A bejegyzés lépéseket ír le a Let’s Encrypt SSL tanúsítványok automatizált kezeléséhez használatával és AWS.
— ez egy eszköz, amely lehetővé teszi számunkra, hogy ezt a funkciót megvalósítsuk. Képes működni a Let’s Encrypt SSL tanúsítványokkal, tárolni azokat az Amazon Certificate Manager-ben, használni a Route53 API-t a DNS-01 kihívás megvalósításához, és végül értesítéseket küldeni az SNS-be. Az acme-dns-route53 is tartalmaz beépített funkciót az AWS Lambda használatához, és ez az, amire szükségünk van.
Ez a cikk négy részre van bontva:
- zip fájl létrehozása;
- IAM szerep létrehozása;
- lambda funkció létrehozása, ami elindítja acme-dns-route53;
- CloudWatch időzítő létrehozása, ami naponta kétszer aktiválja a funkciót;
Megjegyzés: mielőtt elkezdjük, telepítenünk kell és
Zip fájl létrehozása
az acme-dns-route53 GoLang nyelven íródott, és támogatja a 1.9-es vagy annál magasabb verziót.
Zip fájlt kell létrehoznunk a bináris fájlhoz acme-dns-route53 bennünket. Ehhez telepítenünk kell acme-dns-route53 a GitHub tárolóból a következő parancs használatával go install:
$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53A bináris fájl a $GOPATH/bin könyvtárba van telepítve. Kérjük, vegye figyelembe, hogy a telepítés során két környezeti változót adtunk meg: GOOS=linux és GOARCH=amd64. Ezek tudatják a Go fordítóval, hogy a bináris fájlt Linux OS-hez és amd64 architektúrához kell létrehozni — ez az, ami az AWS-ben fut.
Az AWS előírja a programunk zip fájlban történő telepítését, szóval készítsünk acme-dns-route53.zip archívumot, amely tartalmazza a frissen telepített bináris fájlt:
$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53Megjegyzés: a bináris fájlnak a zip fájl gyökerében kell lennie. Ehhez alkalmazzuk -j a flag-et.
Most, hogy a zip fájlunk kész a telepítésre, csak egy szerepet kell létrehoznunk a szükséges jogokkal.
IAM szerep létrehozása
Be kell állítanunk egy IAM szerepet a Lambda végrehajtása során szükséges jogokkal.
Ezt a házirendet nevezzük el lambda-acme-dns-route53-executor és azonnal adjuk meg neki az alap szerepet AWSLambdaBasicExecutionRole. Ez lehetővé teszi a Lambda működését és a naplók írását az AWS CloudWatch szolgáltatásba.
Először létrehozunk egy JSON fájlt, amely leírja jogainkat. Ez igazából lehetővé teszi a lambda szolgáltatások számára a szerep használatát. lambda-acme-dns-route53-executor:
$ touch ~/lambda-acme-dns-route53-executor-policy.jsonA fájlunk tartalma a következő:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"logs:CreateLogGroup"
],
"Resource": "arn:aws:logs:::*"
},
{
"Effect": "Allow",
"Action": [
"logs:PutLogEvents",
"logs:CreateLogStream"
],
"Resource": "arn:aws:logs:::log-group:/aws/lambda/acme-dns-route53:*"
},
{
"Sid": "",
"Effect": "Allow",
"Action": [
"route53:ListHostedZones",
"cloudwatch:PutMetricData",
"acm:ImportCertificate",
"acm:ListCertificates"
],
"Resource": "*"
},
{
"Sid": "",
"Effect": "Allow",
"Action": [
"sns:Publish",
"route53:GetChange",
"route53:ChangeResourceRecordSets",
"acm:ImportCertificate",
"acm:DescribeCertificate"
],
"Resource": [
"arn:aws:sns:${var.region}::",
"arn:aws:route53:::hostedzone/*",
"arn:aws:route53:::change/*",
"arn:aws:acm:::certificate/*"
]
}
]
}Most már végrehajtjuk a parancsot aws iam create-role a szerepkör létrehozásához:
$ aws iam create-role --role-name lambda-acme-dns-route53-executor
--assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.jsonMegjegyzés: jegyezze meg a policy ARN-t (Amazon Resource Name) - erre szükség lesz a következő lépésekben.
A szerepkör lambda-acme-dns-route53-executor létrejött, most meg kell adnunk neki a jogosultságokat. A legegyszerűbb módja ennek a végrehajtása a következő parancs használata: aws iam attach-role-policy, a policy ARN átadásával AWSLambdaBasicExecutionRole így:
$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRoleMegjegyzés: a többi politika listája itt található .
Lambda funkció létrehozása, amely futtatja acme-dns-route53
Hurrá! Most már telepíthetjük a funkciónkat az AWS-re a következő parancs használatával: aws lambda create-function. A Lambda-t a következő környezeti változók használatával kell konfigurálni:
AWS_LAMBDA— jelzi, hogy a végrehajtás az AWS Lambda-ban történik. acme-dns-route53 DOMAINS— a domainok listája, vesszővel elválasztva.LETSENCRYPT_EMAIL— tartalmazza aLet’s Encrypt Email-t .— a SNS Notification Topic neve (opcionális).STAGING— ha ez az érték van megadva, staging környezet használatos.MB — memória korlát, módosítható.1secs (15 perc) — időtúllépés.1024— a bináris fájlunk neve, amely a archívumban található.900— az archivált fájlunk elérési útja.acme-dns-route53Most telepítjük:fileb://~/acme-dns-route53.zipMost telepítsük:
Most telepítünk:
$ aws lambda create-function
--function-name acme-dns-route53
--runtime go1.x
--role arn:aws:iam:::role/lambda-acme-dns-route53-executor
--environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",LETSENCRYPT_EMAIL=begmaroman@gmail.com,STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}"
--memory-size 1024
--timeout 900
--handler acme-dns-route53
--zip-file fileb://~/acme-dns-route53.zip
{
"FunctionName": "acme-dns-route53",
"LastModified": "2019-05-03T19:07:09.325+0000",
"RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558",
"MemorySize": 1024,
"Environment": {
"Variables": {
"DOMAINS": "example1.com,example2.com",
"STAGING": "1",
"LETSENCRYPT_EMAIL": "your@email.com",
"NOTIFICATION_TOPIC": "acme-dns-route53-obtained",
"AWS_LAMBDA": "1"
}
},
"Version": "$LATEST",
"Role": "arn:aws:iam:::role/lambda-acme-dns-route53-executor",
"Timeout": 900,
"Runtime": "go1.x",
"TracingConfig": {
"Mode": "PassThrough"
},
"CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=",
"Description": "",
"CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1::function:acme-dns-route53",
"Handler": "acme-dns-route53"
}CloudWatch időzítő létrehozása, amely naponta kétszer aktiválja a funkciót
Az utolsó lépés a krónikai ütemezés beállítása, amely naponta kétszer hívja meg a funkciónkat:
- cloudwatch szabály létrehozása az alábbi értékkel
schedule_expression. - a szabály célt létrehozni (amit végre kell hajtani), megadva a lambda funkció ARN-jét.
- megtartani a szabályt, hogy meghívhassa a lambda függvényt.
Alább csatoltam a Terraform konfigurációmat, de igazából ezt nagyon egyszerűen meg lehet oldani az AWS konzolon vagy AWS CLI-vel.
# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
name = "acme-dns-route53-issuer-scheduler"
schedule_expression = "cron(0 */12 * * ? *)"
}
# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
arn = "${aws_lambda_function.acme_dns_route53.arn}"
}
# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
action = "lambda:InvokeFunction"
function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
principal = "events.amazonaws.com"
source_arn = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}Most már Önnek is be van állítva az SSL tanúsítványok automatikus létrehozása és frissítése
Forrás: habr.com
