在 GitLab 中使用 AWS Secrets Manager

创建 AWS Secrets Manager 密钥

您将需要一个 Secrets Manager 密钥，将在您的 GitLab 作业中检索该密钥，从而无需对这些凭证进行硬编码。在配置 GitLab 管道时，您将需要 Secrets Manager 的密钥 ID。请参阅创建 AWS Secrets Manager 密钥了解更多信息。

在 IAM 控制台中让 GitLab 成为您的 OIDC 提供者。

在此步骤中，您将在 IAM 控制台中使 GitLab 成为 OIDC 提供者。有关更多信息，请参阅创建 OpenID Connect（OIDC）身份提供者和 GitLab 文档。

在 IAM 控制台中创建 OIDC 提供者时，请使用以下配置：

1. 将 provider URL 设置为您的 GitLab 实例。例如 gitlab.example.com。

2. 将 audience 或 aud 设置为 sts.amazonaws.com。

创建 IAM 角色和策略

您将需要创建 IAM 角色和策略。此角色由 GitLab 使用 AWS Security Token Service（STS）担任。有关更多信息，请参阅使用自定义信任策略创建角色。

1. 在 IAM 控制台中，在创建 IAM 角色时使用以下设置：

   • 将 Trusted entity type 设置为 Web identity。

   • 将 Group 设置为 your GitLab group。

   • 将 Identity provider 设置为在步骤 2 中使用的相同提供者 URL（GitLab 实例）。

   • 将 Audience 设置为在步骤 2 中使用的相同受众。

2. 下面是允许 GitLab 担任 IAM 角色的示例信任策略。您的信任策略应列出您的 AWS 账户、GitLab URL 和项目路径。

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. 您还需要创建 IAM 策略以允许 GitLab 访问 AWS Secrets Manager。您可以将此策略添加到信任策略。有关更多信息，请参阅创建 IAM 策略。

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }