用Amazon Secrets Manager于 GitLab

创建密Amazon Secrets Manager钥

你需要一个 Secrets Manager 密钥，该密钥将在你的 GitLab 工作中检索，无需对这些凭据进行硬编码。在配置 GitLab 管道时，你需要 Secrets Manager 的密钥 ID。请参阅创建密 Amazon Secrets Manager 钥了解更多信息。

在 IAM 控制台中创建 GitLab 您的 OIDC 提供商。

在此步骤中，您将在 IAM 控制台中创建 GitLab 您的 OIDC 提供商。有关更多信息，请参阅创建 OpenID Connect (OIDC) 身份提供商和文档。GitLab

在 IAM 控制台中创建 OIDC 提供者时，请使用以下配置：

1. 将设置provider URL为您的 GitLab 实例。例如 gitlab.example.com。

2. 将 audience 或 aud 设置为 sts.amazonaws.com。

创建 IAM 角色和策略

您将需要创建 IAM 角色和策略。此角色由 with GitLab Amazon Security Token Service(STS) 担任。有关更多信息，请参阅使用自定义信任策略创建角色。

1. 在 IAM 控制台中，在创建 IAM 角色时使用以下设置：

   • 将 Trusted entity type 设置为 Web identity。

   • 将 Group 设置为 your GitLab group。

   • 设置Identity provider为您在步骤 2 中使用的提供商 URL（GitLab 实例）。

   • 将 Audience 设置为在步骤 2 中使用的相同受众。

2. 以下是允许 GitLab 代入角色的信任策略示例。您的信任策略应列出您 GitLab 的Amazon Web Services 账户、URL 和项目路径。

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. 您还需要创建一个 IAM 策略以允许 GitLab 访问Amazon Secrets Manager。您可以将此策略添加到信任策略。有关更多信息，请参阅创建 IAM 策略。

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }