Use AWS Secrets Manager em GitLab

Crie um AWS Secrets Manager segredo

Você precisará de um segredo do Secrets Manager que será recuperado em seu GitLab trabalho e eliminará a necessidade de codificar essas credenciais. Você precisará do ID secreto do Secrets Manager ao configurar seu GitLab pipeline. Consulte Crie um AWS Secrets Manager segredo para obter mais informações.

Crie GitLab seu provedor OIDC no console do IAM.

Nesta etapa, você criará GitLab seu provedor OIDC no console do IAM. Para obter mais informações, consulte Criar um provedor de identidade e documentação do OpenID Connect (OIDC). GitLab

Ao criar o provedor OIDC no console do IAM, use as configurações a seguir:

1. Defina o provider URL para sua GitLab instância. Por exemplo, .gitlab.example.com

2. Configure audience ou aud como sts.amazonaws.com.

Criar uma política e um perfil do IAM

Será necessário criar uma política e um perfil do IAM. Essa função é assumida por GitLab with AWS Security Token Service(STS). Para obter mais informações, consulte Criação de um perfil usando políticas de confiança personalizadas.

1. No console do IAM, use as configurações a seguir ao criar o perfil do IAM:

   • Defina Trusted entity type como Web identity.

   • Defina Group como your GitLab group.

   • Identity providerDefina com o mesmo URL do provedor (a GitLab instância) que você usou na etapa 2.

   • Defina Audience como o mesmo público que você usou na etapa 2.

2. Veja a seguir um exemplo de uma política de confiança que GitLab permite assumir funções. Sua política de confiança deve listar seu Conta da AWS GitLab URL e o caminho do projeto.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. Você também precisará criar uma política do IAM para permitir o GitLab acesso AWS Secrets Manager a. É possível adicionar essa política à sua política de confiança. Para obter mais informações, consulte Criação de políticas de IAM.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }