教程：在无域gMSA中使用 Windows 容器使用 Amazon CLI

生成密钥分发服务根密钥

KDS 根密钥和gMSA权限使用您的Amazon托管 Microsoft AD 进行配置。

如果您尚未在域中创建gMSA服务帐号，则需要先生成密钥分发服务 (KDS) 根密钥。KDS 负责创建、轮换gMSA密码并将其发布给授权的主机。当ccg.exe需要检索gMSA凭证时，它会联系 KDS 以检索当前密码。

要检查是否已创建 KDS 根密钥，请使用该模块在域控制器上以域管理员权限运行以下 PowerShell cmdlet。ActiveDirectory PowerShell 有关该模块的更多信息，请参阅 Microsoft Learn 网站上的ActiveDirectory 模块。

PS C:\> Get-KdsRootKey

如果该命令返回密钥 ID，则可以跳过此步骤的其余部分。否则，请运行以下命令创建 KDS 根密钥：

PS C:\> Add-KdsRootKey -EffectiveImmediately

尽管该命令的参数EffectiveImmediately暗示密钥立即生效，但您需要等待 10 小时才能复制 KDS 根密钥并可在所有域控制器上使用。

创建gMSA账户

要创建gMSA帐户并允许检索gMSA密码，请从具有域访问权限的 Windows 服务器或客户端上运行以下 PowerShell 命令。ccg.exeExampleAccount替换为你想要的gMSA账户名称。

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. 使用永不过期的永久密码创建用户。这些凭证存储在域中Amazon Secrets Manager，每个任务都使用这些凭证来加入域。

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. 在 Active Directory 中安装用于创建CredSpec对象的 PowerShell 模块并输出 CredSpec JSON。

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

将前一个命令的 JSON 输出复制到名为的文件中gmsa-cred-spec.json。这是CredSpec文件。它在步骤 3 中使用第 3 步：修改您的 CredSpec JSON 以包含无域信息 gMSA。

将以下信息添加到里面的CredSpec文件中ActiveDirectoryConfig。将 ARN 替换为上一步中的 Secrets Manager 中的密钥。

请注意，该PluginGUID值必须与以下示例片段中的 GUID 相匹配，并且是必需的。

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

您也可以使用以下格式的 ARN 在 SSM 参数存储中使用密钥：。\"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\"

修改CredSpec文件后，它应类似于以下示例：

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

将CredSpec文件复制到您正在运行Amazon CLI命令的计算机或环境中。

运行以下Amazon CLI命令将上传CredSpec到 Amazon S3。将 MyBucket 替换为您的 Amazon S3 存储桶的名称。您可以将文件作为对象存储在任何存储桶和位置，但您必须允许访问该存储桶和您附加到任务执行角色的策略中的位置。

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

要创建任务执行角色，请参阅创建任务执行 (ecsTaskExecutionRole) 角色。默认权限允许容器实例从 Amazon Elastic Container Registry stdout 和您的应用程序stderr中提取容器映像，然后将其记录到 Amazon CloudWatch Logs 中。

由于该角色在本教程中需要自定义权限，因此您可以为该角色指定一个不同的名称ecsTaskExecutionRole。本教程ecsTaskExecutionRole在后续步骤中使用。

通过创建自定义策略来添加以下权限，可以是仅存在于此角色中的内联策略，也可以是您可以重复使用的策略。将第一条语句Resource中的 ARN 替换为 Amazon S3 存储桶和位置，将第二Resource条语句中的 ARN 替换为 Secrets Manager 中密钥的 ARN。

如果您使用自定义密钥对 Secrets Manager 中的密钥进行加密，则还必须允许使用kms:Decrypt该密钥。

如果您使用 SSM Parameter Store 而不是 Secrets Manager，则必须允许ssm:GetParameter使用该参数，而不是。secretsmanager:GetSecretValue

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

创建一个名为的文件ecs-tasks-trust-policy.json，其中包含以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

创建一个 IAM 角色。您可以替换名称，ecs-exec-demo-task-role但保留该名称以供后续步骤使用。

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

您可以删除该文件ecs-tasks-trust-policy.json。

创建一个名为的文件ecs-exec-demo-task-role-policy.json，其中包含以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

创建 IAM 策略并将其附加到上一步中的角色。

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

您可以删除该文件ecs-exec-demo-task-role-policy.json。

创建一个名为的文件windows-gmsa-domainless-task-def.json，其中包含以下内容：

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

通过运行以下命令注册任务定义：

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

要启动中为亚马逊 ECS 配置的 Amazon EC2 Windows 实例Amazon Web Services Management Console，请参阅启动 Amazon ECS Windows 容器实例。在步骤中停下来获取用户数据。

对于gMSA，用户数据必须在启动 ECS 容器代理ECS_GMSA_SUPPORTED之前设置环境变量。

对于 ECS Exec，代理必须以参数-EnableTaskIAMRole开头。

要通过阻止任务访问 EC2 IMDS Web 服务来检索角色凭证来保护实例 IAM 角色，请添加参数-AwsvpcBlockIMDS。这仅适用于使用awsvpc网络模式的任务。

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

查看 Summary（摘要）面板中您的实例配置的摘要，当您准备好后，选择 Launch instance（启动实例）。

列出集群中的容器实例。容器实例的 ID 与 EC2 实例的 ID 不同。

$ aws ecs list-container-instances

输出：

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

例如，526bd5d0ced448a788768334e79010fd是有效的容器实例 ID。

使用上一步中的容器实例 ID 获取容器实例的详细信息。MyContainerInstanceID替换为身份证。

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

请注意，输出很长。

验证attributes列表中是否有一个名为键name和值的对象ecs.capability.gmsa-domainless。以下是该对象的示例。

输出：

{
    "name": "ecs.capability.gmsa-domainless"
}

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command

记下命令返回的任务 ID。

运行以下命令以验证任务是否已启动。此命令会等待，直到任务开始后才返回 shell 提示符。MyTaskID替换为上一步中的任务 ID。

$ aws ecs wait tasks-running --task MyTaskID

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

输出将是一个 PowerShell 提示。

在容器内的 PowerShell 终端中运行以下命令。

PS C:\> klist get ExampleAccount$

在输出中，请注意，Principal是您之前创建的。

停止任务。MyTaskID替换为步骤 12 中的任务 ID，步骤 12：运行 Windows 任务。

$ aws ecs stop-task --task MyTaskID

终止 Amazon EC2 实例。之后，集群中的容器实例将在一小时后自动删除。有关更多信息，请参阅容量管理：

您可以使用 Amazon EC2 控制台查找并终止该实例。或者，你可以运行以下命令。要运行该命令，请在步骤 1 的aws ecs describe-container-instances命令输出中找到 EC2 实例 ID 步骤 11：验证容器实例。i-10a64379 是 EC2 实例 ID 的示例。

$ aws ec2 terminate-instances --instance-ids MyInstanceID

删除 Amazon S3 中的CredSpec文件。将 MyBucket 替换为您的 Amazon S3 存储桶的名称。

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

从 Secrets Manager 中删除密钥。如果您改用 SSM 参数存储，请删除该参数。

以下命令使用由sh和兼容的 shell 使用的反斜杠延续字符。此命令与不兼容 PowerShell。必须修改命令才能与之配合使用 PowerShell。

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

取消注册并删除任务定义。通过取消注册任务定义，可以将其标记为非活动状态，这样它就无法用于启动新任务。然后，您可以删除任务定义。

1. 通过指定版本来取消注册任务定义。ECS 会自动生成任务定义的版本，这些版本从 1 开始编号。您可以按照与容器镜像上的标签相同的格式来引用版本，例如:1。

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. 删除任务定义。

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

（可选）如果您创建了集群，请删除 ECS 集群。

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster