GitLab에서 AWS Secrets Manager 사용

AWS Secrets Manager 보안 암호 생성

GitLab 작업에서 가져올 Secrets Manager 보안 암호를 생성해야 합니다. 이렇게 하면 자격 증명을 GitLab 설정 파일에 하드코딩할 필요가 없습니다. GitLab 파이프라인을 구성할 때 Secrets Manager 보안 암호 ID가 필요합니다. 자세한 내용은 AWS Secrets Manager 보안 암호 생성 섹션을 참조하세요.

IAM 콘솔에서 GitLab을 OIDC 공급자로 설정

이 단계에서는 IAM 콘솔에서 GitLab을 OIDC 공급자로 등록합니다. 자세한 내용은 OpenID Connect(OIDC) 자격 증명 공급자 생성 및 GitLab 설명서를 참조하세요.

OIDC 공급자를 생성할 때는 다음 구성을 사용합니다.

1. provider URL을 GitLab 인스턴스로 설정합니다. 예를 들어 gitlab.example.com입니다.

2. audience 또는 aud를 sts.amazonaws.com으로 설정합니다.

IAM 역할 및 정책 생성

IAM 정책 및 역할을 생성해야 합니다. 이 역할은 GitLab이 AWS Security Token Service(STS)를 통해 담당합니다. 자세한 내용은 사용자 지정 신뢰 정책을 사용하여 역할 생성을 참조하세요.

1. IAM 콘솔에서 IAM 역할을 생성할 때 다음 설정을 사용합니다.

   • Trusted entity type을 Web identity으로 설정합니다.

   • Group를 your GitLab group로 설정합니다.

   • Identity provider를 2단계에서 사용한 것과 동일한 공급자 URL(GitLab 인스턴스)로 설정합니다.

   • Audience를 2단계에서 사용한 것과 동일한 대상으로 설정합니다.

2. 다음은 GitLab가 역할을 담당하도록 허용하는 신뢰 정책의 예입니다. 신뢰 정책에는 AWS 계정, GitLab URL 및 프로젝트 경로가 포함되어야 합니다.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. 또한 GitLab이 AWS Secrets Manager 액세스할 수 있도록 허용하는 IAM 정책도 생성해야 합니다. 이 정책을 신뢰 정책에 추가할 수 있습니다. 자세한 내용은 IAM 정책 생성을 참조하세요.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }