Utilisation AWS Secrets Manager dans GitLab

Créez un AWS Secrets Manager secret

Vous aurez besoin d'un code secret de Secrets Manager qui sera récupéré dans votre GitLab tâche et vous évitera d'avoir à coder ces informations d'identification en dur. Vous aurez besoin de l'ID secret de Secrets Manager pour configurer votre GitLab pipeline. Pour plus d’informations, consultez Créez un AWS Secrets Manager secret.

Définissez GitLab votre fournisseur OIDC dans la console IAM.

Au cours de cette étape, vous allez définir GitLab votre fournisseur OIDC dans la console IAM. Pour plus d'informations, consultez Création d'un fournisseur d'identité OpenID Connect (OIDC) et GitLab documentation.

Lorsque vous créez le fournisseur OIDC dans la console IAM, utilisez les configurations suivantes :

1. Configurez provider URL le sur votre GitLab instance. Par exemple, gitlab.example.com.

2. Réglez le audience ou aud sursts.amazonaws.com.

Création d'un rôle et d'une politique IAM

Vous devez créer un rôle et une politique IAM. Ce rôle est assumé par GitLab with AWS Security Token Service (STS). Consultez la section Création d'un rôle à l'aide de politiques de confiance personnalisées pour plus d'informations.

1. Dans la console IAM, utilisez les paramètres suivants lors de la création du rôle IAM :

   • Définissez Trusted entity type sur Web identity.

   • Définissez Group sur your GitLab group.

   • Définissez Identity provider la même URL du fournisseur (l'GitLab instance) que vous avez utilisée à l'étape 2.

   • Choisissez Audience le même public que celui que vous avez utilisé à l'étape 2.

2. Voici un exemple de politique de confiance qui permet d' GitLab assumer des rôles. Votre politique de confiance doit répertorier votre GitLab adresse Compte AWS, votre URL et le chemin du projet.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. Vous devrez également créer une politique IAM pour autoriser l' GitLab accès à AWS Secrets Manager. Vous pouvez ajouter cette politique à votre politique de confiance. Pour plus d'informations, consultez la section Créer des politiques IAM.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }