AWS Secrets Manager エージェントの使用

RPM ベースのシステム上に構築するには

1. リポジトリで提供されている install スクリプトを使用します。

   スクリプトは、起動時にランダムな SSRF トークンを生成し、ファイル /var/run/awssmatoken に保存します。トークンは、インストールスクリプトが作成する awssmatokenreader グループによって読み取り可能です。

2. アプリケーションがトークンファイルを読み取れるようにするには、アプリケーションが実行するユーザーアカウントを awssmatokenreader グループに追加する必要があります。例えば、次の usermod コマンドを使用してトークンファイルを読み取るアクセス許可をアプリケーションに付与できます。ここで <APP_USER> は、アプリケーションを実行するユーザー ID です。

   sudo usermod -aG awssmatokenreader <APP_USER>

   開発ツールのインストール

   AL2023 などの RPM ベースのシステムでは、開発ツールグループをインストールします。

   sudo yum -y groupinstall "Development Tools"

3. Rust のインストール

   「Rust ドキュメント」の「Rust のインストール」の指示に従います。

   curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
   . "$HOME/.cargo/env"

4. エージェントの構築

   cargo build コマンドを使用して Secrets Manager Agent をビルドします。

   cargo build --release

   実行ファイルは target/release/aws_secretsmanager_agent にあります。

Debian ベースのシステム上に構築するには

1. 開発ツールのインストール

   Ubuntu などの Debian ベースのシステムでは、build-essential パッケージをインストールします。

   sudo apt install build-essential

2. Rust のインストール

   「Rust ドキュメント」の「Rust のインストール」の指示に従います。

   curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
   . "$HOME/.cargo/env"

3. エージェントの構築

   cargo build コマンドを使用して Secrets Manager Agent をビルドします。

   cargo build --release

   実行ファイルは target/release/aws_secretsmanager_agent にあります。

Windows でビルドするには

1. 開発環境のセットアップ

   「Microsoft Windows ドキュメント」の「Windows for Rust で開発環境をセットアップする」の手順に従います。

2. エージェントの構築

   cargo build コマンドを使用して Secrets Manager Agent をビルドします。

   cargo build --release

   実行ファイルは target/release/aws_secretsmanager_agent.exe にあります。

ネイティブにクロスコンパイルするには

1. クロスコンパイルツールをインストールする

   Ubuntu など、mingw-w64 パッケージが利用可能なディストリビューションでは、クロスコンパイルツールチェーンをインストールします。

   # Install the cross compile tool chain
   sudo add-apt-repository universe
   sudo apt install -y mingw-w64

2. Rust ビルドターゲットを追加する

   Windows GNU ビルドターゲットをインストールします:

   rustup target add x86_64-pc-windows-gnu

3. Windows 用にビルドする

   Windows 用のエージェントをクロスコンパイルします:

   cargo build --release --target x86_64-pc-windows-gnu

   実行ファイルは target/x86_64-pc-windows-gnu/release/aws_secretsmanager_agent.exe にあります。

Rust cross を使用してクロスコンパイルするには

クロスコンパイルツールがシステムでネイティブに利用できない場合、Rust のクロスプロジェクトを使用できます。詳細については、GitHub の「クロス」を参照してください。

1. Docker をセットアップ

   Docker をインストールして構成します:

   # Install and start docker
   sudo yum -y install docker
   sudo systemctl start docker
   sudo systemctl enable docker # Make docker start after reboot

2. Docker アクセス許可を設定する

   ユーザーを Docker グループに追加します:

   # Give ourselves permission to run the docker images without sudo
   sudo usermod -aG docker $USER
   newgrp docker

3. Windows 用にビルドする

   クロスをインストールし、実行可能ファイルを構築します:

   # Install cross and cross compile the executable
   cargo install cross
   cross build --release --target x86_64-pc-windows-gnu

Amazon EC2 で Secrets Manager Agent をインストールするには

1. 設定ディレクトリに移動する

   設定ディレクトリに変更します:

   cd aws_secretsmanager_agent/configuration

2. インストールスクリプトを実行する

   リポジトリで提供されている install スクリプトを実行します。

   スクリプトは、起動時にランダムな SSRF トークンを生成し、ファイル /var/run/awssmatoken に保存します。トークンは、インストールスクリプトが作成する awssmatokenreader グループによって読み取り可能です。

3. アプリケーションのアクセス許可を設定する

   アプリケーションが実行されるユーザーアカウントを awssmatokenreader グループに追加します:

   sudo usermod -aG awssmatokenreader APP_USER

   APP_USER を、アプリケーションが実行されるユーザー ID に置き換えます。

Secrets Manager Agent のサイドカーコンテナを作成するには

1. エージェント Dockerfile を作成する

   Secrets Manager Agent サイドカーコンテナ用の Dockerfile を作成します:

   # Use the latest Debian image as the base
   FROM debian:latest
   
   # Set the working directory inside the container
   WORKDIR /app 
   
   # Copy the Secrets Manager Agent binary to the container
   COPY secrets-manager-agent . 
   
   # Install any necessary dependencies
   RUN apt-get update && apt-get install -y ca-certificates 
   
   # Set the entry point to run the Secrets Manager Agent binary
   ENTRYPOINT ["./secrets-manager-agent"]

2. アプリケーション Dockerfile を作成する

   クライアントアプリケーション用の Dockerfile を作成します。

3. Docker Compose ファイルを作成する

   Docker Compose ファイルを作成して、共有ネットワークインターフェイスで両方のコンテナを実行します:

   重要

   Secrets Manager エージェントを使用するには、アプリケーションの AWS 認証情報と SSRF トークンをロードする必要があります。Amazon EKS と Amazon ECS については、以下を参照してください。

   • 「Amazon EKS ユーザーガイド」の「アクセスの管理」

   • 「Amazon ECS デベロッパーガイド」の「Amazon ECS タスク IAM ロール」

   version: '3'
   services:
       client-application:
       container_name: client-application
       build:
           context: .
           dockerfile: Dockerfile.client
       command: tail -f /dev/null  # Keep the container running
       
   
       secrets-manager-agent:
       container_name: secrets-manager-agent
       build:
           context: .
           dockerfile: Dockerfile.agent
       network_mode: "container:client-application"  # Attach to the client-application container's network
       depends_on:
           - client-application

4. エージェントバイナリのコピー

   secrets-manager-agent バイナリを Dockerfiles および Docker Compose ファイルと同じディレクトリにコピーします。

5. コンテナの構築と実行

   Docker Compose を使用し、コンテナを構築して実行します:

   docker-compose up --build

6. 次の手順

   クライアントコンテナから、Secrets Manager Agent を使用してシークレットを取得できるようになりました。詳細については、「Secrets Manager Agent を使用してシークレットを取得する」を参照してください。

Secrets Manager Agent 用の Lambda 拡張機能を作成するには

1. エージェントレイヤーをパッケージ化する

   Secrets Manager Agent コードパッケージのルートから、次のコマンドを実行します:

   AWS_ACCOUNT_ID=AWS_ACCOUNT_ID
   LAMBDA_ARN=LAMBDA_ARN
   
   # Build the release binary 
   cargo build --release --target=x86_64-unknown-linux-gnu
   
   # Copy the release binary into the `bin` folder
   mkdir -p ./bin
   cp ./target/x86_64-unknown-linux-gnu/release/aws_secretsmanager_agent ./bin/secrets-manager-agent
   
   # Copy the `secrets-manager-agent-extension.sh` example script into the `extensions` folder.
   mkdir -p ./extensions
   cp aws_secretsmanager_agent/examples/example-lambda-extension/secrets-manager-agent-extension.sh ./extensions
   
   # Zip the extension shell script and the binary 
   zip secrets-manager-agent-extension.zip bin/* extensions/*
   
   # Publish the layer version
   LAYER_VERSION_ARN=$(aws lambda publish-layer-version \
       --layer-name secrets-manager-agent-extension \
       --zip-file "fileb://secrets-manager-agent-extension.zip" | jq -r '.LayerVersionArn')

2. SSRF トークンを設定する

   エージェントのデフォルト設定では、SSRF トークンは、事前に設定された AWS_SESSION_TOKEN または AWS_CONTAINER_AUTHORIZATION_TOKEN 環境変数 (SnapStart が有効になっている Lambda 関数の後半変数) で設定された値に自動的に設定されます。または、Lambda 関数の任意の値を使用して AWS_TOKEN 環境変数を定義することもできます。これは、この変数が他の 2 つよりも優先されるためです。AWS_TOKEN 環境変数を使用する場合は、その環境変数を lambda:UpdateFunctionConfiguration 呼び出しで設定する必要があります。

3. レイヤーを関数にアタッチする

   レイヤーバージョンを Lambda 関数にアタッチします:

   # Attach the layer version to the Lambda function
   aws lambda update-function-configuration \
       --function-name $LAMBDA_ARN \
       --layers "$LAYER_VERSION_ARN"

4. 関数コードの更新

   X-Aws-codes-Secrets-Token ヘッダー値を上記の環境変数から取得した SSRF トークンの値に設定して http://localhost:2773/secretsmanager/get?secretId=MyTest のクエリを実行するように Lambda 関数を更新し、シークレットを取得します。Lambda 拡張機能の初期化と登録の遅延に対応するため、アプリケーションコードに再試行ロジックを実装してください。

5. 関数をテストする

   Lambda 関数を呼び出して、シークレットが正しく取得されていることを確認します。