DNS-01 ചലഞ്ചും AWS ഉം ഉപയോഗിച്ച് നമുക്ക് SSL സർട്ടിഫിക്കറ്റ് മാനേജ്‌മെന്റ് എൻക്രിപ്റ്റ് ചെയ്യാം

എസ്എസ്എൽ സർട്ടിഫിക്കറ്റുകളുടെ മാനേജ്മെന്റ് ഓട്ടോമേറ്റ് ചെയ്യുന്നതിനുള്ള നടപടികൾ പോസ്റ്റ് വിവരിക്കുന്നു നമുക്ക് CA എൻക്രിപ്റ്റ് ചെയ്യാം ഉപയോഗിക്കുന്നു DNS-01 വെല്ലുവിളി и AWS.

acme-dns-route53 ഈ സവിശേഷത നടപ്പിലാക്കാൻ ഞങ്ങളെ അനുവദിക്കുന്ന ഒരു ഉപകരണമാണ്. ഇത് നമുക്ക് എൻക്രിപ്റ്റ് ചെയ്യുന്നതിൽ നിന്നുള്ള SSL സർട്ടിഫിക്കറ്റുകൾക്കൊപ്പം പ്രവർത്തിക്കാനും ആമസോൺ സർട്ടിഫിക്കറ്റ് മാനേജറിൽ സംരക്ഷിക്കാനും DNS-53 ചലഞ്ച് നടപ്പിലാക്കാൻ Route01 API ഉപയോഗിക്കാനും ഒടുവിൽ, SNS-ലേക്ക് അറിയിപ്പുകൾ പുഷ് ചെയ്യാനും കഴിയും. IN acme-dns-route53 AWS ലാംഡയ്ക്കുള്ളിൽ ഉപയോഗിക്കുന്നതിന് ബിൽറ്റ്-ഇൻ പ്രവർത്തനവും ഉണ്ട്, ഇതാണ് ഞങ്ങൾക്ക് വേണ്ടത്.

ഈ ലേഖനം 4 വിഭാഗങ്ങളായി തിരിച്ചിരിക്കുന്നു:

• ഒരു zip ഫയൽ സൃഷ്ടിക്കുന്നു;
• ഒരു IAM റോൾ സൃഷ്ടിക്കുന്നു;
• പ്രവർത്തിക്കുന്ന ഒരു ലാംഡ ഫംഗ്ഷൻ സൃഷ്ടിക്കുന്നു acme-dns-route53;
• ഒരു ദിവസം 2 തവണ ഒരു ഫംഗ്‌ഷൻ പ്രവർത്തനക്ഷമമാക്കുന്ന ഒരു CloudWatch ടൈമർ സൃഷ്‌ടിക്കുന്നു;

കുറിപ്പ്: നിങ്ങൾ ആരംഭിക്കുന്നതിന് മുമ്പ് നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്യണം GoLang 1.9+ и AWS CLI

ഒരു zip ഫയൽ സൃഷ്ടിക്കുന്നു

acme-dns-route53 GoLang-ൽ എഴുതിയതാണ് കൂടാതെ 1.9-ൽ താഴെയുള്ള പതിപ്പിനെ പിന്തുണയ്ക്കുന്നു.

നമുക്ക് ഒരു ബൈനറി ഉപയോഗിച്ച് ഒരു zip ഫയൽ സൃഷ്ടിക്കേണ്ടതുണ്ട് acme-dns-route53 അകത്ത്. ഇത് ചെയ്യുന്നതിന്, നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്യണം acme-dns-route53 കമാൻഡ് ഉപയോഗിച്ച് GitHub റിപ്പോസിറ്ററിയിൽ നിന്ന് go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

ബൈനറി ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട് $GOPATH/bin ഡയറക്ടറി. ഇൻസ്റ്റാളേഷൻ സമയത്ത് ഞങ്ങൾ രണ്ട് മാറിയ പരിതസ്ഥിതികൾ സൂചിപ്പിച്ചുവെന്നത് ശ്രദ്ധിക്കുക: GOOS=linux и GOARCH=amd64. Linux OS-നും amd64 ആർക്കിടെക്ചറിനും അനുയോജ്യമായ ഒരു ബൈനറി സൃഷ്ടിക്കേണ്ടതുണ്ടെന്ന് അവർ Go കംപൈലറോട് വ്യക്തമാക്കുന്നു - ഇതാണ് AWS-ൽ പ്രവർത്തിക്കുന്നത്.
ഞങ്ങളുടെ പ്രോഗ്രാം ഒരു zip ഫയലിൽ വിന്യസിക്കുമെന്ന് AWS പ്രതീക്ഷിക്കുന്നു, അതിനാൽ നമുക്ക് സൃഷ്ടിക്കാം acme-dns-route53.zip പുതുതായി ഇൻസ്റ്റാൾ ചെയ്ത ബൈനറി ഉൾക്കൊള്ളുന്ന ആർക്കൈവ്:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

കുറിപ്പ്: സിപ്പ് ആർക്കൈവിന്റെ റൂട്ടിൽ ബൈനറി ഉണ്ടായിരിക്കണം. ഇതിനായി ഞങ്ങൾ ഉപയോഗിക്കുന്നു -j പതാക.

ഇപ്പോൾ ഞങ്ങളുടെ zip വിളിപ്പേര് വിന്യാസത്തിന് തയ്യാറാണ്, ആവശ്യമായ അവകാശങ്ങളുള്ള ഒരു റോൾ സൃഷ്ടിക്കുക മാത്രമാണ് അവശേഷിക്കുന്നത്.

ഒരു IAM റോൾ സൃഷ്ടിക്കുന്നു

അതിന്റെ നിർവ്വഹണ വേളയിൽ ഞങ്ങളുടെ ലാംഡയ്ക്ക് ആവശ്യമായ അവകാശങ്ങളുള്ള ഒരു IAM റോൾ ഞങ്ങൾ സജ്ജീകരിക്കേണ്ടതുണ്ട്.
ഈ നയത്തെ നമുക്ക് വിളിക്കാം lambda-acme-dns-route53-executor ഉടനെ അവൾക്ക് ഒരു അടിസ്ഥാന വേഷം നൽകുക AWSLambdaBasicExecutionRole. ഇത് ഞങ്ങളുടെ ലാംഡയെ AWS CloudWatch സേവനത്തിലേക്ക് പ്രവർത്തിപ്പിക്കാനും ലോഗുകൾ എഴുതാനും അനുവദിക്കും.
ആദ്യം, ഞങ്ങളുടെ അവകാശങ്ങൾ വിവരിക്കുന്ന ഒരു JSON ഫയൽ ഞങ്ങൾ സൃഷ്ടിക്കുന്നു. ഇത് പ്രധാനമായും ലാംഡ സേവനങ്ങളെ റോൾ ഉപയോഗിക്കാൻ അനുവദിക്കും lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

ഞങ്ങളുടെ ഫയലിന്റെ ഉള്ളടക്കം ഇപ്രകാരമാണ്:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}:<AWS_ACCOUNT_ID>:<TOPIC_NAME>",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*"
            ]
        }
    ]
}

ഇനി നമുക്ക് കമാൻഡ് പ്രവർത്തിപ്പിക്കാം aws iam create-role ഒരു റോൾ സൃഷ്ടിക്കാൻ:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

കുറിപ്പ്: നയം ഓർക്കുക ARN (ആമസോൺ റിസോഴ്സ് നാമം) - അടുത്ത ഘട്ടങ്ങളിൽ ഞങ്ങൾക്ക് ഇത് ആവശ്യമാണ്.

പങ്ക് lambda-acme-dns-route53-executor സൃഷ്ടിച്ചു, ഇപ്പോൾ നമ്മൾ അതിനുള്ള അനുമതികൾ വ്യക്തമാക്കേണ്ടതുണ്ട്. ഇതിനുള്ള എളുപ്പവഴി കമാൻഡ് ഉപയോഗിക്കുക എന്നതാണ് aws iam attach-role-policy, പാസിംഗ് നയം ARN AWSLambdaBasicExecutionRole ഇനിപ്പറയുന്ന പ്രകാരം:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

കുറിപ്പ്: മറ്റ് നയങ്ങളുള്ള ഒരു ലിസ്റ്റ് കാണാം ഇവിടെ.

പ്രവർത്തിക്കുന്ന ഒരു ലാംഡ ഫംഗ്‌ഷൻ സൃഷ്‌ടിക്കുന്നു acme-dns-route53

ഹൂറേ! ഇപ്പോൾ നിങ്ങൾക്ക് കമാൻഡ് ഉപയോഗിച്ച് AWS-ലേക്ക് ഞങ്ങളുടെ പ്രവർത്തനം വിന്യസിക്കാനാകും aws lambda create-function. ഇനിപ്പറയുന്ന പരിസ്ഥിതി വേരിയബിളുകൾ ഉപയോഗിച്ച് ലാംഡ കോൺഫിഗർ ചെയ്യണം:

• AWS_LAMBDA - അത് വ്യക്തമാക്കുന്നു acme-dns-route53 AWS ലാംഡയ്ക്കുള്ളിലാണ് വധശിക്ഷ നടക്കുന്നത്.
• DOMAINS - കോമകളാൽ വേർതിരിച്ച ഡൊമെയ്‌നുകളുടെ ഒരു ലിസ്റ്റ്.
• LETSENCRYPT_EMAIL - അടങ്ങിയിരിക്കുന്നു നമുക്ക് ഇമെയിൽ എൻക്രിപ്റ്റ് ചെയ്യാം.
• NOTIFICATION_TOPIC - SNS അറിയിപ്പ് വിഷയത്തിന്റെ പേര് (ഓപ്ഷണൽ).
• STAGING - മൂല്യത്തിൽ 1 സ്റ്റേജിംഗ് പരിസ്ഥിതി ഉപയോഗിക്കുന്നു.
• 1024 MB - മെമ്മറി പരിധി, മാറ്റാൻ കഴിയും.
• 900 സെക്കൻഡ് (15 മിനിറ്റ്) - സമയപരിധി.
• acme-dns-route53 - ആർക്കൈവിൽ ഉള്ള ഞങ്ങളുടെ ബൈനറിയുടെ പേര്.
• fileb://~/acme-dns-route53.zip - ഞങ്ങൾ സൃഷ്ടിച്ച ആർക്കൈവിലേക്കുള്ള പാത.

ഇപ്പോൾ നമുക്ക് വിന്യസിക്കാം:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",[email protected],STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "[email protected]", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

ഒരു ദിവസം 2 തവണ ഒരു ഫംഗ്‌ഷൻ പ്രവർത്തനക്ഷമമാക്കുന്ന ഒരു CloudWatch ടൈമർ സൃഷ്‌ടിക്കുന്നു

ക്രോൺ സജ്ജീകരിക്കുക എന്നതാണ് അവസാന ഘട്ടം, അത് ദിവസത്തിൽ രണ്ടുതവണ ഞങ്ങളുടെ പ്രവർത്തനത്തെ വിളിക്കുന്നു:

• മൂല്യം ഉപയോഗിച്ച് ഒരു CloudWatch നിയമം സൃഷ്ടിക്കുക schedule_expression.
• ലാംഡ ഫംഗ്‌ഷന്റെ ARN വ്യക്തമാക്കിക്കൊണ്ട് ഒരു റൂൾ ടാർഗെറ്റ് സൃഷ്‌ടിക്കുക (എന്ത് നടപ്പിലാക്കണം).
• ലാംഡ ഫംഗ്‌ഷൻ വിളിക്കാൻ നിയമത്തിന് അനുമതി നൽകുക.

ചുവടെ ഞാൻ എന്റെ ടെറാഫോം കോൺഫിഗറേഷൻ അറ്റാച്ച് ചെയ്തിട്ടുണ്ട്, എന്നാൽ വാസ്തവത്തിൽ ഇത് വളരെ ലളിതമായി AWS കൺസോൾ അല്ലെങ്കിൽ AWS CLI ഉപയോഗിച്ചാണ് ചെയ്യുന്നത്.

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

SSL സർട്ടിഫിക്കറ്റുകൾ സ്വയമേവ സൃഷ്‌ടിക്കാനും അപ്‌ഡേറ്റ് ചെയ്യാനും നിങ്ങൾ ഇപ്പോൾ കോൺഫിഗർ ചെയ്‌തു

അവലംബം: www.habr.com