在 Amazon 上使用gMSAEC2Linux容器 ECS

決定是否要將執行個體加入網域，或是要使用無網域 gMSA。

• 將EC2執行個體加入作用中目錄網域

  • 透過使用者資料加入執行個體

    在EC2啟動範本中新增將 Active Directory 網域加入您的EC2使用者資料的步驟。多個 Amazon EC2 Auto Scaling 群組可以使用相同的啟動範本。

    您可以在 Fedora 文件中使用這些步驟加入 Active Directory 或 FreeIPA 網域。

• 建立無網域 gMSA 的 Active Directory 使用者

  credentials-fetcher 常駐程式具有稱為無網域 gMSA 的功能。此功能需要網域，但EC2執行個體不需要加入網域。使用無網域 gMSA 時，容器執行個體不會加入網域，執行個體上的其他應用程式無法使用憑證來存取網域，而加入不同網域的任務則可在相同的執行個體上執行。相反地，您會在 CredSpec 檔案中提供 AWS Secrets Manager 祕密的名稱。祕密必須包含使用者名稱、密碼和要登入的網域。

  此功能受到支援，可與 Linux 和 Windows 容器搭配使用。

  此功能與 gMSA support for non-domain-joined container hosts 功能類似。如需有關 Windows 功能的詳細資訊，請參閱 Microsoft Learn 網站上的 gMSA 架構和改進。

  1. 在 Active Directory 網域中建立使用者。Active Directory 中的使用者必須具有存取您在任務中使用之 gMSA 服務帳戶的權限。

  2. 在中建立密碼之後 AWS Secrets Manager，在使用中目錄中建立使用者。如需詳細資訊，請參閱建立 AWS Secrets Manager 密碼。

  3. 將使用者的使用者名稱、密碼和網域輸入到名為username、password和的JSON索引鍵值配對domainName中。

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. 將組態新增至服務帳戶的 CredSpec 檔案。附加HostAccountConfig包含 Secrets Manager 秘密的 Amazon 資源名稱（ARN）。

     GUID在 Windows 上，PluginGUID必須符合下列範例程式碼片段中的。在 Linux 上，會忽略 PluginGUID。MySecret用您的秘密的 Amazon 資源名稱（ARN）替換為示例。

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. 無網域 gMSA 功能需要任務執行角色中的其他許可。請遵循步驟 (選用) 無網域 gMSA 祕密。

設定執行個體並安裝 credentials-fetcher 常駐程式

您可以在 EC2 Launch 範本中使用使用者資料指令碼安裝credentials-fetcher協助程式。以下範例示範兩種類型的使用者資料、cloud-config YAML 或 bash 指令碼。這些範例適用於 Amazon 2023 (AL2023)。以您希望這些執行個體加入的 Amazon ECS 叢集名稱取MyCluster代。

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetch && systemctl enable credentials-fetcher"

• bash 指令碼

  如果您比較習慣 bash 指令碼，並且有多個要寫入 /etc/ecs/ecs.config 的變數，請使用以下 heredoc 格式。此格式會將開頭為 cat 和 EOF 之行間的所有項目寫入組態檔案。

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetch && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

選用組態變數適用於 credentials-fetcher 常駐程式，您可以在 /etc/ecs/ecs.config 中設定該變數。我們建議您在YAML塊中的用戶數據中設置變量或heredoc類似於前面的例子。這樣做可防止多次編輯檔案時可能會發生的部分組態問題。如需ECS代理程式組態的詳細資訊，請參閱上的 Amazon ECS 容器代理程式 GitHub。

(選用) 無網域 gMSA 祕密

如果您使用執行個體未加入網域的無網域方法，請依照此步驟執行。

您必須將下列權限作為內嵌原則新增至工作執行IAM角色。這樣做可讓 credentials-fetcher 常駐程式存取 Secrets Manager 的祕密。將此範MySecret例取代為Resource清單中密碼的 Amazon 資源名稱 (ARN)。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

決定您是使用SSM參數存放區還是 S3 來存放 CredSpec

Amazon ECS 支援下列方式來參考任務定義credentialSpecs欄位中的檔案路徑。

如果您將執行個體聯結至單一網域，請使用字串ARN中開頭credentialspec:的前置詞。如果您使用無網域 gMSA，請使用 credentialspecdomainless:。

如需 CredSpec 的詳細資訊，請參閱 憑證規格檔案。

• Amazon S3 儲存貯體

  將憑證規格新增至 Amazon S3 儲存貯體。然後，在任務定義的credentialSpecs欄位中參考 Amazon S3 儲存貯體的 Amazon 資源名稱 (ARN)。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  若要讓您的任務存取 S3 儲存貯體，請將以下許可作為內嵌政策新增至 Amazon ECS 任務執行IAM角色。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::amzn-s3-demo-bucket",
                  "arn:aws:s3:::amzn-s3-demo-bucket/{object}"
              ]
          }
      ]
  }

• SSM 參數存放區參數

  將認證規格新增至SSM參數存放區參數。然後，在任務定義的credentialSpecs欄位中參考SSM參數存放區參數的 Amazon 資源名稱 (ARN)。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  若要讓您的任務存取SSM參數存放區參數，請將以下許可作為內嵌政策新增至 Amazon ECS 任務執行IAM角色。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }