Uso do AWS Secrets Manager no GitLab

Criação de um segredo do AWS Secrets Manager

Será necessário um segredo do Secrets Manager, que será recuperado em seu trabalho no GitLab e eliminará a necessidade de fazer a codificação rígida dessas credenciais. Você precisará do ID de segredo do Secrets Manager ao configurar seu pipeline do GitLab. Consulte Criação de um segredo do AWS Secrets Manager para obter mais informações.

Faça do GitLab seu provedor de OIDC no console do IAM.

Nesta etapa, você fará do GitLab seu provedor de OIDC no console do IAM. Para obter mais informações, consulte Criação de um provedor de identidade OpenID Connect (OIDC) e a documentação do GitLab.

Ao criar o provedor OIDC no console do IAM, use as configurações a seguir:

1. Defina o provider URL para sua instância do GitLab. Por exemplo, gitlab.example.com.

2. Configure audience ou aud como sts.amazonaws.com.

Criar uma política e um perfil do IAM

Será necessário criar uma política e um perfil do IAM. Esse perfil é assumido pelo GitLab com o AWS Security Token Service (STS). Para obter mais informações, consulte Criação de um perfil usando políticas de confiança personalizadas.

1. No console do IAM, use as configurações a seguir ao criar o perfil do IAM:

   • Defina Trusted entity type como Web identity.

   • Defina Group como your GitLab group.

   • Defina Identity provider com o mesmo URL do provedor (a instância do GitLab) que você usou na etapa 2.

   • Defina Audience como o mesmo público que você usou na etapa 2.

2. O exemplo a seguir é de uma política de confiança que permite que o GitLab assuma perfis. Sua política de confiança deve listar sua Conta da AWS, o URL do GitLab e o caminho do projeto.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. Você também precisará criar uma política do IAM para permitir acesso do GitLab ao AWS Secrets Manager. É possível adicionar essa política à sua política de confiança. Para obter mais informações, consulte Criação de políticas de IAM.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }