Verwenden Sie AWS Secrets Manager in GitLab

Erstellen Sie eine AWS Secrets Manager Secret

Sie benötigen ein Secrets Manager-Geheimnis, das bei Ihrem GitLab Job abgerufen wird, sodass Sie diese Anmeldeinformationen nicht fest codieren müssen. Sie benötigen die Secrets Manager-ID, wenn Sie Ihre GitLab Pipeline Konfigurieren Sie die GitLab Pipeline für die Verwendung von Secrets Manager konfigurieren. Weitere Informationen finden Sie unter Erstellen Sie eine AWS Secrets Manager Secret.

Geben Sie in der IAM-Konsole GitLab Ihren OIDC-Anbieter ein.

In diesem Schritt machen Sie GitLab Ihren OIDC-Anbieter in der IAM-Konsole. Weitere Informationen finden Sie unter Erstellen eines OpenID Connect (OIDC) -Identitätsdienstleisters und in der Dokumentation. GitLab

Verwenden Sie beim Erstellen des OIDC-Anbieters in der IAM-Konsole die folgenden Konfigurationen:

1. Stellen Sie das auf Ihre Instance provider URL ein. GitLab Beispiel, gitlab.example.com.

2. Setze das audience oder aud aufsts.amazonaws.com.

Erstellen Sie eine IAM-Rolle und -Richtlinie

Sie müssen eine IAM-Rolle und -Richtlinie erstellen. Diese Rolle wird von GitLab with AWS -Security-Token-Service (STS) übernommen. Weitere Informationen finden Sie unter Erstellen einer Rolle mithilfe benutzerdefinierter Vertrauensrichtlinien.

1. Verwenden Sie in der IAM-Konsole die folgenden Einstellungen, wenn Sie die IAM-Rolle erstellen:

   • Setzen Sie Trusted entity type auf Web identity.

   • Setzen Sie Group auf your GitLab group.

   • Stellen Identity provider Sie dieselbe Anbieter-URL (die GitLab Instanz) ein, die Sie in Schritt 2 verwendet haben.

   • Stellen Audience Sie dieselbe Zielgruppe ein, die Sie in Schritt 2 verwendet haben.

2. Das Folgende ist ein Beispiel für eine Vertrauensrichtlinie, die es ermöglicht, Rollen GitLab zu übernehmen. In Ihrer Vertrauensrichtlinie sollten Ihre AWS-Konto GitLab URL und Ihr Projektpfad aufgeführt sein.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. Sie müssen außerdem eine IAM-Richtlinie erstellen, um den GitLab Zugriff darauf zu AWS Secrets Manager ermöglichen. Sie können diese Richtlinie zu Ihrer Vertrauensrichtlinie hinzufügen. Weitere Informationen finden Sie unter IAM-Richtlinien https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html erstellen.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }