DNS-01 চ্যালেঞ্জ এবং AWS ব্যবহার করে Let's Encrypt SSL সার্টিফিকেট ব্যবস্থাপনার অটোমেশন

পোস্টটি থেকে SSL সার্টিফিকেটের ব্যবস্থাপনা স্বয়ংক্রিয় করার পদক্ষেপগুলি বর্ণনা করে৷ আসুন CA এনক্রিপ্ট করি ব্যবহার DNS-01 চ্যালেঞ্জ и ডেস্কটপ AWS.

acme-dns-route53 একটি টুল যা আমাদের এই বৈশিষ্ট্য বাস্তবায়ন করার অনুমতি দেবে। এটি Let's Encrypt থেকে SSL শংসাপত্রের সাথে কাজ করতে পারে, সেগুলিকে Amazon Certificate Manager-এ সেভ করতে পারে, DNS-53 চ্যালেঞ্জ বাস্তবায়ন করতে Route01 API ব্যবহার করতে পারে, এবং অবশেষে, SNS-এ পুশ বিজ্ঞপ্তিগুলি। ভিতরে acme-dns-route53 AWS Lambda-এর ভিতরে ব্যবহারের জন্য অন্তর্নির্মিত কার্যকারিতাও রয়েছে এবং এটি আমাদের প্রয়োজন।

এই নিবন্ধটি 4টি বিভাগে বিভক্ত:

• একটি জিপ ফাইল তৈরি করা;
• একটি IAM ভূমিকা তৈরি করা;
• একটি ল্যাম্বডা ফাংশন তৈরি করা যা চলে acme-dns-route53;
• একটি ক্লাউডওয়াচ টাইমার তৈরি করা যা দিনে 2 বার একটি ফাংশন ট্রিগার করে;

বিঃদ্রঃ: আপনি শুরু করার আগে আপনাকে ইনস্টল করতে হবে GoLang 1.9+ и এডাব্লুএস সি এল আই

একটি জিপ ফাইল তৈরি করা হচ্ছে

acme-dns-route53 GoLang-এ লেখা এবং 1.9-এর কম সংস্করণ সমর্থন করে।

আমাদের একটি বাইনারি দিয়ে একটি জিপ ফাইল তৈরি করতে হবে acme-dns-route53 ভিতরে এটি করার জন্য আপনাকে ইনস্টল করতে হবে acme-dns-route53 কমান্ড ব্যবহার করে GitHub সংগ্রহস্থল থেকে go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

বাইনারি ইনস্টল করা হয় $GOPATH/bin ডিরেক্টরি অনুগ্রহ করে মনে রাখবেন যে ইনস্টলেশনের সময় আমরা দুটি পরিবর্তিত পরিবেশ নির্দিষ্ট করেছি: GOOS=linux и GOARCH=amd64. তারা Go কম্পাইলারকে স্পষ্ট করে দেয় যে এটিকে Linux OS এবং amd64 আর্কিটেকচারের জন্য উপযুক্ত একটি বাইনারি তৈরি করতে হবে - এটি AWS-এ চলে।
AWS আশা করে যে আমাদের প্রোগ্রামটি একটি জিপ ফাইলে স্থাপন করা হবে, তাই আসুন তৈরি করি acme-dns-route53.zip সংরক্ষণাগার যা নতুন ইনস্টল করা বাইনারি ধারণ করবে:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

বিঃদ্রঃ: বাইনারিটি জিপ সংরক্ষণাগারের মূলে থাকা উচিত। এর জন্য আমরা ব্যবহার করি -j পতাকা

এখন আমাদের জিপ ডাকনাম স্থাপনের জন্য প্রস্তুত, যা বাকি আছে তা হল প্রয়োজনীয় অধিকার সহ একটি ভূমিকা তৈরি করা।

একটি আইএএম ভূমিকা তৈরি করা

এটি কার্যকর করার সময় আমাদের ল্যাম্বডা দ্বারা প্রয়োজনীয় অধিকারগুলির সাথে আমাদের একটি আইএএম ভূমিকা সেট আপ করতে হবে।
এর এই নীতি কল করা যাক lambda-acme-dns-route53-executor এবং অবিলম্বে তাকে একটি মৌলিক ভূমিকা দিন AWSLambdaBasicExecutionRole. এটি আমাদের ল্যাম্বডাকে AWS ক্লাউডওয়াচ পরিষেবাতে লগগুলি চালানোর এবং লিখতে অনুমতি দেবে৷
প্রথমত, আমরা একটি JSON ফাইল তৈরি করি যা আমাদের অধিকার বর্ণনা করে। এটি মূলত ল্যাম্বডা পরিষেবাগুলিকে ভূমিকা ব্যবহার করার অনুমতি দেবে৷ lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

আমাদের ফাইলের বিষয়বস্তু নিম্নরূপ:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}:<AWS_ACCOUNT_ID>:<TOPIC_NAME>",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*"
            ]
        }
    ]
}

এখন কমান্ড রান করা যাক aws iam create-role একটি ভূমিকা তৈরি করতে:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

বিঃদ্রঃ: নীতি ARN (Amazon Resource Name) মনে রাখবেন - পরবর্তী ধাপে আমাদের এটির প্রয়োজন হবে।

ভূমিকা lambda-acme-dns-route53-executor তৈরি করা হয়েছে, এখন আমাদের এটির জন্য অনুমতি নির্দিষ্ট করতে হবে। এটি করার সবচেয়ে সহজ উপায় হল কমান্ডটি ব্যবহার করা aws iam attach-role-policy, পাসিং পলিসি ARN AWSLambdaBasicExecutionRole নিম্নরূপ:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

বিঃদ্রঃ: অন্যান্য নীতির সাথে একটি তালিকা পাওয়া যাবে এখানে.

একটি ল্যাম্বডা ফাংশন তৈরি করা যা চলে acme-dns-route53

হুররে! এখন আপনি কমান্ড ব্যবহার করে AWS-এ আমাদের ফাংশন স্থাপন করতে পারেন aws lambda create-function. ল্যাম্বডা অবশ্যই নিম্নলিখিত পরিবেশের ভেরিয়েবলগুলি ব্যবহার করে কনফিগার করা উচিত:

• AWS_LAMBDA - এটা পরিষ্কার করে acme-dns-route53 যে মৃত্যুদন্ড AWS Lambda ভিতরে ঘটে.
• DOMAINS — কমা দ্বারা পৃথক করা ডোমেনের একটি তালিকা।
• LETSENCRYPT_EMAIL - রয়েছে এর ইমেল এনক্রিপ্ট করা যাক.
• NOTIFICATION_TOPIC - SNS বিজ্ঞপ্তি বিষয়ের নাম (ঐচ্ছিক)।
• STAGING - মূল্যে 1 স্টেজিং পরিবেশ ব্যবহার করা হয়।
• 1024 MB - মেমরি সীমা, পরিবর্তন করা যেতে পারে.
• 900 সেকেন্ড (15 মিনিট) — সময় শেষ।
• acme-dns-route53 — আমাদের বাইনারির নাম, যা আর্কাইভে আছে।
• fileb://~/acme-dns-route53.zip — আমরা তৈরি করা আর্কাইভের পথ।

এখন মোতায়েন করা যাক:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",[email protected],STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "[email protected]", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

একটি ক্লাউডওয়াচ টাইমার তৈরি করা যা দিনে 2 বার একটি ফাংশন ট্রিগার করে৷

শেষ ধাপ হল ক্রন সেট আপ করা, যা আমাদের ফাংশনকে দিনে দুবার কল করে:

• মান দিয়ে একটি CloudWatch নিয়ম তৈরি করুন schedule_expression.
• ল্যাম্বডা ফাংশনের ARN উল্লেখ করে একটি নিয়ম লক্ষ্য (কী কার্যকর করা উচিত) তৈরি করুন।
• ল্যাম্বডা ফাংশন কল করার নিয়মের অনুমতি দিন।

নীচে আমি আমার Terraform কনফিগারেশন সংযুক্ত করেছি, কিন্তু আসলে এটি AWS কনসোল বা AWS CLI ব্যবহার করে খুব সহজভাবে করা হয়।

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

এখন আপনি স্বয়ংক্রিয়ভাবে SSL শংসাপত্র তৈরি এবং আপডেট করতে কনফিগার করেছেন৷

উত্স: www.habr.com