Utilisation de conteneurs Windows Amazon ECS avec des conteneurs sans domaine à gMSA l'aide du AWS CLI

Génération d'une clé racine du service de diffusion de clés

La clé racine KDS et les autorisations gMSA sont configurées avec votre AD Microsoft géré par AWS .

Si vous n'avez pas encore créé de compte de service gMSA dans votre domaine, vous devez d'abord générer une clé racine du service de diffusion de clés (KDS). Le KDS est responsable de la création, de la rotation et de la diffusion du mot de passe gMSA aux hôtes autorisés. Lorsque ccg.exe a besoin de récupérer les informations d'identification gMSA, il contacte KDS pour récupérer le mot de passe actuel.

Pour vérifier si la clé racine KDS a déjà été créée, exécutez l' PowerShellapplet de commande suivante avec les privilèges d'administrateur de domaine sur un contrôleur de domaine à l'aide du module. ActiveDirectory PowerShell Pour plus d'informations sur le module, voir ActiveDirectory Module sur le site Web de Microsoft Learn.

PS C:\> Get-KdsRootKey

Si la commande renvoie un ID de clé, vous pouvez ignorer le reste de cette étape. Dans le cas contraire, créez la clé racine KDS en exécutant la commande suivante :

PS C:\> Add-KdsRootKey -EffectiveImmediately

Bien que l'argument EffectiveImmediately de la commande implique que la clé est effective immédiatement, vous devez attendre 10 heures avant que la clé racine KDS soit répliquée et puisse être utilisée sur tous les contrôleurs de domaine.

Création du compte gMSA

Pour créer le gMSA compte et autoriser le ccg.exe à récupérer le gMSA mot de passe, exécutez les PowerShell commandes suivantes depuis un serveur ou un client Windows ayant accès au domaine. Remplacez ExampleAccount par le nom que vous souhaitez attribuer à votre compte gMSA.

1. PS C:\> Install-WindowsFeature RSAT-AD-PowerShell

2. PS C:\> New-ADGroup -Name "ExampleAccount Authorized Hosts" -SamAccountName "ExampleAccountHosts" -GroupScope DomainLocal

3. PS C:\> New-ADServiceAccount -Name "ExampleAccount" -DnsHostName "contoso" -ServicePrincipalNames "host/ExampleAccount", "host/contoso" -PrincipalsAllowedToRetrieveManagedPassword "ExampleAccountHosts"

4. Créez un utilisateur avec un mot de passe permanent qui n'expire pas. Ces informations d'identification sont stockées AWS Secrets Manager et utilisées par chaque tâche pour rejoindre le domaine.

   PS C:\> New-ADUser -Name "ExampleAccount" -AccountPassword (ConvertTo-SecureString -AsPlainText "Test123" -Force) -Enabled 1 -PasswordNeverExpires 1

5. PS C:\> Add-ADGroupMember -Identity "ExampleAccountHosts" -Members "ExampleAccount"

6. Installez le PowerShell module de création d'CredSpecobjets dans Active Directory et générez le CredSpec JSON.

   PS C:\> Install-PackageProvider -Name NuGet -Force

   PS C:\> Install-Module CredentialSpec

7. PS C:\> New-CredentialSpec -AccountName ExampleAccount

Copiez le résultat JSON de la commande précédente dans un fichier appelé gmsa-cred-spec.json. Il s'agit du fichier CredSpec. Il est utilisé à l'étape 3, Étape 3 : modifier votre JSON CredSpec pour inclure des informations gMSA sans domaine.

Ajoutez les informations suivantes au fichier CredSpec contenu dans le ActiveDirectoryConfig. Remplacez l'ARN par le secret de l'étape précédente dans Secrets Manager.

Veuillez noter que la valeur PluginGUID doit correspondre au GUID de l'extrait de code suivant et qu'elle est obligatoire.

"HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }

Vous pouvez également utiliser un secret dans SSM Parameter Store en utilisant l'ARN au format suivant : \"arn:aws:ssm:aws-region:111122223333:parameter/gmsa-plugin-input\".

Une fois le fichier CredSpec modifié, il doit ressembler à l'exemple suivant :

{
  "CmsPlugins": [
    "ActiveDirectory"
  ],
  "DomainJoinConfig": {
    "Sid": "S-1-5-21-4066351383-705263209-1606769140",
    "MachineAccountName": "ExampleAccount",
    "Guid": "ac822f13-583e-49f7-aa7b-284f9a8c97b6",
    "DnsTreeName": "contoso",
    "DnsName": "contoso",
    "NetBiosName": "contoso"
  },
  "ActiveDirectoryConfig": {
    "GroupManagedServiceAccounts": [
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      },
      {
        "Name": "ExampleAccount",
        "Scope": "contoso"
      }
    ],
    "HostAccountConfig": {
      "PortableCcgVersion": "1",
      "PluginGUID": "{859E1386-BDB4-49E8-85C7-3070B13920E1}",
      "PluginInput": "{\"credentialArn\": \"arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input\"}"
    }
  }
}

Copiez le fichier CredSpec sur l'ordinateur ou l'environnement dans lequel vous exécutez les commandes AWS CLI .

Exécutez la AWS CLI commande suivante pour le CredSpec télécharger sur Amazon S3. Remplacez MyBucket par le nom de votre compartiment Simple Storage Service (Amazon S3). Vous pouvez stocker le fichier sous forme d'objet dans n'importe quel compartiment et à n'importe quel emplacement, mais vous devez autoriser l'accès à ce compartiment et à cet emplacement dans la stratégie que vous associez au rôle d'exécution des tâches.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws s3 cp gmsa-cred-spec.json \
s3://MyBucket/ecs-domainless-gmsa-credspec

Pour créer un rôle d'exécution de tâche, veuillez consulter Création du rôle d'exécution de tâche. Les autorisations par défaut permettent à l'instance de conteneur d'extraire des images de conteneur d'Amazon Elastic Container Registry stdout et stderr de vos applications pour les connecter à Amazon CloudWatch Logs.

Comme le rôle nécessite des autorisations personnalisées pour ce didacticiel, vous pouvez lui donner un nom différent de ecsTaskExecutionRole. Ce didacticiel utilise ecsTaskExecutionRole dans les étapes suivantes.

Ajoutez les autorisations suivantes en créant une stratégie personnalisée, soit une stratégie en ligne qui n'existe que pour ce rôle, soit une stratégie que vous pouvez réutiliser. Remplacez l'ARN de la Resource dans la première instruction par le compartiment et l'emplacement Amazon S3, et la seconde Resource par l'ARN du secret dans Secrets Manager.

Si vous chiffrez le secret dans Secrets Manager avec une clé personnalisée, vous devez également autoriser kms:Decrypt pour la clé.

Si vous utilisez SSM Parameter Store au lieu de Secrets Manager, vous devez autoriser ssm:GetParameter pour le paramètre, au lieu de secretsmanager:GetSecretValue.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::MyBucket/ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:aws-region:111122223333:secret:gmsa-plugin-input"
    }
  ]
}

Créez un fichier nommé ecs-tasks-trust-policy.json avec le contenu suivant :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ecs-tasks.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Créez un rôle IAM. Vous pouvez remplacer le nom ecs-exec-demo-task-role mais le conserver pour les étapes suivantes.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws iam create-role --role-name ecs-exec-demo-task-role \
--assume-role-policy-document file://ecs-tasks-trust-policy.json

Vous pouvez supprimer le fichier ecs-tasks-trust-policy.json.

Créez un fichier nommé ecs-exec-demo-task-role-policy.json avec le contenu suivant :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        }
    ]
}

Créez une politique IAM et attachez-la au rôle de l'étape précédente.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws iam put-role-policy \
    --role-name ecs-exec-demo-task-role \
    --policy-name ecs-exec-demo-task-role-policy \
    --policy-document file://ecs-exec-demo-task-role-policy.json

Vous pouvez supprimer le fichier ecs-exec-demo-task-role-policy.json.

Créez un fichier nommé windows-gmsa-domainless-task-def.json avec le contenu suivant :

{
  "family": "windows-gmsa-domainless-task",
  "containerDefinitions": [
    {
      "name": "windows_sample_app",
      "image": "mcr.microsoft.com/windows/servercore/iis",
      "cpu": 1024,
      "memory": 1024,
      "essential": true,
      "credentialSpecs": [
                "credentialspecdomainless:arn:aws:s3:::ecs-domainless-gmsa-credspec/gmsa-cred-spec.json"
      ],
      "entryPoint": [
        "powershell",
        "-Command"
      ],
      "command": [
        "New-Item -Path C:\\inetpub\\wwwroot\\index.html -ItemType file -Value '<html> <head> <title>Amazon ECS Sample App</title> <style>body {margin-top: 40px; background-color: #333;} </style> </head><body> <div style=color:white;text-align:center> <h1>Amazon ECS Sample App</h1> <h2>Congratulations!</h2> <p>Your application is now running on a container in Amazon ECS.</p>' -Force ; C:\\ServiceMonitor.exe w3svc"
      ],
      "portMappings": [
        {
          "protocol": "tcp",
          "containerPort": 80,
          "hostPort": 8080
        }
      ]
    }
  ],
  "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role",
  "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole"
}

Enregistrez la définition de tâche en exécutant la commande suivante :

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws ecs register-task-definition \
--cli-input-json file://windows-gmsa-domainless-task-def.json

Pour lancer une instance Amazon EC2 Windows configurée pour Amazon ECS dans le AWS Management Console, consultezLancement d'une instance de conteneur Amazon ECS Windows. Arrêtez-vous à l'étape des données utilisateur.

Pour gMSA, les données utilisateur doivent définir la variable d'environnement ECS_GMSA_SUPPORTED avant de démarrer l'agent de conteneur ECS.

Pour ECS Exec, l'agent doit commencer par l'argument -EnableTaskIAMRole.

Pour sécuriser le rôle IAM de l'instance en empêchant les tâches d'atteindre le service Web EC2 IMDS pour récupérer les informations d'identification du rôle, ajoutez l'argument. -AwsvpcBlockIMDS Cela s'applique uniquement aux tâches qui utilisent le mode réseau awsvpc.

<powershell>
[Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine")
Import-Module ECSTools
Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS
</powershell>
    

Consultez un résumé de la configuration de votre instance dans le panneau Summary (Récapitulatif) et, lorsque vous êtes prêt, choisissez Launch instance (Lancer l’instance).

Répertoriez les instances de conteneur dans le cluster. Les instances de conteneur ont un identifiant différent de celui de l' EC2 instance.

$ aws ecs list-container-instances

Sortie :

{
    "containerInstanceArns": [
        "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID"
    ]
}

Par exemple, 526bd5d0ced448a788768334e79010fd est un ID d'instance de conteneur valide.

Utilisez l'ID d'instance de conteneur indiqué à l'étape précédente pour obtenir les détails de l'instance de conteneur. Remplacez MyContainerInstanceID par l'ID.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws ecs describe-container-instances \
     ----container-instances MyContainerInstanceID

Veuillez noter que la sortie est très longue.

Vérifiez que la liste attributes contient un objet avec la clé appelée name et une valeur ecs.capability.gmsa-domainless. Voici un exemple de l'objet.

Sortie :

{
    "name": "ecs.capability.gmsa-domainless"
}

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

aws ecs run-task --task-definition windows-gmsa-domainless-task \
    --enable-execute-command --cluster windows-domainless-gmsa-cluster

Notez l'ID de tâche qui est renvoyé par la commande.

Exécutez la commande suivante pour vérifier que la tâche a démarré. Cette commande attend et ne renvoie pas l'invite du shell tant que la tâche ne démarre pas. Remplacez MyTaskID par l'ID de tâche de l'étape précédente.

$ aws ecs wait tasks-running --task MyTaskID

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws ecs execute-command \
--task MyTaskID \
--container windows_sample_app \
--interactive \
--command powershell.exe

Le résultat sera une PowerShell invite.

Exécutez la commande suivante dans le PowerShell terminal à l'intérieur du conteneur.

PS C:\> klist get ExampleAccount$

Dans la sortie, notez que le Principal est celui que vous avez créé précédemment.

Arrêtez la tâche. Remplacez MyTaskID par l'ID de tâche de l'étape 12, Étape 12 : exécuter une tâche Windows.

$ aws ecs stop-task --task MyTaskID

Mettez fin à l' EC2 instance Amazon. Ensuite, l'instance de conteneur du cluster sera automatiquement supprimée au bout d'une heure.

Vous pouvez rechercher et résilier l'instance à l'aide de la EC2 console Amazon. Vous pouvez également exécuter la commande suivante. Pour exécuter la commande, recherchez l'ID d' EC2 instance dans le résultat de la aws ecs describe-container-instances commande de l'étape 1Étape 11 : vérifier l'instance de conteneur. i-10a64379 est un exemple d'ID d'instance. EC2

$ aws ec2 terminate-instances --instance-ids MyInstanceID

Supprimez le fichier CredSpec dans Amazon S3. Remplacez MyBucket par le nom de votre compartiment Simple Storage Service (Amazon S3).

$ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json

Supprimez le secret dans Secrets Manager. Si vous avez plutôt utilisé SSM Parameter Store, supprimez le paramètre.

La commande suivante utilise des barres obliques inverses qui sont utilisées par sh et les shells compatibles. Cette commande n'est pas compatible avec PowerShell. Vous devez modifier la commande pour l'utiliser avec PowerShell.

$ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \
     --force-delete-without-recovery

Annulez l'enregistrement et supprimez la définition de tâche. En annulant l'enregistrement de la définition de tâche, vous la marquez comme inactive afin qu'elle ne puisse pas être utilisée pour démarrer de nouvelles tâches. Ensuite, vous pouvez supprimer la définition de tâche.

1. Annulez l'enregistrement de la définition de tâche en spécifiant la version. ECS crée automatiquement des versions des définitions de tâches, qui sont numérotées à partir de 1. Vous faites référence aux versions dans le même format que les étiquettes sur les images des conteneurs, telles que :1.

   $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1

2. Supprimez la définition de tâche.

   $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1

(Facultatif) Supprimez le cluster ECS, si vous en avez créé un.

$ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster