将 gMSA 用于 Amazon ECS 上的 EC2 Linux 容器

决定是要将实例加入域，还是要使用无域 gMSA。

• 将 EC2 实例加入 Active Directory 域

  • 按用户数据加入实例

    在 EC2 启动模板中，将加入 Active Directory 域的步骤添加到 EC2 用户数据中。多个 Amazon EC2 Auto Scaling 组可以使用同一个启动模板。

    您可以使用 Fedora 文档中的这些步骤加入 Active Directory 或 FreeIPA 域。

• 为无域 gMSA 创建 Active Directory 用户

  credentials-fetcher 进程守护程序有一个称为无域 gMSA 的功能。此功能需要域，但是无需 EC2 实例加入该域。通过使用无域 gMSA，容器实例不会加入该域，实例上的其他应用程序无法使用凭证访问该域，并且加入不同域的任务可以在同一个实例上运行。相反，您可以在 CredSpec 文件中的 AWS Secrets Manager 中提供密钥的名称。密钥必须包含用户名、密码和要登录到的域。

  该功能受支持，并且可以与 Linux 和 Windows 容器结合使用。

  此功能与该 gMSA support for non-domain-joined container hosts 功能类似。有关 Windows 功能的更多信息，请参阅 Microsoft Learn 网站上的 gMSA 架构和改进。

  1. 在 Active Directory 域中创建用户。Active Directory 中的用户必须具有访问您在任务中使用的 gMSA 服务账户的权限。

  2. 在 Active Directory 中创建用户后，请在 AWS Secrets Manager 中创建密钥。有关更多信息，请参阅创建一个 AWS Secrets Manager 密钥。

  3. 将用户的用户名、密码和域分别输入名为 username、password 和 domainName 的 JSON 键值对。

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. 向 CredSpec 文件中添加服务账户的配置。其他 HostAccountConfig 中包含 Secrets Manager 密钥的 Amazon 资源名称（ARN）。

     在 Windows 上，PluginGUID 必须与以下示例代码段中的 GUID 相匹配。在 Linux 上，PluginGUID 会被忽略。将 MySecret 示例替换为密钥的 Amazon 资源名称（ARN）。

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. 无域 gMSA 功能需要任务执行角色中的额外权限。执行步骤 （可选）无域 gMSA 密钥。

配置实例并安装 credentials-fetcher 进程守护程序

您可以在 EC2 启动模板中使用用户数据脚本安装 credentials-fetcher 进程守护程序。以下示例演示了两种类型的用户数据，cloud-config YAML 或 bash 脚本。这些示例适用于 Amazon Linux 2023（AL2023）。将 MyCluster 替换为要让这些实例加入的 Amazon ECS 集群的名称。

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher"

• bash 脚本

  如果您更熟悉 bash 脚本并且有多个变量要写入 /etc/ecs/ecs.config，请使用以下 heredoc 格式。此格式会将以 cat 和 EOF 开头的行之间的所有内容写入到配置文件。

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetcher && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

您可以在 /etc/ecs/ecs.config 中设置的 credentials-fetcher 进程守护程序有一些可选的配置变量。建议您在 YAML 块中或类似于前面的示例的 heredoc 中设置用户数据中的变量。这样，在多次编辑文件时，可以防止可能出现的部分配置问题。有关 ECS 代理配置的更多信息，请参阅 GitHub 上的 Amazon ECS 容器代理。

（可选）无域 gMSA 密钥

如果您使用实例未加入域的无域方法，请按照此步骤操作。

您还必须将以下权限作为内联策略添加到任务执行 IAM 角色。这样做可以让 credentials-fetcher 进程守护程序访问 Secrets Manager 密钥。将 MySecret 示例替换为 Resource 列表中的密钥的 Amazon 资源名称（ARN）。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

决定是使用 SSM Parameter Store 还是 S3 来存储 CredSpec

Amazon ECS 支持使用以下方法在任务定义的 credentialSpecs 字段中引用文件路径。

如果您将实例加入单个域，请使用字符串中 ARN 开头的前缀 credentialspec:。如果您使用无域 gMSA，则使用 credentialspecdomainless:。

有关 CredSpec 的更多信息，请参阅 凭证规范文件。

• Amazon S3 存储桶

  将凭证规范添加到 Amazon S3 存储桶。然后在任务定义的 credentialSpecs 字段中引用 Amazon S3 存储桶的 Amazon 资源名称（ARN）。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  为了让您的任务可以访问 S3 存储桶，请将以下权限作为内联策略添加到 Amazon ECS 任务执行 IAM 角色中。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• SSM Parameter Store 参数

  将凭证规范添加到 SSM Parameter Store 参数中。然后在任务定义的 credentialSpecs 字段中引用 SSM Parameter Store 参数的 Amazon 资源名称（ARN）。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  为了让您的任务可以访问 SSM Parameter Store 参数，请将以下权限作为内联策略添加到 Amazon ECS 任务执行 IAM 角色。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }