner, como :1.

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. Exclua a definição da tarefa.

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

(Opcional) Exclua o cluster do ECS se você tiver criado um cluster.

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster