本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

了解如何使用 Amazon gMSAs 的 ECS for EC2 Windows 容器

Amazon ECS 透過稱為群組受管服務帳戶 (gMSA) 的特殊類型服務帳戶支援 Windows 容器的 Active Directory 身分驗證。

Windows 型網路應用程式，例如 .NET 應用程式通常會使用 Active Directory 來促進使用者和服務之間的身分驗證和授權管理。開發人員通常會針對此目的設計其應用程式，以與 Active Directory 整合，並在已加入網域的伺服器上執行。由於 Windows 容器無法加入網域，因此您必須將 Windows 容器設定為使用 gMSA 執行。

使用 gMSA 執行的 Windows 容器依賴其主機 Amazon EC2 執行個體從 Active Directory 網域控制器擷取 gMSA 憑證，並將其提供給容器執行個體。如需詳細資訊，請參閱 Create gMSAs for Windows 容器。

考量事項

使用 gMSAs for Windows 容器時，應考慮下列事項：

必要條件

在使用 之前 gMSA 對於使用 Amazon ECS 的 Windows 容器功能，請務必完成下列事項：

設定 gMSA 適用於 Amazon ECS 上的 Windows 容器

設定 gMSA 對於 Amazon ECS 上的 Windows Containers，您可以遵循完整的教學課程，其中包含設定先決條件 將 Amazon ECS Windows 容器與無網域搭配使用 gMSA 使用 AWS CLI。

下列各節涵蓋 CredSpec 組態的詳細資訊。

範例 CredSpec

Amazon ECS 使用包含 的憑證規格檔案 gMSA 用來傳播 的中繼資料 gMSA Windows 容器的帳戶內容。您可以產生登入資料規格檔案，並在任務定義的 credentialSpec 欄位中參考該檔案。登入資料規格檔案不包含任何秘密。

以下是範例登入資料規格檔案：

{
    "CmsPlugins": [
        "ActiveDirectory"
    ],
    "DomainJoinConfig": {
        "Sid": "S-1-5-21-2554468230-2647958158-2204241789",
        "MachineAccountName": "WebApp01",
        "Guid": "8665abd4-e947-4dd0-9a51-f8254943c90b",
        "DnsTreeName": "contoso.com",
        "DnsName": "contoso.com",
        "NetBiosName": "contoso"
    },
    "ActiveDirectoryConfig": {
        "GroupManagedServiceAccounts": [
            {
                "Name": "WebApp01",
                "Scope": "contoso.com"
            }
        ]
    }
}

無網域 gMSA setup

我們建議無網域 gMSA 而不是將容器執行個體加入單一網域。透過使用無網域 gMSA，容器執行個體不會加入網域，執行個體上的其他應用程式無法使用憑證存取網域，而加入不同網域的任務可以在同一個執行個體上執行。

在任務定義中參考登入資料規格檔案

Amazon ECS 支援下列方法，可在任務定義credentialSpecs欄位中參考檔案路徑。對於每個選項，您可以提供 credentialspec:或 domainlesscredentialspec:，取決於您是將容器執行個體加入單一網域，還是使用無網域 gMSA，分別是 。

Amazon S3 儲存貯體

將憑證規格新增至 Amazon S3 儲存貯體，然後在任務定義credentialSpecs欄位中參考 Amazon S3 儲存貯體的 Amazon Resource Name (ARN)。

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
            ],
            ...
        }
    ],
    ...
}

您還必須將下列許可作為內嵌政策新增至 Amazon ECS 任務執行 IAM 角色，以授予任務對 Amazon S3 儲存貯體的存取權。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::{bucket_name}",
                "arn:aws:s3:::{bucket_name}/{object}"
            ]
        }
    ]
}

SSM 參數存放區參數

將憑證規格新增至 SSM Parameter Store 參數，然後在任務定義credentialSpecs欄位中參考 SSM Parameter Store 參數的 Amazon Resource Name (ARN)。

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspecdomainless:arn:aws:ssm:region:111122223333:parameter/parameter_name"
            ],
            ...
        }
    ],
    ...
}

您還必須將下列許可作為內嵌政策新增至 Amazon ECS 任務執行 IAM 角色，以授予任務對 SSM 參數存放區參數的存取權。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": [
                "arn:aws:ssm:region:111122223333:parameter/parameter_name"
            ]
        }
    ]
}

本機檔案

使用本機檔案中的登入資料規格詳細資訊，在任務定義的 credentialSpecs 欄位中參考檔案路徑。參照的檔案路徑必須相對於 C:\ProgramData\Docker\CredentialSpecs 目錄，並使用反斜線 (「\」) 作為檔案路徑分隔符號。

{
    "family": "",
    "executionRoleArn": "",
    "containerDefinitions": [
        {
            "name": "",
            ...
            "credentialSpecs": [
                "credentialspec:file://CredentialSpecDir\CredentialSpecFile.json"
            ],
            ...
        }
    ],
    ...
}