將 Amazon ECS Windows 容器與無網域搭配使用 gMSA 使用 AWS CLI

產生金鑰分佈服務根金鑰

KDS 根金鑰和 gMSA 許可是使用受 AWS 管 Microsoft AD 設定。

如果您尚未建立 gMSA 網域中的服務帳戶，您必須先產生金鑰分發服務 （KDS） 根金鑰。KDS 負責建立、輪換和釋放 gMSA 授權主機的密碼。何時ccg.exe需要擷取 gMSA 憑證，它會聯絡 KDS以擷取目前的密碼。

若要檢查是否已建立KDS根金鑰，請使用 ActiveDirectory PowerShell 模組在網域控制器上執行具有網域管理員權限的下列 PowerShell cmdlet。如需模組的詳細資訊，請參閱 Microsoft Learn 網站上的ActiveDirectory 模組。

PS C:\> Get-KdsRootKey

如果命令傳回金鑰 ID，您可以略過此步驟的其餘部分。否則，請執行下列命令來建立KDS根金鑰：

PS C:\> Add-KdsRootKey -EffectiveImmediately

雖然 命令EffectiveImmediately的引數表示金鑰立即生效，但您需要等待 10 小時，才能複寫KDS根金鑰並可用於所有網域控制器。

建立 gMSA 帳戶

若要建立 gMSA 帳戶，並允許 ccg.exe擷取 gMSA 密碼，從可存取網域的 Windows Server 或用戶端執行下列 PowerShell 命令。ExampleAccount 以您想要的 名稱取代 gMSA 帳戶。

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. 建立一個具有不會過期的永久密碼的使用者。這些憑證會儲存在 中， AWS Secrets Manager 並由每個任務用來加入網域。

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. 安裝要建立的 PowerShell 模組 CredSpec Active Directory 中的物件並輸出 CredSpec JSON.

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

將上一個命令的JSON輸出複製到名為 的檔案gmsa-cred-spec.json。這是 CredSpec file. 其在步驟 3 步驟 3：修改您的 CredSpec JSON 包含無網域 gMSA 資訊 中使用。

將下列資訊新增至 CredSpec 檔案ActiveDirectoryConfig。將 取代ARN為上一個步驟中 Secrets Manager 中的秘密。

請注意， PluginGUID值必須符合下列範例程式碼片段GUID中的 ，且為必要項目。

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

您也可以使用此格式ARN的 ，在SSM參數存放區中使用秘密：\"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\"。

在您修改 之後 CredSpec 檔案，其應如下所示：

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

複製 CredSpec 檔案到您執行 AWS CLI 命令所在的電腦或環境。

執行下列 AWS CLI 命令以上傳 CredSpec 至 Amazon S3。將 MyBucket 取代為您的 Amazon S3 儲存貯體的名稱。您可以將檔案作為物件儲存在任何儲存貯體和位置，但必須在附加至任務執行角色的政策中允許存取該儲存貯體和位置。

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

若要建立任務執行角色，請參閱 建立任務執行 角色。預設許可允許容器執行個體從 Amazon Elastic Container Registry stdout和stderr應用程式提取容器映像，以記錄到 Amazon CloudWatch Logs。

由於角色需要本教學課程的自訂許可，因此您可以為該角色指定與 ecsTaskExecutionRole 不同的名稱。本教學課程將在後續步驟中使用 ecsTaskExecutionRole。

建立自訂原則 (僅存在於此角色的內嵌政策或可重複使用的政策)，以新增下列許可。將第一個陳述式Resource中的 ARN的 取代為 Amazon S3 儲存貯體和位置，並將第二個取代Resource為 Secrets Manager 中秘密ARN的 。

如果您使用自訂金鑰在 Secrets Manager 中加密密碼，則也必須允許金鑰使用 kms:Decrypt。

如果您使用 SSM Parameter Store 而非 Secrets Manager，則必須允許 ssm:GetParameter 參數，而不是 secretsmanager:GetSecretValue。

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

建立稱為 ecs-tasks-trust-policy.json 的檔案，其中具有以下內容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

建立 IAM 角色。您可以替換名稱 ecs-exec-demo-task-role，但保留以下步驟的名稱。

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

您可以刪除檔案 ecs-tasks-trust-policy.json。

建立稱為 ecs-exec-demo-task-role-policy.json 的檔案，其中具有以下內容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

建立IAM政策，並將其連接至上一步的角色。

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

您可以刪除檔案 ecs-exec-demo-task-role-policy.json。

建立稱為 windows-gmsa-domainless-task-def.json 的檔案，其中具有以下內容：

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

執行下列命令來註冊任務定義：

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

若要啟動在 ECS中為 Amazon 設定的 Amazon EC2 Windows 執行個體 AWS Management Console，請參閱 啟動 Amazon ECS Windows 容器執行個體。在使用者資料的步驟停止。

用於 gMSA，使用者資料必須在啟動ECS容器代理程式ECS_GMSA_SUPPORTED之前設定環境變數。

對於 ECS Exec，代理程式必須以引數 開頭-EnableTaskIAMRole。

若要防止任務到達 EC2 IMDS Web 服務以擷取IAM角色憑證，請新增 引數 來保護執行個體角色-AwsvpcBlockIMDS。這只適用於使用 awsvpc 網路模式的任務。

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

檢閱 Summary (摘要) 面板中執行個體組態的摘要，並在準備就緒時選擇 Launch instance (啟動執行個體)。

列出叢集中的容器執行個體。容器執行個體的 ID 與EC2執行個體的 ID 不同。

$ aws ecs list-container-instances

輸出：

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

例如，526bd5d0ced448a788768334e79010fd 是有效的容器執行個體 ID。

使用上一個步驟中的容器執行個體 ID 來取得容器執行個體的詳細資訊。使用 ID 取代 MyContainerInstanceID。

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

請注意，輸出內容非常長。

驗證 attributes 清單中是否存在一個索引鍵為 name 且值為 ecs.capability.gmsa-domainless 的物件。下列為物件的範例。

輸出：

{
    "name": "ecs.capability.gmsa-domainless"
}

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command --cluster windows-domainless-gmsa-cluster

請注意，任務 ID 是由命令傳回。

執行下列命令，以驗證任務已開始。這個命令會等待，直到任務開始時才傳回 Shell 提示字元。使用前一步驟中的任務 ID，取代 MyTaskID。

$ aws ecs wait tasks-running --task MyTaskID

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

輸出將是 PowerShell 提示。

在容器內的 PowerShell 終端機中執行下列命令。

PS C:\> klist get ExampleAccount$

在輸出中，請注意 Principal 是您先前所建立的項目。

停止任務。使用步驟 12 中的任務 ID 步驟 12：執行 Windows 任務 取代 MyTaskID。

$ aws ecs stop-task --task MyTaskID

終止 Amazon EC2執行個體。之後，叢集中的容器執行個體將會在一小時後自動刪除。

您可以使用 Amazon EC2主控台尋找並終止執行個體。或者，您可以執行下列命令。若要執行 命令，請在步驟 1 的aws ecs describe-container-instances命令輸出中找到EC2執行個體 ID。i-10a64379 步驟 11：驗證容器執行個體是EC2執行個體 ID 的範例。

$ aws ec2 terminate-instances --instance-ids MyInstanceID

刪除 CredSpec Amazon S3 中的 檔案。將 MyBucket 取代為您的 Amazon S3 儲存貯體的名稱。

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

從 Secrets Manager 中刪除密碼。如果您改為使用SSM參數存放區，請刪除 參數。

以下命令使用由 sh 和相容 shell 所使用的反斜線接續字元。此命令與 不相容 PowerShell。您必須修改 命令，才能搭配 使用 PowerShell。

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

取消註冊並刪除任務定義。透過取消註冊任務定義，您可以將其標記為非作用中狀態，以便無法用於啟動新任務。然後，您可以刪除任務定義。

1. 透過指定版本取消註冊任務定義。ECS 會自動產生任務定義的版本，編號從 1 開始。您引用的版本與容器映像上的標籤格式相同，例如 :1。

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. 刪除任務定義。

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

（選用） 如果您建立ECS叢集，請刪除叢集。

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster