Executar o CodeBuild em um servidor de proxy explícito - AWS CodeBuild
Configurar o Squid como um servidor de proxy explícitoCriar um projeto do CodeBuild Arquivo squid.conf de exemplo do servidor de proxy explícito

Executar o CodeBuild em um servidor de proxy explícito

Para executar o AWS CodeBuild em um servidor de proxy explícito, configure o servidor de proxy para que ele permita ou negue o tráfego de e para locais externos, e configure as variáveis de ambiente HTTP_PROXY e HTTPS_PROXY.

Configurar o Squid como um servidor de proxy explícito

Para configurar o servidor de proxy do Squid como explícito, você deve fazer as seguintes modificações no arquivo /etc/squid/squid.conf dele:

  • Remova as seguintes regras da lista de controle de acesso (ACL) padrão. 

    acl localnet src 10.0.0.0/8     
acl localnet src 172.16.0.0/12  
acl localnet src 192.168.0.0/16 
acl localnet src fc00::/7       
acl localnet src fe80::/10

    Adicione a seguinte informação no lugar das regras da ACL padrão que você removeu. A primeira linha permite solicitações da sua VPC. As duas linhas seguintes concedem ao servidor de proxy acesso aos URLs de destino que podem ser usados pelo AWS CodeBuild. Edite a expressão regular na última linha para especificar os buckets do S3 ou um repositório do CodeCommit em uma região da AWS. Por exemplo:

    • Se a origem for o Amazon S3, use o comando acl download_src dstdom_regex .*s3\.us-west-1\.amazonaws\.com para conceder acesso aos buckets do S3 na região us-west-1.

    • Se a origem for o AWS CodeCommit, use git-codecommit.<your-region>.amazonaws.com para adicionar uma região da AWS a uma lista de permissões. 

    acl localnet src 10.1.0.0/16 #Only allow requests from within the VPC
acl allowed_sites dstdomain .github.com #Allows to download source from GitHub
acl allowed_sites dstdomain .bitbucket.com #Allows to download source from Bitbucket
acl download_src dstdom_regex .*\.amazonaws\.com #Allows to download source from Amazon S3 or CodeCommit

  • Substitua http_access allow localnet pelo seguinte: 

    http_access allow localnet allowed_sites
http_access allow localnet download_src

  • Se quiser que a compilação faça upload de logs e artefatos, siga um destes procedimentos:

    1. Antes da instrução http_access deny all, insira as instruções a seguir. Elas permitem que o CodeBuild acesse o CloudWatch e o Amazon S3. O acesso ao CloudWatch é necessário para que o CodeBuild possa criar logs do CloudWatch. O acesso ao Amazon S3 é necessário para fazer upload de artefatos e o armazenamento em cache do Amazon S3. 

      • https_port 3130 cert=/etc/squid/ssl/squid.pem ssl-bump intercept
acl SSL_port port 443
http_access allow SSL_port
acl allowed_https_sites ssl::server_name .amazonaws.com
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump peek step2 allowed_https_sites
ssl_bump splice step3 allowed_https_sites
ssl_bump terminate step2 all

      • Depois de salvar squid.conf, execute o seguinte comando: 

        sudo iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-port 3130
sudo service squid restart

    2. Adicione proxy ao arquivo buildspec. Para obter mais informações, consulte Sintaxe de buildspec. 

      version: 0.2
proxy:
  upload-artifacts: yes
  logs: yes
phases:
  build:
    commands:
      - command
nota

Se receber um erro de tempo limite RequestError, consulte Erro de tempo limite RequestError ao executar o CodeBuild em um servidor de proxy.

Para mais informações, consulte Arquivo squid.conf de exemplo do servidor de proxy explícito adiante neste tópico.

Criar um projeto do CodeBuild

Para executar o AWS CodeBuild com o servidor de proxy explícito, configure as variáveis de ambiente HTTP_PROXY e HTTPS_PROXY dele com o endereço IP privado da instância do EC2 que você criou para o servidor de proxy e a porta 3128 no nível do projeto. O endereço IP privado é semelhante a http://your-ec2-private-ip-address:3128. Para obter mais informações, consulte Alterar configurações do projeto de compilação no AWS CodeBuild e Criar um projeto de compilação no AWS CodeBuild.

Use o comando a seguir para visualizar o log de acesso do proxy do Squid: 

sudo tail -f /var/log/squid/access.log

Arquivo squid.conf de exemplo do servidor de proxy explícito

Veja a seguir um exemplo de um arquivo squid.conf configurado para um servidor de proxy explícito. 

  acl localnet src 10.0.0.0/16 #Only allow requests from within the VPC
  # add all URLS to be whitelisted for download source and commands to be run in build environment
  acl allowed_sites dstdomain .github.com    #Allows to download source from github
  acl allowed_sites dstdomain .bitbucket.com #Allows to download source from bitbucket
  acl allowed_sites dstdomain ppa.launchpad.net #Allows to run apt-get in build environment
  acl download_src dstdom_regex .*\.amazonaws\.com #Allows to download source from S3 or CodeCommit
  acl SSL_ports port 443
  acl Safe_ports port 80		# http
  acl Safe_ports port 21		# ftp
  acl Safe_ports port 443		# https
  acl Safe_ports port 70		# gopher
  acl Safe_ports port 210		# wais
  acl Safe_ports port 1025-65535	# unregistered ports
  acl Safe_ports port 280		# http-mgmt
  acl Safe_ports port 488		# gss-http
  acl Safe_ports port 591		# filemaker
  acl Safe_ports port 777		# multiling http
  acl CONNECT method CONNECT
  #
  # Recommended minimum Access Permission configuration:
  #
  # Deny requests to certain unsafe ports
  http_access deny !Safe_ports
  # Deny CONNECT to other than secure SSL ports
  http_access deny CONNECT !SSL_ports
  # Only allow cachemgr access from localhost
  http_access allow localhost manager
  http_access deny manager
  # We strongly recommend the following be uncommented to protect innocent
  # web applications running on the proxy server who think the only
  # one who can access services on "localhost" is a local user
  #http_access deny to_localhost
  #
  # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
  #
  # Example rule allowing access from your local networks.
  # Adapt localnet in the ACL section to list your (internal) IP networks
  # from where browsing should be allowed
  http_access allow localnet allowed_sites
  http_access allow localnet download_src
  http_access allow localhost
  # Add this for CodeBuild to access CWL end point, caching and upload artifacts S3 bucket end point
  https_port 3130 cert=/etc/squid/ssl/squid.pem ssl-bump intercept
  acl SSL_port port 443
  http_access allow SSL_port
  acl allowed_https_sites ssl::server_name .amazonaws.com
  acl step1 at_step SslBump1
  acl step2 at_step SslBump2
  acl step3 at_step SslBump3
  ssl_bump peek step1 all
  ssl_bump peek step2 allowed_https_sites
  ssl_bump splice step3 allowed_https_sites
  ssl_bump terminate step2 all
  # And finally deny all other access to this proxy
  http_access deny all
  # Squid normally listens to port 3128
  http_port 3128
  # Uncomment and adjust the following to add a disk cache directory.
  #cache_dir ufs /var/spool/squid 100 16 256
  # Leave coredumps in the first cache dir
  coredump_dir /var/spool/squid
  #
  # Add any of your own refresh_pattern entries above these.
  #
  refresh_pattern ^ftp:		1440	20%	10080
  refresh_pattern ^gopher:	1440	0%	1440
  refresh_pattern -i (/cgi-bin/|\?) 0	0%	0
  refresh_pattern .		0	20%	4320