gMSAs用于Linux容器

决定是要将实例加入域，还是要使用无域名。gMSA

• 将 EC2 实例加入活动目录域

  • 通过用户数据加入实例

    在 EC2 启动模板中将加入 Active Directory 域的步骤添加到 EC2 用户数据中。多个 Amazon EC2 Auto Scaling 组可以使用相同的启动模板。

    你可以在 Fedora 文档中使用这些步骤加入活动目录或FreeIPA域名。

• 为无域名创建活动目录用户 gMSA

  该credentials-fetcher守护程序有一个叫做无域gMSA的功能。此功能需要一个域，但是 EC2 实例不需要加入该域。通过使用 domainlessgMSA，容器实例不会加入该域，实例上的其他应用程序无法使用凭证访问该域，并且加入不同域的任务可以在同一个实例上运行。相反，您可以在CredSpec文件Amazon Secrets Manager中提供密钥的名称。密钥必须包含用户名、密码和要登录的域。

  该功能受支持，并且可以用于 Linux 和 Windows 容器。

  此功能与该gMSA support for non-domain-joined container hosts功能类似。有关 Windows 功能的更多信息，请参阅 Microsoft Learn 网站上的gMSA架构和改进。

  1. 在你的活动目录域中注册一个用户。Active Directory 中的用户必须具有访问您在任务中使用的gMSA服务帐户的权限。

  2. 在 Amazon Secrets Manager Active Directory 中创建用户后，在中创建密钥。有关更多信息，请参阅创建Amazon Secrets Manager密钥。

  3. 将用户的用户名、密码和域分别输入名为password和domainName的 JSON 键值对。username

     {"username":"username","password":"passw0rd", "domainName":"example.com"}

  4. 向CredSpec文件中添加服务帐户的配置。附加HostAccountConfig内容包含 Secrets Manager 中密钥的亚马逊资源名称 (ARN)。

     在 Windows 上，PluginGUID必须与以下示例片段中的 GUID 相匹配。在 Linux 上，会PluginGUID被忽略。用您的MySecret密钥的亚马逊资源名称 (ARN) 替换为示例。

         "ActiveDirectoryConfig": {
             "HostAccountConfig": {
                 "PortableCcgVersion": "1",
                 "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
                 "PluginInput": {
                     "CredentialArn": "arn:aws:secretsmanager:aws-region:111122223333:secret:MySecret"
                 }
             }

  5. 无域gMSA功能需要任务执行角色中的额外权限。按照步骤操作（可选）无域密钥 gMSA。

配置实例并安装credentials-fetcher守护程序

您可以credentials-fetcher在 EC2 启动模板中安装带有用户数据脚本的守护程序。以下示例演示了两种类型的用户数据cloud-configYAML或bash脚本。这些示例适用于亚马逊 Linux 2023 (AL2023)。MyCluster替换为您希望这些实例加入的 Amazon ECS 集群的名称。

• cloud-config YAML

  Content-Type: text/cloud-config
  package_reboot_if_required: true
  packages:
    # prerequisites
    - dotnet
    - realmd
    - oddjob
    - oddjob-mkhomedir
    - sssd
    - adcli
    - krb5-workstation
    - samba-common-tools
    # https://github.com/aws/credentials-fetcher gMSA credentials management for containers
    - credentials-fetcher
  write_files:
  # configure the ECS Agent to join your cluster.
  # replace MyCluster with the name of your cluster.
  - path: /etc/ecs/ecs.config
    owner: root:root
    permissions: '0644'
    content: |
      ECS_CLUSTER=MyCluster
      ECS_GMSA_SUPPORTED=true
  runcmd:
  # start the credentials-fetcher daemon and if it succeeded, make it start after every reboot
  - "systemctl start credentials-fetcher"
  - "systemctl is-active credentials-fetch && systemctl enable credentials-fetcher"

• bash脚本

  如果您更熟悉bash脚本并且有多个变量要写入/etc/ecs/ecs.config，请使用以下heredoc格式。此格式会将以 cat 和 EOF 开头的行之间的所有内容写入到配置文件。

  
  #!/usr/bin/env bash
  set -euxo pipefail
  
  # prerequisites
  timeout 30 dnf install -y dotnet realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation samba-common-tools
  # install https://github.com/aws/credentials-fetcher gMSA credentials management for containers
  timeout 30 dnf install -y credentials-fetcher
  
  # start credentials-fetcher
  systemctl start credentials-fetcher
  systemctl is-active credentials-fetch && systemctl enable credentials-fetcher
  
  cat <<'EOF' >> /etc/ecs/ecs.config
  ECS_CLUSTER=MyCluster
  ECS_GMSA_SUPPORTED=true
  EOF

您可以为credentials-fetcher守护程序设置一些可选的配置变量。/etc/ecs/ecs.config我们建议您在 YAML 块中设置用户数据中的变量，或者heredoc类似于前面的示例。这样可以防止多次编辑文件时可能出现的部分配置问题。有关 ECS 代理配置的更多信息，请参阅上的 Amazon ECS 容器代理 GitHub。

（可选）无域密钥 gMSA

如果您使用无域方法，但实例未加入域，请按照此步骤操作。

您必须将以下权限作为内联策略添加到任务执行 IAM 角色中。这样做可以让credentials-fetcher守护程序访问 Secrets Manager 密钥。将MySecret示例替换为列表中您的密钥的亚马逊资源名称 (ARN)。Resource

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:ssm:aws-region:111122223333:secret:MySecret"
            ]
        }
    ]
}

决定是使用 SSM 参数存储还是 S3 来存储 CredSpec

Amazon ECS 支持使用以下方法在任务定义的 credentialSpecs 字段中引用文件路径。

如果您将实例加入单个域，请使用字符串中 ARN 开头的前缀credentialspec:。如果您使用无域名gMSA，则使用。credentialspecdomainless:

有关 CredSpec 的更多信息，请参阅 凭证规格文件。

• Amazon S3 存储桶

  将凭证规范添加到 Amazon S3 存储桶。然后，在任务定义credentialSpecs字段中引用 Amazon S3 存储桶的亚马逊资源名称 (ARN)。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:s3:::${BucketName}/${ObjectName}"
              ],
              ...
          }
      ],
      ...
  }

  要向您的任务授予对 S3 存储桶的访问权限，请将以下权限作为内联策略添加到 Amazon ECS 任务执行 IAM 角色中。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "VisualEditor",
              "Effect": "Allow",
              "Action": [
                  "s3:Get*",
                  "s3:List*"
              ],
              "Resource": [
                  "arn:aws:s3:::{bucket_name}",
                  "arn:aws:s3:::{bucket_name}/{object}"
              ]
          }
      ]
  }

• SSM Parameter Store 参数

  将凭证规范添加到 SSM 参数存储参数中。然后，在任务定义credentialSpecs字段中引用 SSM 参数存储参数的亚马逊资源名称 (ARN)。

  {
      "family": "",
      "executionRoleArn": "",
      "containerDefinitions": [
          {
              "name": "",
              ...
              "credentialSpecs": [
                  "credentialspecdomainless:arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ],
              ...
          }
      ],
      ...
  }

  要向您的任务授予访问 SSM Parameter Store 参数的权限，请将以下权限作为内联策略添加到 Amazon ECS 任务执行 IAM 角色中。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ssm:GetParameters"
              ],
              "Resource": [
                  "arn:aws:ssm:aws-region:111122223333:parameter/parameter_name"
              ]
          }
      ]
  }