Uso de AWS Secrets Manager en GitLab

Creación de un secreto de AWS Secrets Manager

Necesitará un secreto de Secrets Manager que se recupere en su trabajo de GitLab y que elimine el requisito de realizar una codificación rígida para estas credenciales. El ID secreto de Secrets Manager será necesario cuando configure su canalización de GitLab. Para obtener más información, consulte Creación de un secreto de AWS Secrets Manager.

Transformación de GitLab en el proveedor de OIDC en la consola de IAM.

En este paso, convertirá a GitLab en su proveedor de OIDC en la consola de IAM. Para obtener más información, consulte Crear un proveedor de identidad de OpenID Connect (OIDC) y la documentación de GitLab.

Al crear el proveedor de OIDC en la consola de IAM, debe utilizar las siguientes configuraciones:

1. Establezca provider URL en su instancia de GitLab. Por ejemplo, gitlab.example.com.

2. Establezca audience o aud en sts.amazonaws.com.

Creación de una política y un rol de IAM

Deberá crear un rol de IAM y una política. GitLab asume este rol con AWS Security Token Service (STS). Para obtener más información, consulte Crear un rol mediante políticas de confianza personalizadas.

1. En la consola de IAM, utilice la siguiente configuración al crear el rol de IAM:

   • Establece Trusted entity type en Web identity.

   • Establece Group en your GitLab group.

   • Establezca Identity provider en la misma URL del proveedor (la instancia de GitLab) que utilizó en el paso 2.

   • Establezca Audience en la misma audiencia que utilizó en el paso 2.

2. El siguiente ejemplo es una política de confianza que le permite a GitLab adoptar roles. La política de confianza debe incluir su Cuenta de AWS, la URL de GitLab y la ruta del proyecto.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. También tendrá que crear una política de IAM que permita el acceso de GitLab a AWS Secrets Manager. Puede agregar esta política a la política de confianza. Para obtener más información, consulte Creación de políticas de IAM.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }