Uso AWS Secrets Manager en GitLab

Cree un AWS Secrets Manager secreta

Necesitará un secreto de Secrets Manager que se recuperará en su GitLab trabajo y eliminará la necesidad de codificar estas credenciales de forma rígida. Necesitarás el identificador secreto de Secrets Manager cuando configures tu GitLab canalización. Para obtener más información, consulte Crea un AWS Secrets Manager secreta.

Selecciona GitLab tu proveedor de OIDC en la consola de IAM.

En este paso, seleccionará GitLab su proveedor de OIDC en la consola de IAM. Para obtener más información, consulte la documentación y la creación de un proveedor de identidad de OpenID Connect (OIDC). GitLab

Al crear el proveedor de OIDC en la consola de IAM, debe utilizar las siguientes configuraciones:

1. Configúralo en tu provider URL instancia. GitLab Por ejemplo, gitlab.example.com.

2. Establezca audience o aud en sts.amazonaws.com.

Creación de una política y un rol de IAM

Deberá crear un rol de IAM y una política. Esta función la asume GitLab with AWS Security Token Service (STS). Para obtener más información, consulte Crear un rol mediante políticas de confianza personalizadas.

1. En la consola de IAM, utilice la siguiente configuración al crear el rol de IAM:

   • Establece Trusted entity type en Web identity.

   • Establece Group en your GitLab group.

   • Identity providerConfigúrala en la misma URL del proveedor (la GitLab instancia) que utilizaste en el paso 2.

   • Establezca Audience en la misma audiencia que utilizó en el paso 2.

2. El siguiente es un ejemplo de una política de confianza que GitLab permite asumir funciones. Su política de confianza debe incluir su Cuenta de AWS GitLab URL y la ruta del proyecto.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. También tendrás que crear una política de IAM para permitir el GitLab acceso a AWS Secrets Manager. Puede agregar esta política a la política de confianza. Para obtener más información, consulte Creación de políticas de IAM.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }