DNS-01 ચેલેન્જ અને AWS નો ઉપયોગ કરીને Let's Encrypt SSL પ્રમાણપત્ર મેનેજમેન્ટનું ઓટોમેશન

આ પોસ્ટ SSL પ્રમાણપત્રોના સંચાલનને સ્વચાલિત કરવાના પગલાઓનું વર્ણન કરે છે ચાલો CA ને એન્ક્રિપ્ટ કરીએ ઉપયોગ કરીને DNS-01 પડકાર и AWS.

acme-dns-route53 એક સાધન છે જે અમને આ સુવિધાને અમલમાં મૂકવાની મંજૂરી આપશે. તે Let's Encrypt ના SSL પ્રમાણપત્રો સાથે કામ કરી શકે છે, તેમને Amazon પ્રમાણપત્ર મેનેજરમાં સાચવી શકે છે, DNS-53 પડકારને અમલમાં મૂકવા માટે Route01 API નો ઉપયોગ કરી શકે છે અને છેલ્લે, SNS પર સૂચનાઓ પુશ કરી શકે છે. IN acme-dns-route53 AWS Lambda ની અંદર ઉપયોગ કરવા માટે બિલ્ટ-ઇન કાર્યક્ષમતા પણ છે, અને આ જ આપણને જોઈએ છે.

આ લેખ 4 વિભાગોમાં વહેંચાયેલો છે:

• ઝિપ ફાઇલ બનાવવી;
• IAM ભૂમિકા બનાવવી;
• લેમ્બડા ફંક્શન બનાવવું જે ચાલે છે acme-dns-route53;
• CloudWatch ટાઈમર બનાવવું જે દિવસમાં 2 વખત ફંક્શનને ટ્રિગર કરે છે;

નૉૅધ: તમે પ્રારંભ કરો તે પહેલાં તમારે ઇન્સ્ટોલ કરવાની જરૂર છે GoLang 1.9+ и AWS CLI

ઝિપ ફાઇલ બનાવી રહી છે

acme-dns-route53 GoLang માં લખાયેલ છે અને 1.9 કરતા ઓછા સંસ્કરણને સપોર્ટ કરે છે.

આપણે બાઈનરી સાથે ઝિપ ફાઈલ બનાવવાની જરૂર છે acme-dns-route53 અંદર આ કરવા માટે તમારે ઇન્સ્ટોલ કરવાની જરૂર છે acme-dns-route53 આદેશનો ઉપયોગ કરીને GitHub રીપોઝીટરીમાંથી go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

દ્વિસંગી માં સ્થાપિત થયેલ છે $GOPATH/bin ડિરેક્ટરી. મહેરબાની કરીને નોંધ કરો કે ઇન્સ્ટોલેશન દરમિયાન અમે બે બદલાયેલા વાતાવરણનો ઉલ્લેખ કર્યો છે: GOOS=linux и GOARCH=amd64. તેઓ ગો કમ્પાઈલરને સ્પષ્ટ કરે છે કે તેને Linux OS અને amd64 આર્કિટેક્ચર માટે યોગ્ય બાઈનરી બનાવવાની જરૂર છે - આ તે છે જે AWS પર ચાલે છે.
AWS અપેક્ષા રાખે છે કે અમારો પ્રોગ્રામ ઝિપ ફાઇલમાં જમાવવામાં આવે, તેથી ચાલો બનાવીએ acme-dns-route53.zip આર્કાઇવ જેમાં નવી ઇન્સ્ટોલ કરેલી બાઈનરી હશે:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

નૉૅધ: બાઈનરી ઝિપ આર્કાઈવના રુટમાં હોવી જોઈએ. આ માટે અમે ઉપયોગ કરીએ છીએ -j ધ્વજ

હવે અમારું ઝિપ ઉપનામ જમાવટ માટે તૈયાર છે, જે બાકી છે તે જરૂરી અધિકારો સાથે ભૂમિકા બનાવવાનું છે.

IAM ભૂમિકા બનાવવી

અમારે તેના અમલ દરમિયાન અમારા લેમ્બડા દ્વારા જરૂરી અધિકારો સાથે IAM ભૂમિકા સેટ કરવાની જરૂર છે.
ચાલો આ નીતિ કહીએ lambda-acme-dns-route53-executor અને તરત જ તેણીને મૂળભૂત ભૂમિકા આપો AWSLambdaBasicExecutionRole. આ અમારા લેમ્બડાને AWS CloudWatch સેવા પર લૉગ્સ ચલાવવા અને લખવાની મંજૂરી આપશે.
પ્રથમ, અમે એક JSON ફાઇલ બનાવીએ છીએ જે અમારા અધિકારોનું વર્ણન કરે છે. આ આવશ્યકપણે લેમ્બડા સેવાઓને ભૂમિકાનો ઉપયોગ કરવાની મંજૂરી આપશે lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

અમારી ફાઇલની સામગ્રી નીચે મુજબ છે:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}:<AWS_ACCOUNT_ID>:<TOPIC_NAME>",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*"
            ]
        }
    ]
}

હવે ચાલો આદેશ ચલાવીએ aws iam create-role ભૂમિકા બનાવવા માટે:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

નૉૅધ: પોલિસી ARN (એમેઝોન રિસોર્સ નેમ) યાદ રાખો - અમને આગળના પગલાઓમાં તેની જરૂર પડશે.

ભૂમિકા lambda-acme-dns-route53-executor બનાવેલ છે, હવે આપણે તેના માટે પરવાનગીઓ સ્પષ્ટ કરવાની જરૂર છે. આ કરવાનો સૌથી સહેલો રસ્તો આદેશનો ઉપયોગ કરવાનો છે aws iam attach-role-policy, પાસિંગ પોલિસી ARN AWSLambdaBasicExecutionRole નીચે પ્રમાણે છે:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

નૉૅધ: અન્ય નીતિઓ સાથેની સૂચિ મળી શકે છે અહીં.

લેમ્બડા ફંક્શન બનાવવું જે ચાલે છે acme-dns-route53

હુરે! હવે તમે આદેશનો ઉપયોગ કરીને અમારા કાર્યને AWS પર જમાવી શકો છો aws lambda create-function. લેમ્બડાને નીચેના પર્યાવરણ ચલોનો ઉપયોગ કરીને રૂપરેખાંકિત કરવું આવશ્યક છે:

• AWS_LAMBDA - તે સ્પષ્ટ કરે છે acme-dns-route53 તે અમલ AWS Lambda ની અંદર થાય છે.
• DOMAINS - અલ્પવિરામ દ્વારા વિભાજિત ડોમેન્સની સૂચિ.
• LETSENCRYPT_EMAIL - સમાવે છે ચાલો ઈમેલ એન્ક્રિપ્ટ કરીએ.
• NOTIFICATION_TOPIC - SNS સૂચના વિષયનું નામ (વૈકલ્પિક).
• STAGING - કિંમત પર 1 સ્ટેજીંગ પર્યાવરણનો ઉપયોગ થાય છે.
• 1024 MB - મેમરી મર્યાદા, બદલી શકાય છે.
• 900 સેકન્ડ (15 મિનિટ) — સમયસમાપ્તિ.
• acme-dns-route53 - અમારી બાઈનરીનું નામ, જે આર્કાઈવમાં છે.
• fileb://~/acme-dns-route53.zip - અમે બનાવેલ આર્કાઇવનો માર્ગ.

હવે જમાવવા દો:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",[email protected],STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "[email protected]", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

CloudWatch ટાઈમર બનાવવું જે દિવસમાં 2 વખત ફંક્શનને ટ્રિગર કરે છે

છેલ્લું પગલું એ ક્રોન સેટ કરવાનું છે, જે અમારા કાર્યને દિવસમાં બે વાર કૉલ કરે છે:

• મૂલ્ય સાથે CloudWatch નિયમ બનાવો schedule_expression.
• લેમ્બડા ફંક્શનના ARN નો ઉલ્લેખ કરીને નિયમ લક્ષ્ય (શું ચલાવવું જોઈએ) બનાવો.
• લેમ્બડા ફંક્શનને કૉલ કરવા માટે નિયમને પરવાનગી આપો.

નીચે મેં મારી ટેરાફોર્મ રૂપરેખા જોડી છે, પરંતુ વાસ્તવમાં આ AWS કન્સોલ અથવા AWS CLI નો ઉપયોગ કરીને ખૂબ જ સરળ રીતે કરવામાં આવે છે.

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

હવે તમે SSL પ્રમાણપત્રો આપમેળે બનાવવા અને અપડેટ કરવા માટે ગોઠવેલ છો

સોર્સ: www.habr.com