使用 Amazon Secrets Manager 代理

在基于 RPM 的系统上构建

1. 使用存储库中提供的 install 脚本。

   该脚本在启动时生成一个随机的 SSRF 令牌并将其存储在文件 /var/run/awssmatoken 中。安装脚本创建的 awssmatokenreader 组可以读取该令牌。

2. 要允许您的应用程序读取令牌文件，您需要将应用程序在其下运行的用户账户添加到 awssmatokenreader 组。例如，您可以使用以下 usermod 命令授予应用程序读取令牌文件的权限，其中 <APP_USER> 是应用程序在其下运行的用户 ID。

   sudo usermod -aG awssmatokenreader <APP_USER>

   安装开发工具

   在基于 RPM 的系统（如 AL2023）上，安装“开发工具”组：

   sudo yum -y groupinstall "Development Tools"

3. 安装 Rust

   按照 Rust 文档中安装 Rust 的说明进行操作：

   curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
   . "$HOME/.cargo/env"

4. 构建代理

   使用 cargo build 命令构建 Secrets Manager 代理：

   cargo build --release

   您将在 target/release/aws_secretsmanager_agent 下找到可执行文件。

在基于 Debian 的系统上构建

1. 安装开发工具

   在基于 Debian 的系统（例如 Ubuntu）上，安装 build-essential 包：

   sudo apt install build-essential

2. 安装 Rust

   按照 Rust 文档中安装 Rust 的说明进行操作：

   curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
   . "$HOME/.cargo/env"

3. 构建代理

   使用 cargo build 命令构建 Secrets Manager 代理：

   cargo build --release

   您将在 target/release/aws_secretsmanager_agent 下找到可执行文件。

在 Windows 上构建

1. 设置开发环境

   按照 Microsoft Windows 文档中的 在 Windows 上针对 Rust 设置开发环境中的说明进行操作。

2. 构建代理

   使用 cargo build 命令构建 Secrets Manager 代理：

   cargo build --release

   您将在 target/release/aws_secretsmanager_agent.exe 下找到可执行文件。

本机交叉编译

1. 安装交叉编译工具

   在 mingw-w64 包可用的发行版（例如 Ubuntu）上，安装交叉编译工具链：

   # Install the cross compile tool chain
   sudo add-apt-repository universe
   sudo apt install -y mingw-w64

2. 添加 Rust 构建目标

   安装 Windows GNU 编译目标：

   rustup target add x86_64-pc-windows-gnu

3. 针对 Windows 构建

   交叉编译适用于 Windows 的代理：

   cargo build --release --target x86_64-pc-windows-gnu

   您将在 target/x86_64-pc-windows-gnu/release/aws_secretsmanager_agent.exe 处找到可执行文件。

使用 Rust 交叉进行交叉编译

如果系统本机没有交叉编译工具，则可以使用 Rust 交叉项目。有关更多信息，请参阅 https://github.com/cross-rs/cross。

1. 设置 Docker

   安装和配置 Docker：

   # Install and start docker
   sudo yum -y install docker
   sudo systemctl start docker
   sudo systemctl enable docker # Make docker start after reboot

2. 配置 Docker 权限

   将用户添加到 Docker 组：

   # Give ourselves permission to run the docker images without sudo
   sudo usermod -aG docker $USER
   newgrp docker

3. 针对 Windows 构建

   安装交叉并构建可执行文件：

   # Install cross and cross compile the executable
   cargo install cross
   cross build --release --target x86_64-pc-windows-gnu

在 Amazon EC2 上安装 Secrets Manager 代理

1. 导航到配置目录

   更改到配置目录：

   cd aws_secretsmanager_agent/configuration

2. 运行安装脚本

   运行存储库中提供的 install 脚本。

   该脚本在启动时生成一个随机的 SSRF 令牌并将其存储在文件 /var/run/awssmatoken 中。安装脚本创建的 awssmatokenreader 组可以读取该令牌。

3. 配置应用程序权限

   将运行应用程序的用户账户添加到 awssmatokenreader 组中：

   sudo usermod -aG awssmatokenreader APP_USER

   将 APP_USER 替换为运行应用程序时使用的用户 ID。

创建用于 Secrets Manager 代理的附加容器

1. 创建代理 Dockerfile

   为 Secrets Manager 代理附加容器创建 Dockerfile：

   # Use the latest Debian image as the base
   FROM debian:latest
   
   # Set the working directory inside the container
   WORKDIR /app 
   
   # Copy the Secrets Manager Agent binary to the container
   COPY secrets-manager-agent . 
   
   # Install any necessary dependencies
   RUN apt-get update && apt-get install -y ca-certificates 
   
   # Set the entry point to run the Secrets Manager Agent binary
   ENTRYPOINT ["./secrets-manager-agent"]

2. 创建应用程序 Dockerfile

   为您的客户端应用程序创建一个 Dockerfile。

3. 创建 Docker Compose 文件

   创建 Docker Compose 文件来运行具有共享网络接口的两个容器：

   重要

   您必须加载 Amazon 凭证和 SSRF 令牌，应用程序才能使用 Secrets Manager 代理。对于 Amazon EKS 和 Amazon ECS，请参阅以下内容：

   • Amazon EKS 用户指南中的管理访问权限

   • Amazon ECS 开发人员指南中的 Amazon ECS 任务 IAM 角色

   version: '3'
   services:
       client-application:
       container_name: client-application
       build:
           context: .
           dockerfile: Dockerfile.client
       command: tail -f /dev/null  # Keep the container running
       
   
       secrets-manager-agent:
       container_name: secrets-manager-agent
       build:
           context: .
           dockerfile: Dockerfile.agent
       network_mode: "container:client-application"  # Attach to the client-application container's network
       depends_on:
           - client-application

4. 复制代理二进制文件

   将 secrets-manager-agent 二进制文件复制到包含您的 Dockerfile 和 Docker Compose 文件的同一个目录中。

5. 构建并运行容器

   使用 Docker Compose 构建并运行容器：

   docker-compose up --build

6. 后续步骤

   在您的客户端容器中，您现在可使用 Secrets Manager 代理来检索密钥。有关更多信息，请参阅 使用 Secrets Manager 代理检索密钥。

创建用于 Secrets Manager 代理的 Lambda 扩展

1. 打包代理层

   从 Secrets Manager 代理代码包的根目录运行以下命令：

   AWS_ACCOUNT_ID=AWS_ACCOUNT_ID
   LAMBDA_ARN=LAMBDA_ARN
   
   # Build the release binary 
   cargo build --release --target=x86_64-unknown-linux-gnu
   
   # Copy the release binary into the `bin` folder
   mkdir -p ./bin
   cp ./target/x86_64-unknown-linux-gnu/release/aws_secretsmanager_agent ./bin/secrets-manager-agent
   
   # Copy the `secrets-manager-agent-extension.sh` example script into the `extensions` folder.
   mkdir -p ./extensions
   cp aws_secretsmanager_agent/examples/example-lambda-extension/secrets-manager-agent-extension.sh ./extensions
   
   # Zip the extension shell script and the binary 
   zip secrets-manager-agent-extension.zip bin/* extensions/*
   
   # Publish the layer version
   LAYER_VERSION_ARN=$(aws lambda publish-layer-version \
       --layer-name secrets-manager-agent-extension \
       --zip-file "fileb://secrets-manager-agent-extension.zip" | jq -r '.LayerVersionArn')

2. 配置 SSRF 令牌

   代理的默认配置会自动将 SSRF 令牌设置为在预设 AWS_SESSION_TOKEN 或 AWS_CONTAINER_AUTHORIZATION_TOKEN 环境变量中设置的值（后一个变量适用于启用 SnapStart 的 Lambda 函数）。或者，您可以改用自己的 Lambda 函数的任意值定义 AWS_TOKEN 环境变量，因为该变量优先于其他两个变量。如果您选择使用 AWS_TOKEN 环境变量，则必须通过 lambda:UpdateFunctionConfiguration 调用来设置该环境变量。

3. 将层附加到函数

   将层版本附加到 Lambda 函数：

   # Attach the layer version to the Lambda function
   aws lambda update-function-configuration \
       --function-name $LAMBDA_ARN \
       --layers "$LAYER_VERSION_ARN"

4. 更新函数代码

   更新您的 Lambda 函数以使用 X-Aws-codes-Secrets-Token 标头值（设置为来自上述环境变量之一的 SSRF 令牌值）查询 http://localhost:2773/secretsmanager/get?secretId=MyTest，从而检索密钥。务必在应用程序代码中实现重试逻辑，以适应 Lambda 扩展初始化和注册中的延迟。

5. 测试此函数

   调用 Lambda 函数以验证是否已正确获取密钥。