DNS-01 चुनौती और AWS का उपयोग करके आइए SSL प्रमाणपत्र प्रबंधन को एन्क्रिप्ट करें का स्वचालन

पोस्ट में एसएसएल प्रमाणपत्रों के प्रबंधन को स्वचालित करने के चरणों का वर्णन किया गया है आइए CA को एन्क्रिप्ट करें का उपयोग करते हुए डीएनएस-01 चुनौती и एडब्ल्यूएस.

एक्मे-डीएनएस-रूट53 एक उपकरण है जो हमें इस सुविधा को लागू करने की अनुमति देगा। यह लेट्स एनक्रिप्ट के एसएसएल प्रमाणपत्रों के साथ काम कर सकता है, उन्हें अमेज़ॅन सर्टिफिकेट मैनेजर में सहेज सकता है, डीएनएस-53 चुनौती को लागू करने के लिए रूट01 एपीआई का उपयोग कर सकता है, और अंत में, एसएनएस पर सूचनाएं भेज सकता है। में एक्मे-डीएनएस-रूट53 AWS लैम्ब्डा के अंदर उपयोग के लिए अंतर्निहित कार्यक्षमता भी है, और यही हमें चाहिए।

यह लेख 4 खंडों में विभाजित है:

• एक ज़िप फ़ाइल बनाना;
• IAM भूमिका बनाना;
• एक लैम्ब्डा फ़ंक्शन बनाना जो चलता है एक्मे-डीएनएस-रूट53;
• एक क्लाउडवॉच टाइमर बनाना जो किसी फ़ंक्शन को दिन में 2 बार ट्रिगर करता है;

नोट: शुरू करने से पहले आपको इंस्टॉल करना होगा गोलैंग 1.9+ и AWS सीएलआई

एक ज़िप फ़ाइल बनाना

acme-dns-route53 GoLang में लिखा गया है और 1.9 से कम संस्करण का समर्थन नहीं करता है।

हमें बाइनरी के साथ एक ज़िप फ़ाइल बनाने की आवश्यकता है acme-dns-route53 अंदर। ऐसा करने के लिए आपको इंस्टॉल करना होगा acme-dns-route53 कमांड का उपयोग करके GitHub रिपॉजिटरी से go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

बाइनरी स्थापित है $GOPATH/bin निर्देशिका। कृपया ध्यान दें कि स्थापना के दौरान हमने दो परिवर्तित परिवेश निर्दिष्ट किए थे: GOOS=linux и GOARCH=amd64. वे गो कंपाइलर को यह स्पष्ट कर देते हैं कि उसे लिनक्स ओएस और एएमडी64 आर्किटेक्चर के लिए उपयुक्त बाइनरी बनाने की आवश्यकता है - यही AWS पर चलता है।
AWS को उम्मीद है कि हमारा प्रोग्राम एक ज़िप फ़ाइल में तैनात किया जाएगा, तो चलिए बनाते हैं acme-dns-route53.zip संग्रह जिसमें नव स्थापित बाइनरी शामिल होगी:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

नोट: बाइनरी ज़िप संग्रह के मूल में होनी चाहिए. इसके लिए हम प्रयोग करते हैं -j झंडा।

अब हमारा ज़िप उपनाम तैनाती के लिए तैयार है, जो कुछ बचा है वह आवश्यक अधिकारों के साथ एक भूमिका बनाना है।

IAM भूमिका बनाना

हमें इसके निष्पादन के दौरान हमारे लैम्ब्डा द्वारा आवश्यक अधिकारों के साथ एक IAM भूमिका स्थापित करने की आवश्यकता है।
आइए इसे नीति कहते हैं lambda-acme-dns-route53-executor और तुरंत उसे एक बुनियादी भूमिका दें AWSLambdaBasicExecutionRole. यह हमारे लैम्ब्डा को AWS क्लाउडवॉच सेवा में लॉग चलाने और लिखने की अनुमति देगा।
सबसे पहले, हम एक JSON फ़ाइल बनाते हैं जो हमारे अधिकारों का वर्णन करती है। यह अनिवार्य रूप से लैम्ब्डा सेवाओं को भूमिका का उपयोग करने की अनुमति देगा lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

हमारी फ़ाइल की सामग्री इस प्रकार है:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}:<AWS_ACCOUNT_ID>:<TOPIC_NAME>",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*"
            ]
        }
    ]
}

अब कमांड चलाते हैं aws iam create-role एक भूमिका बनाने के लिए:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

नोट: नीति ARN (अमेज़ॅन रिसोर्स नेम) याद रखें - हमें अगले चरणों में इसकी आवश्यकता होगी।

भूमिका lambda-acme-dns-route53-executor बनाया गया, अब हमें इसके लिए अनुमतियाँ निर्दिष्ट करने की आवश्यकता है। ऐसा करने का सबसे आसान तरीका कमांड का उपयोग करना है aws iam attach-role-policy, पासिंग पॉलिसी एआरएन AWSLambdaBasicExecutionRole निम्नानुसार है:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

नोट: अन्य नीतियों के साथ एक सूची पाई जा सकती है यहां.

एक लैम्ब्डा फ़ंक्शन बनाना जो चलता है एक्मे-डीएनएस-रूट53

हुर्रे! अब आप कमांड का उपयोग करके हमारे फ़ंक्शन को AWS पर तैनात कर सकते हैं aws lambda create-function. लैम्ब्डा को निम्नलिखित पर्यावरण चर का उपयोग करके कॉन्फ़िगर किया जाना चाहिए:

• AWS_LAMBDA - यह स्पष्ट करता है एक्मे-डीएनएस-रूट53 वह निष्पादन AWS लैम्ब्डा के अंदर होता है।
• DOMAINS - अल्पविराम द्वारा अलग किए गए डोमेन की एक सूची।
• LETSENCRYPT_EMAIL - रोकना आइए ईमेल एन्क्रिप्ट करें.
• NOTIFICATION_TOPIC - एसएनएस अधिसूचना विषय का नाम (वैकल्पिक)।
• STAGING - मूल्य पर 1 स्टेजिंग वातावरण का उपयोग किया जाता है।
• 1024 एमबी - मेमोरी सीमा, बदली जा सकती है।
• 900 सेकंड (15 मिनट) - समय समाप्ति।
• acme-dns-route53 - हमारे बाइनरी का नाम, जो संग्रह में है।
• fileb://~/acme-dns-route53.zip — हमारे द्वारा बनाए गए संग्रह का पथ।

अब आइए तैनात करें:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",[email protected],STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "[email protected]", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

एक क्लाउडवॉच टाइमर बनाना जो किसी फ़ंक्शन को दिन में 2 बार ट्रिगर करता है

अंतिम चरण क्रॉन स्थापित करना है, जो हमारे फ़ंक्शन को दिन में दो बार कॉल करता है:

• मान के साथ क्लाउडवॉच नियम बनाएं schedule_expression.
• लैम्ब्डा फ़ंक्शन के ARN को निर्दिष्ट करके एक नियम लक्ष्य बनाएं (क्या निष्पादित किया जाना चाहिए)।
• लैम्ब्डा फ़ंक्शन को कॉल करने के लिए नियम को अनुमति दें।

नीचे मैंने अपना टेराफ़ॉर्म कॉन्फ़िगरेशन संलग्न किया है, लेकिन वास्तव में यह AWS कंसोल या AWS CLI का उपयोग करके बहुत ही सरलता से किया जाता है।

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

अब आप स्वचालित रूप से एसएसएल प्रमाणपत्र बनाने और अपडेट करने के लिए कॉन्फ़िगर हो गए हैं

स्रोत: www.habr.com