Let's Encrypt SSL სერთიფიკატის მართვის ავტომატიზაცია DNS-01 გამოწვევისა და AWS-ის გამოყენებით

პოსტი აღწერს ნაბიჯებს SSL სერთიფიკატების მართვის ავტომატიზაციისთვის მოდით დავშიფროთ CA გამოყენებით DNS-01 გამოწვევა и AWS.

acme-dns-route53 არის ინსტრუმენტი, რომელიც მოგვცემს საშუალებას განვახორციელოთ ეს ფუნქცია. მას შეუძლია იმუშაოს Let's Encrypt-ის SSL სერთიფიკატებთან, შეინახოს ისინი Amazon Certificate Manager-ში, გამოიყენოს Route53 API DNS-01 გამოწვევის განსახორციელებლად და, ბოლოს და ბოლოს, შეტყობინებების დაყენება SNS-ზე. IN acme-dns-route53 ასევე არის ჩაშენებული ფუნქციონირება AWS Lambda-ს შიგნით გამოსაყენებლად და ეს არის ის, რაც ჩვენ გვჭირდება.

ეს სტატია დაყოფილია 4 ნაწილად:

• zip ფაილის შექმნა;
• IAM-ის როლის შექმნა;
• ლამბდა ფუნქციის შექმნა, რომელიც მუშაობს acme-dns-route53;
• CloudWatch ტაიმერის შექმნა, რომელიც ააქტიურებს ფუნქციას დღეში 2-ჯერ;

შენიშვნა: სანამ დაიწყებთ, თქვენ უნდა დააინსტალიროთ GoLang 1.9+ и AWS CLI

zip ფაილის შექმნა

acme-dns-route53 დაწერილია GoLang-ში და მხარს უჭერს ვერსიას არანაკლებ 1.9.

ჩვენ უნდა შევქმნათ zip ფაილი ორობითი acme-dns-route53 შიგნით. ამისათვის თქვენ უნდა დააინსტალიროთ acme-dns-route53 GitHub საცავიდან ბრძანების გამოყენებით go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

ბინარი დამონტაჟებულია $GOPATH/bin დირექტორია. გთხოვთ გაითვალისწინოთ, რომ ინსტალაციის დროს ჩვენ განვსაზღვრეთ ორი შეცვლილი გარემო: GOOS=linux и GOARCH=amd64. ისინი Go compiler-ს უხსნიან, რომ მას სჭირდება Linux OS-ისთვის და amd64 არქიტექტურისთვის შესაფერისი ბინარის შექმნა - ეს არის ის, რაც მუშაობს AWS-ზე.
AWS მოელის, რომ ჩვენი პროგრამა განთავსდება zip ფაილში, ასე რომ, მოდით შევქმნათ acme-dns-route53.zip არქივი, რომელიც შეიცავს ახლად დაყენებულ ბინარს:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

შენიშვნა: ორობითი უნდა იყოს zip არქივის ძირში. ამისთვის ვიყენებთ -j დროშა.

ახლა ჩვენი zip მეტსახელი მზად არის განლაგებისთვის, რჩება მხოლოდ როლის შექმნა საჭირო უფლებებით.

IAM როლის შექმნა

ჩვენ უნდა დავაყენოთ IAM როლი იმ უფლებებით, რომლებსაც ჩვენი ლამბდა მოითხოვს მისი შესრულების დროს.
დავარქვათ ეს პოლიტიკა lambda-acme-dns-route53-executor და დაუყოვნებლივ მიეცით მას ძირითადი როლი AWSLambdaBasicExecutionRole. ეს საშუალებას მისცემს ჩვენს ლამბდას გაუშვას და ჩაწეროს ჟურნალები AWS CloudWatch სერვისში.
პირველი, ჩვენ ვქმნით JSON ფაილს, რომელიც აღწერს ჩვენს უფლებებს. ეს არსებითად საშუალებას მისცემს ლამბდა სერვისებს გამოიყენონ როლი lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

ჩვენი ფაილის შინაარსი შემდეგია:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}:<AWS_ACCOUNT_ID>:<TOPIC_NAME>",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*"
            ]
        }
    ]
}

ახლა მოდით გავუშვათ ბრძანება aws iam create-role როლის შესაქმნელად:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

შენიშვნა: დაიმახსოვრეთ პოლიტიკა ARN (Amazon რესურსის სახელი) - ის დაგვჭირდება შემდეგ ნაბიჯებში.

როლი lambda-acme-dns-route53-executor შექმნილია, ახლა ჩვენ უნდა მივუთითოთ მასზე ნებართვები. ამის გაკეთების ყველაზე მარტივი გზა არის ბრძანების გამოყენება aws iam attach-role-policy, გადის პოლიტიკა ARN AWSLambdaBasicExecutionRole შემდეგნაირად:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

შენიშვნა: შეგიძლიათ იპოვოთ სია სხვა პოლიტიკით აქ.

ლამბდა ფუნქციის შექმნა, რომელიც მუშაობს acme-dns-route53

ჰოო! ახლა თქვენ შეგიძლიათ განათავსოთ ჩვენი ფუნქცია AWS-ზე ბრძანების გამოყენებით aws lambda create-function. ლამბდა უნდა იყოს კონფიგურირებული შემდეგი გარემოს ცვლადების გამოყენებით:

• AWS_LAMBDA - ცხადყოფს acme-dns-route53 რომ შესრულება ხდება AWS Lambda-ში.
• DOMAINS - მძიმით გამოყოფილი დომენების სია.
• LETSENCRYPT_EMAIL - შეიცავს მოდით დავშიფროთ ელ.წერილი.
• NOTIFICATION_TOPIC — SNS შეტყობინების თემის სახელი (არასავალდებულო).
• STAGING - ღირებულებით 1 გამოიყენება დადგმის გარემო.
• 1024 MB - მეხსიერების ლიმიტი, შეიძლება შეიცვალოს.
• 900 წამი (15 წთ) - დრო.
• acme-dns-route53 — ჩვენი ბინარის სახელი, რომელიც არქივშია.
• fileb://~/acme-dns-route53.zip — გზა არქივისკენ, რომელიც ჩვენ შევქმენით.

ახლა მოდით განვათავსოთ:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",[email protected],STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "[email protected]", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

CloudWatch ტაიმერის შექმნა, რომელიც ააქტიურებს ფუნქციას დღეში 2-ჯერ

ბოლო ნაბიჯი არის cron-ის დაყენება, რომელიც იძახებს ჩვენს ფუნქციას დღეში ორჯერ:

• შექმენით CloudWatch წესი მნიშვნელობით schedule_expression.
• შექმენით წესის მიზანი (რა უნდა შესრულდეს) ლამბდა ფუნქციის ARN-ის მითითებით.
• ნება მიეცით წესს ლამბდა ფუნქციის გამოძახების.

ქვემოთ მე მივამაგრე ჩემი Terraform კონფიგურაცია, მაგრამ სინამდვილეში ეს კეთდება ძალიან მარტივად AWS კონსოლის ან AWS CLI-ის გამოყენებით.

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

ახლა თქვენ კონფიგურირებული ხართ ავტომატურად შექმნათ და განაახლოთ SSL სერთიფიკატები

წყარო: www.habr.com