AWS Secrets Manager 에이전트 사용

RPM 기반 시스템에서 빌드하는 방법

1. 리포지토리에 제공된 install 스크립트를 실행합니다.

   스크립트는 시작 시 무작위 SSRF 토큰을 생성한 후 이를 /var/run/awssmatoken 파일에 저장합니다. 설치 스크립트가 생성하는 awssmatokenreader 그룹에서 토큰을 읽을 수 있습니다.

2. 애플리케이션이 토큰 파일을 읽을 수 있도록 하려면 애플리케이션을 실행하는 사용자 계정을 awssmatokenreader 그룹에 추가해야 합니다. 예를 들어 다음 usermod 명령을 사용하여 토큰 파일을 읽을 수 있는 권한을 애플리케이션에 부여할 수 있습니다. 여기서 <APP_USER>는 애플리케이션을 실행하는 사용자 ID입니다.

   sudo usermod -aG awssmatokenreader <APP_USER>

   개발 도구 설치

   AL2023과 같은 RPM 기반 시스템에서는 개발 도구 그룹을 설치합니다.

   sudo yum -y groupinstall "Development Tools"

3. Rust 설치

   Rust 설명서의 Rust 설치 지침에 따라 설치합니다.

   curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
   . "$HOME/.cargo/env"

4. 에이전트 빌드

   cargo build 명령을 사용해 Secrets Manager Agent를 빌드합니다.

   cargo build --release

   target/release/aws_secretsmanager_agent에서 실행 파일을 찾을 수 있습니다.

Debian 기반 시스템에서 빌드하는 방법

1. 개발 도구 설치

   Ubuntu와 같은 Debian 기반 시스템에서는 build-essential 패키지를 설치합니다.

   sudo apt install build-essential

2. Rust 설치

   Rust 설명서의 Rust 설치 지침에 따라 설치합니다.

   curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh # Follow the on-screen instructions
   . "$HOME/.cargo/env"

3. 에이전트 빌드

   cargo build 명령을 사용해 Secrets Manager Agent를 빌드합니다.

   cargo build --release

   target/release/aws_secretsmanager_agent에서 실행 파일을 찾을 수 있습니다.

Windows에서 빌드하는 방법

1. 개발 환경 설정

   Microsoft Windows 설명서의 Windows용 Rust 개발 환경 설정 지침에 따라 개발 환경을 설정합니다.

2. 에이전트 빌드

   cargo build 명령을 사용해 Secrets Manager Agent를 빌드합니다.

   cargo build --release

   target/release/aws_secretsmanager_agent.exe에서 실행 파일을 찾을 수 있습니다.

기본적으로 교차 컴파일하는 방법

1. 교차 컴파일 도구 설치

   Ubuntu와 같이 mingw-w64 패키지를 사용할 수 있는 배포판에서는 다음과 같이 교차 컴파일 도구 체인을 설치합니다.

   # Install the cross compile tool chain
   sudo add-apt-repository universe
   sudo apt install -y mingw-w64

2. Rust 빌드 대상 추가

   Windows GNU 빌드 대상을 설치합니다.

   rustup target add x86_64-pc-windows-gnu

3. Windows용으로 빌드

   Windows용으로 에이전트를 교차 컴파일합니다.

   cargo build --release --target x86_64-pc-windows-gnu

   target/x86_64-pc-windows-gnu/release/aws_secretsmanager_agent.exe에서 실행 파일을 찾을 수 있습니다.

Rust cross를 사용하여 교차 컴파일하는 방법

시스템에서 교차 컴파일 도구가 기본적으로 제공되지 않는 경우 Rust 크로스 프로젝트를 사용할 수 있습니다. 자세한 내용은 https://github.com/cross-rs/cross를 참조하세요.

1. Docker 설정

   Docker를 설치 및 구성합니다.

   # Install and start docker
   sudo yum -y install docker
   sudo systemctl start docker
   sudo systemctl enable docker # Make docker start after reboot

2. Docker 권한 구성

   Docker 그룹에 사용자를 추가합니다.

   # Give ourselves permission to run the docker images without sudo
   sudo usermod -aG docker $USER
   newgrp docker

3. Windows용으로 빌드

   cross를 설치하고 실행 파일을 빌드합니다.

   # Install cross and cross compile the executable
   cargo install cross
   cross build --release --target x86_64-pc-windows-gnu

Amazon EC2에 Secrets Manager Agent를 설치하는 방법

1. 구성 디렉터리로 이동

   구성 디렉터리로 변경합니다.

   cd aws_secretsmanager_agent/configuration

2. 설치 스크립트 실행

   리포지토리에 제공된 install 스크립트를 실행합니다.

   스크립트는 시작 시 무작위 SSRF 토큰을 생성한 후 이를 /var/run/awssmatoken 파일에 저장합니다. 설치 스크립트가 생성하는 awssmatokenreader 그룹에서 토큰을 읽을 수 있습니다.

3. 애플리케이션 권한 구성

   애플리케이션이 실행되는 사용자 계정을 awssmatokenreader 그룹에 추가합니다.

   sudo usermod -aG awssmatokenreader APP_USER

   APP_USER를 애플리케이션이 실행되는 사용자 ID로 바꿔 입력합니다.

Secrets Manager Agent의 사이드카 컨테이너를 생성하는 방법

1. 에이전트 Dockerfile 생성

   Secrets Manager Agent 사이드카 컨테이너용 Dockerfile을 생성합니다.

   # Use the latest Debian image as the base
   FROM debian:latest
   
   # Set the working directory inside the container
   WORKDIR /app 
   
   # Copy the Secrets Manager Agent binary to the container
   COPY secrets-manager-agent . 
   
   # Install any necessary dependencies
   RUN apt-get update && apt-get install -y ca-certificates 
   
   # Set the entry point to run the Secrets Manager Agent binary
   ENTRYPOINT ["./secrets-manager-agent"]

2. 애플리케이션 Dockerfile 생성

   클라이언트 애플리케이션용 Dockerfile을 생성합니다.

3. Docker Compose 파일 생성

   두 컨테이너를 공유 네트워크 인터페이스로 실행하기 위한 Docker Compose 파일을 생성합니다.

   중요

   Secrets Manager Agent를 사용하려면 애플리케이션에 대한 AWS 자격 증명과 SSRF 토큰을 로드해야 합니다. Amazon EKS 및 Amazon ECS의 경우 다음 문서를 참조하세요.

   • Amazon EKS 사용 설명서의 액세스 관리

   • Amazon ECS 개발자 가이드의 Amazon ECS 작업 IAM 역할

   version: '3'
   services:
       client-application:
       container_name: client-application
       build:
           context: .
           dockerfile: Dockerfile.client
       command: tail -f /dev/null  # Keep the container running
       
   
       secrets-manager-agent:
       container_name: secrets-manager-agent
       build:
           context: .
           dockerfile: Dockerfile.agent
       network_mode: "container:client-application"  # Attach to the client-application container's network
       depends_on:
           - client-application

4. 에이전트 바이너리 복사

   Dockerfiles 및 Docker Compose 파일이 포함된 동일한 디렉터리에 secrets-manager-agent 바이너리를 복사합니다.

5. 컨테이너 빌드 및 실행

   Docker Compose를 사용하여 컨테이너를 빌드하고 실행합니다.

   docker-compose up --build

6. 다음 단계

   이제 Secrets Manager Agent를 사용하여 클라이언트 컨테이너에서 보안 암호를 가져올 수 있습니다. 자세한 내용은 Secrets Manager Agent를 사용하여 보안 암호 검색 섹션을 참조하세요.

Secrets Manager Agent용 Lambda 확장을 생성하는 방법

1. 에이전트 계층 패키징

   Secrets Manager Agent 코드 패키지의 루트에서 다음 명령을 실행합니다.

   AWS_ACCOUNT_ID=AWS_ACCOUNT_ID
   LAMBDA_ARN=LAMBDA_ARN
   
   # Build the release binary 
   cargo build --release --target=x86_64-unknown-linux-gnu
   
   # Copy the release binary into the `bin` folder
   mkdir -p ./bin
   cp ./target/x86_64-unknown-linux-gnu/release/aws_secretsmanager_agent ./bin/secrets-manager-agent
   
   # Copy the `secrets-manager-agent-extension.sh` example script into the `extensions` folder.
   mkdir -p ./extensions
   cp aws_secretsmanager_agent/examples/example-lambda-extension/secrets-manager-agent-extension.sh ./extensions
   
   # Zip the extension shell script and the binary 
   zip secrets-manager-agent-extension.zip bin/* extensions/*
   
   # Publish the layer version
   LAYER_VERSION_ARN=$(aws lambda publish-layer-version \
       --layer-name secrets-manager-agent-extension \
       --zip-file "fileb://secrets-manager-agent-extension.zip" | jq -r '.LayerVersionArn')

2. SSRF 토큰 구성

   에이전트의 기본 구성에서는 SSRF 토큰을 미리 설정된 AWS_SESSION_TOKEN 또는 AWS_CONTAINER_AUTHORIZATION_TOKEN 환경 변수에 설정된 값(후자는 SnapStart가 활성화된 Lambda 함수에 사용됨)으로 자동 설정합니다. 또는 Lambda 함수에서 임의 값으로 AWS_TOKEN 환경 변수를 정의할 수 있으며, 이 경우 위 두 변수보다 우선 적용됩니다. AWS_TOKEN 환경 변수를 사용하기로 선택하면, 반드시 lambda:UpdateFunctionConfiguration 호출을 통해 해당 환경 변수를 설정해야 합니다.

3. 계층을 함수에 연결

   계층을 Lambda 함수에 연결합니다.

   # Attach the layer version to the Lambda function
   aws lambda update-function-configuration \
       --function-name $LAMBDA_ARN \
       --layers "$LAYER_VERSION_ARN"

4. 함수 코드 업데이트

   Lambda 함수가 http://localhost:2773/secretsmanager/get?secretId=MyTest를 호출하도록 코드를 업데이트하고, 요청 헤더 X-Aws-codes-Secrets-Token에는 위에서 설정한 SSRF 토큰 값을 넣어 보안 암호를 가져옵니다. 애플리케이션 코드에 재시도 로직을 구현하여 Lambda 확장의 초기화 및 등록 지연을 수용할 수 있도록 해야 합니다.

5. 함수 테스트

   Lambda 함수를 간접적으로 호출하여 보안 암호를 올바르게 가져오는지 확인합니다.