Utilizzo AWS Secrets Manager nel GitLab

Crea un AWS Secrets Manager Secret

Avrai bisogno di un segreto di Secrets Manager che verrà recuperato durante il tuo GitLab lavoro ed elimina la necessità di codificare queste credenziali. Avrai bisogno dell'ID segreto di Secrets Manager per configurare la pipeline. GitLab Per ulteriori informazioni, consulta Crea un AWS Secrets Manager Secret.

Crea GitLab il tuo provider OIDC nella console IAM.

In questo passaggio, creerai GitLab il tuo provider OIDC nella console IAM. Per ulteriori informazioni, consulta la documentazione e la documentazione relative alla creazione di un provider di identità OpenID Connect (OIDC). GitLab

Quando crei il provider OIDC nella console IAM, utilizza le seguenti configurazioni:

1. Impostalo sulla tua provider URL istanza. GitLab Ad esempio, gitlab.example.com.

2. Imposta audience o aud susts.amazonaws.com.

Crea un ruolo e una policy IAM

Dovrai creare un ruolo e una policy IAM. Questo ruolo è assunto da GitLab with Servizio di token di sicurezza AWS (STS). Per ulteriori informazioni, vedere Creare un ruolo utilizzando criteri di fiducia personalizzati.

1. Nella console IAM, utilizza le seguenti impostazioni per creare il ruolo IAM:

   • Imposta Trusted entity type su Web identity.

   • Imposta Group su your GitLab group.

   • Identity providerImposta lo stesso URL del provider (l'GitLab istanza) utilizzato nel passaggio 2.

   • AudienceImposta lo stesso pubblico utilizzato nel passaggio 2.

2. Di seguito è riportato un esempio di politica di fiducia che consente di GitLab assumere ruoli. La tua politica di fiducia dovrebbe elencare Account AWS il tuo GitLab URL e il percorso del progetto.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. Dovrai inoltre creare una policy IAM per consentire GitLab l'accesso a AWS Secrets Manager. Puoi aggiungere questa politica alla tua politica di fiducia. Per ulteriori informazioni, consulta Creazione di politiche IAM.

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }