🥇Automazione della gestione dei certificati SSL di Let’s Encrypt utilizzando la sfida DNS-01 e AWS

Il post descrive i passaggi per automatizzare la gestione dei certificati SSL di Let’s Encrypt CA utilizzando la sfida DNS-01 e AWS.

acme-dns-route53 — è uno strumento che ci permetterà di implementare questa funzionalità. È in grado di lavorare con i certificati SSL di Let’s Encrypt, salvarli in Amazon Certificate Manager, utilizzare l'API Route53 per implementare la sfida DNS-01 e, infine, inviare notifiche a SNS. In acme-dns-route53 è anche presente una funzionalità integrata per l'uso all'interno di AWS Lambda, ed è proprio ciò di cui abbiamo bisogno.

Questo articolo è suddiviso in 4 sezioni:

creazione di un file zip;
creazione di un ruolo IAM;
creazione di una funzione lambda che avvia acme-dns-route53;
creazione di un timer CloudWatch che attiva la funzione 2 volte al giorno;

Nota: prima di iniziare è necessario installare GoLang 1.9+ e AWS CLI

Creazione di un file zip

acme-dns-route53 è scritto in GoLang e supporta la versione non inferiore a 1.9.

Dobbiamo creare un file zip con il binario acme-dns-route53 all'interno. Per fare ciò è necessario installare acme-dns-route53 dal repository GitHub usando il comando go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

Il binario è installato nella $GOPATH/bin directory. Si noti che durante l'installazione abbiamo specificato due variabili d'ambiente: GOOS=linux e GOARCH=amd64. Queste indicano al compilatore Go di creare un binario adatto per il sistema operativo Linux e architettura amd64 — è ciò che viene eseguito in AWS.
AWS presuppone il deployment del nostro programma in un file zip, quindi creiamo acme-dns-route53.zip un archivio che conterrà il binario appena installato:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

Nota: il binario deve essere nella radice dell'archivio zip. A tal fine utilizziamo -j l'opzione.

Ora il nostro zip è pronto per il deployment, resta solo da creare un ruolo con i permessi necessari.

Creazione di un ruolo IAM

Dobbiamo configurare un ruolo IAM con i permessi necessari per la nostra lambda durante la sua esecuzione.
Chiamiamo questa policy lambda-acme-dns-route53-executor e le assegniamo subito un ruolo di base AWSLambdaBasicExecutionRole. Questo permetterà alla nostra lambda di avviarsi e registrare i log nel servizio AWS CloudWatch.
Iniziamo creando un file JSON in cui sono descritti i nostri permessi. Questo sostanzialmente consentirà ai servizi lambda di utilizzare il ruolo lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

Il contenuto del nostro file è il seguente:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:::log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}::",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:::certificate/*"
            ]
        }
    ]
}

Ora eseguiamo il comando aws iam create-role per creare un ruolo:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

Nota: ricorda l'ARN della policy (Amazon Resource Name) — ci servirà nei passaggi successivi.

Ruolo lambda-acme-dns-route53-executor creato, ora dobbiamo specificare i permessi per esso. Il modo più semplice per farlo è utilizzare il comando aws iam attach-role-policy, passando l'ARN della policy AWSLambdaBasicExecutionRole nel seguente modo:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Nota: l'elenco delle altre politiche può essere trovato qui.

Creazione di una funzione lambda che esegue acme-dns-route53

Evviva! Ora possiamo anche distribuire la nostra funzione su AWS utilizzando il comando aws lambda create-function. La lambda deve essere configurata utilizzando le seguenti variabili ambientali:

AWS_LAMBDA indica acme-dns-route53 che l'esecuzione avviene all'interno di AWS Lambda.
DOMAINS l'elenco dei domini, separati da virgole.
LETSENCRYPT_EMAIL contiene Email di Let’s Encrypt.
NOTIFICATION_TOPIC il nome del SNS Notification Topic (opzionale).
STAGING con un valore 1 viene utilizzato l'ambiente di staging.
1024 MB — limite di memoria, può essere cambiato.
900 secs (15 min) — timeout.
acme-dns-route53 il nome del nostro binario, che si trova nell'archivio.
fileb://~/acme-dns-route53.zip il percorso all'archivio che abbiamo creato.

Ora distribuiamo:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam:::role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",LETSENCRYPT_EMAIL=begmaroman@gmail.com,STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "your@email.com", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam:::role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1::function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

Creazione di un timer CloudWatch che attiva la funzione 2 volte al giorno

L'ultimo passaggio consiste nel configurare un cron che chiama la nostra funzione due volte al giorno:

crea una regola CloudWatch con il valore schedule_expression.
crea un obiettivo della regola (cosa deve essere eseguito), specificando l'ARN della funzione Lambda.
dai il permesso alla regola di chiamare la funzione Lambda.

Di seguito ho allegato la mia configurazione Terraform, ma in realtà si fa molto facilmente tramite la console AWS o AWS CLI.

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

Ora anche tu hai configurato la creazione e l'aggiornamento automatico dei certificati SSL.

Fonte: habr.com