使用 AWS 工作负载凭证提供商

使用存储库中提供的 install 脚本。

该脚本在启动时生成一个随机的 SSRF 令牌并将其存储在文件 /var/run/awssmatoken 中。安装脚本创建的 aws-wcp-token 组可以读取该令牌。

要允许您的应用程序读取令牌文件，您需要将应用程序在其下运行的用户账户添加到 aws-wcp-token 组。例如，您可以使用以下 usermod 命令授予应用程序读取令牌文件的权限，其中<APP_USER>是应用程序运行时使用的用户 ID。

sudo usermod -aG aws-wcp-token <APP_USER>

安装开发工具

在 AL2023 等 RPM-based 系统上，安装开发工具组：

sudo yum -y groupinstall "Development Tools"

安装 Rust

按照 Rust 文档中安装 Rust 的说明进行操作：

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
. "$HOME/.cargo/env"

建立提供商

使用 cargo build 命令构建 AWS 工作负载凭证提供程序：

cargo build --release

您将在 target/release/aws-workload-credentials-provider 下找到可执行文件。

安装开发工具

在 Ubuntu 等 Debian-based 系统上，安装基本编译包：

sudo apt install build-essential

安装 Rust

按照 Rust 文档中安装 Rust 的说明进行操作：

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
. "$HOME/.cargo/env"

建立提供商

使用 cargo build 命令构建 AWS 工作负载凭证提供程序：

cargo build --release

您将在 target/release/aws-workload-credentials-provider 下找到可执行文件。

设置开发环境

按照 Microsoft Windows 文档中的 在 Windows 上针对 Rust 设置开发环境中的说明进行操作。

建立提供商

使用 cargo build 命令构建 AWS 工作负载凭证提供程序：

cargo build --release

您将在 target/release/aws-workload-credentials-provider.exe 下找到可执行文件。

安装交叉编译工具

安装 cargo-xwin：

cargo install cargo-xwin

添加 Rust 构建目标

安装 Windows MSVC 编译目标：

rustup target add x86_64-pc-windows-msvc

针对 Windows 构建

Cross-compile Windows 的提供商：

cargo xwin build --release --target x86_64-pc-windows-msvc

您将在 target/x86_64-pc-windows-msvc/release/aws-workload-credentials-provider.exe 处找到可执行文件。

安装软件包

安装 RPM 软件包。包管理器会为您找到最新版本：

sudo dnf install aws-workload-credentials-provider

RPM 包会自动设置以下内容：

密钥管理器功能在安装后立即可用。当您使用 RPM 包进行安装时， AWS 工作负载凭证提供程序会从默认路径读取配置选项/etc/aws-workload-credentials-provider/config.toml。要自定义配置，请创建或编辑该文件。

（可选）启用证书管理功能

要从中检索和刷新证书 AWS Certificate Manager，请参阅《AWS Certificate Manager 用户指南》中的证书自动化。

配置应用程序权限

要允许您的应用程序读取 SSRF 令牌文件，请将应用程序的用户帐户添加到群组中aws-wcp-token：

sudo usermod -aG aws-wcp-token APP_USER

APP_USER替换为应用程序运行时使用的用户 ID。

（可选）授予访问提供商日志的权限

要读取提供商日志，请将您的用户添加到awscreds群组，然后注销并重新登录（或运行newgrp awscreds）以使更改生效：

sudo usermod -aG awscreds APP_USER

导航到配置目录

更改到配置目录：

cd aws_workload_credentials_provider_common/configuration

运行安装脚本

运行存储库中提供的 install 脚本。

该脚本在启动时生成一个随机的 SSRF 令牌并将其存储在文件 /var/run/awssmatoken 中。安装脚本创建的 aws-wcp-token 组可以读取该令牌。

配置应用程序权限

将运行应用程序的用户账户添加到 aws-wcp-token 组中：

sudo usermod -aG aws-wcp-token APP_USER

APP_USER替换为应用程序运行时使用的用户 ID。

创建提供商 Dockerfile

为 AWS 工作负载凭证提供商 sidecar 容器创建 Dockerfile：

# Use the latest Debian image as the base
FROM debian:latest

# Set the working directory inside the container
WORKDIR /app 

# Copy the Workload Credentials Provider binary to the container
COPY aws-workload-credentials-provider . 

# Install any necessary dependencies
RUN apt-get update && apt-get install -y ca-certificates 

# Set the entry point to run the provider
ENTRYPOINT ["./aws-workload-credentials-provider", "sm", "start"]

创建应用程序 Dockerfile

为您的客户端应用程序创建一个 Dockerfile。

创建 Docker Compose 文件

创建 Docker Compose 文件来运行具有共享网络接口的两个容器：

version: '3'
services:
    client-application:
    container_name: client-application
    build:
        context: .
        dockerfile: Dockerfile.client
    command: tail -f /dev/null  # Keep the container running
    

    workload-credentials-provider:
    container_name: workload-credentials-provider
    build:
        context: .
        dockerfile: Dockerfile.provider
    network_mode: "container:client-application"  # Attach to the client-application container's network
    depends_on:
        - client-application

复制提供商二进制文件

将 aws-workload-credentials-provider 二进制文件复制到包含您的 Dockerfile 和 Docker Compose 文件的同一个目录中。

构建并运行容器

使用 Docker Compose 构建并运行容器：

docker-compose up --build

后续步骤

现在，您可以使用 AWS 工作负载凭证提供程序从客户端容器检索密钥。有关更多信息，请参阅 使用检索机密 AWS 工作负载凭证提供商。

打包提供者层

在 AWS 工作负载凭证提供程序代码包的根目录下，运行以下命令：

AWS_ACCOUNT_ID=AWS_ACCOUNT_ID
LAMBDA_ARN=LAMBDA_ARN

# Build the release binary 
cargo build --release --target=x86_64-unknown-linux-gnu

# Copy the release binary into the `bin` folder
mkdir -p ./bin
cp ./target/x86_64-unknown-linux-gnu/release/aws-workload-credentials-provider ./bin/aws-workload-credentials-provider

# Copy the `secrets-manager-provider-extension.sh` example script into the `extensions` folder.
mkdir -p ./extensions
cp aws_secretsmanager_provider/examples/example-lambda-extension/secrets-manager-provider-extension.sh ./extensions

# Zip the extension shell script and the binary 
zip secrets-manager-provider-extension.zip bin/* extensions/*

# Publish the layer version
LAYER_VERSION_ARN=$(aws lambda publish-layer-version \
    --layer-name secrets-manager-provider-extension \
    --zip-file "fileb://secrets-manager-provider-extension.zip" | jq -r '.LayerVersionArn')

配置 SSRF 令牌

提供商的默认配置会自动将 SSRF 令牌设置为在预设变量AWS_SESSION_TOKEN或AWS_CONTAINER_AUTHORIZATION_TOKEN环境变量（启用的 Lambda 函数的后一个变量）中设置的值。 SnapStart 或者，您可以改用自己的 Lambda 函数的任意值定义 AWS_TOKEN 环境变量，因为该变量优先于其他两个变量。如果您选择使用 AWS_TOKEN 环境变量，则必须通过 lambda:UpdateFunctionConfiguration 调用来设置该环境变量。

将层附加到函数

将层版本附加到 Lambda 函数：

# Attach the layer version to the Lambda function
aws lambda update-function-configuration \
    --function-name $LAMBDA_ARN \
    --layers "$LAYER_VERSION_ARN"

更新函数代码

更新您的 Lambda 函数以使用 X-Aws-codes-Secrets-Token 标头值（设置为来自上述环境变量之一的 SSRF 令牌值）查询 http://localhost:2773/secretsmanager/get?secretId=MyTest，从而检索密钥。务必在应用程序代码中实现重试逻辑，以适应 Lambda 扩展初始化和注册中的延迟。

测试此函数

调用 Lambda 函数以验证是否已正确获取密钥。