DNS-01 चुनौती र AWS प्रयोग गरेर चलो एन्क्रिप्ट SSL प्रमाणपत्र व्यवस्थापनको स्वचालन

पोष्टले SSL प्रमाणपत्रहरूको व्यवस्थापनलाई स्वचालित गर्न चरणहरू वर्णन गर्दछ CA एन्क्रिप्ट गरौं प्रयोग गर्दै DNS-01 चुनौती и AWS.

acme-dns-route53 एउटा उपकरण हो जसले हामीलाई यो सुविधा लागू गर्न अनुमति दिनेछ। यसले Let's Encrypt बाट SSL प्रमाणपत्रहरूसँग काम गर्न सक्छ, तिनीहरूलाई Amazon प्रमाणपत्र प्रबन्धकमा बचत गर्नुहोस्, DNS-53 चुनौती कार्यान्वयन गर्न Route01 API प्रयोग गर्नुहोस्, र, अन्तमा, SNS मा सूचनाहरू पुश गर्नुहोस्। IN acme-dns-route53 त्यहाँ AWS Lambda भित्र प्रयोगको लागि निर्मित कार्यक्षमता पनि छ, र यो हामीलाई आवश्यक छ।

यो लेख 4 खण्डहरूमा विभाजित छ:

• zip फाइल सिर्जना गर्दै;
• IAM भूमिका सिर्जना;
• चल्ने lambda प्रकार्य सिर्जना गर्दै acme-dns-route53;
• क्लाउडवाच टाइमर सिर्जना गर्दै जसले दिनमा २ पटक प्रकार्य ट्रिगर गर्दछ;

नोट: तपाइँ सुरु गर्नु अघि तपाइँ स्थापना गर्न आवश्यक छ GoLang 1.9+ и AWS CLI

zip फाइल सिर्जना गर्दै

acme-dns-route53 GoLang मा लेखिएको छ र 1.9 भन्दा कम संस्करण समर्थन गर्दछ।

हामीले बाइनरीको साथ जिप फाइल बनाउनु पर्छ acme-dns-route53 भित्र। यो गर्नको लागि तपाईंले स्थापना गर्न आवश्यक छ acme-dns-route53 आदेश प्रयोग गरेर GitHub भण्डारबाट go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

बाइनरी मा स्थापित छ $GOPATH/bin निर्देशिका। कृपया ध्यान दिनुहोस् कि स्थापनाको समयमा हामीले दुई परिवर्तन वातावरण निर्दिष्ट गरेका छौं: GOOS=linux и GOARCH=amd64। तिनीहरूले गो कम्पाइलरलाई स्पष्ट पार्छन् कि यसले लिनक्स ओएस र amd64 आर्किटेक्चरको लागि उपयुक्त बाइनरी सिर्जना गर्न आवश्यक छ - यो AWS मा चल्छ।
AWS ले हाम्रो कार्यक्रमलाई zip फाइलमा डिप्लोइ गर्ने अपेक्षा गर्दछ, त्यसैले सिर्जना गरौं acme-dns-route53.zip अभिलेख जसमा नयाँ स्थापित बाइनरी समावेश हुनेछ:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

नोट: बाइनरी zip अभिलेखको मूलमा हुनुपर्छ। यसका लागि हामी प्रयोग गर्छौं -j झण्डा।

अब हाम्रो zip उपनाम परिनियोजनको लागि तयार छ, बाँकी सबै आवश्यक अधिकारहरूसँग भूमिका सिर्जना गर्न हो।

IAM भूमिका सिर्जना गर्दै

हामीले यसको कार्यान्वयनको क्रममा हाम्रो Lambda द्वारा आवश्यक अधिकारहरूसँग IAM भूमिका सेट अप गर्न आवश्यक छ।
यसलाई नीति भनिन्छ lambda-acme-dns-route53-executor र तुरुन्तै उसलाई आधारभूत भूमिका दिनुहोस् AWSLambdaBasicExecutionRole। यसले हाम्रो lambda लाई AWS CloudWatch सेवामा लगहरू चलाउन र लेख्न अनुमति दिनेछ।
पहिले, हामी हाम्रो अधिकारहरू वर्णन गर्ने JSON फाइल सिर्जना गर्छौं। यसले अनिवार्य रूपमा lambda सेवाहरूलाई भूमिका प्रयोग गर्न अनुमति दिनेछ lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

हाम्रो फाइलको सामग्रीहरू निम्नानुसार छन्:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}:<AWS_ACCOUNT_ID>:<TOPIC_NAME>",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*"
            ]
        }
    ]
}

अब आदेश चलाउनुहोस् aws iam create-role भूमिका सिर्जना गर्न:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

नोट: नीति ARN (Amazon Resource Name) सम्झनुहोस् - हामीलाई अर्को चरणहरूमा यसको आवश्यकता हुनेछ।

भूमिका lambda-acme-dns-route53-executor सिर्जना गरियो, अब हामीले यसको लागि अनुमतिहरू निर्दिष्ट गर्न आवश्यक छ। यो गर्न को लागी सबै भन्दा सजिलो तरीका आदेश को उपयोग गर्न को लागी छ aws iam attach-role-policy, पारित नीति ARN AWSLambdaBasicExecutionRole निम्न अनुसार:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

नोट: अन्य नीतिहरूको सूची फेला पार्न सकिन्छ यहाँ.

चल्ने lambda प्रकार्य सिर्जना गर्दै acme-dns-route53

हुर्रे! अब तपाइँ आदेश प्रयोग गरेर AWS मा हाम्रो प्रकार्य तैनात गर्न सक्नुहुन्छ aws lambda create-function। Lambda निम्न वातावरण चर प्रयोग गरेर कन्फिगर गर्नुपर्छ:

• AWS_LAMBDA - स्पष्ट पार्छ acme-dns-route53 त्यो कार्यान्वयन AWS Lambda भित्र हुन्छ।
• DOMAINS - अल्पविरामद्वारा विभाजित डोमेनहरूको सूची।
• LETSENCRYPT_EMAIL - समावेश छ इमेल इन्क्रिप्ट गरौं.
• NOTIFICATION_TOPIC - SNS सूचना विषयको नाम (वैकल्पिक)।
• STAGING - मूल्य मा 1 स्टेजिङ वातावरण प्रयोग गरिन्छ।
• 1024 MB - मेमोरी सीमा, परिवर्तन गर्न सकिन्छ।
• 900 सेकेन्ड (१५ मिनेट) — टाइमआउट।
• acme-dns-route53 — हाम्रो बाइनरीको नाम, जुन अभिलेखमा छ।
• fileb://~/acme-dns-route53.zip — हामीले सिर्जना गरेको अभिलेखको बाटो।

अब तैनाथ गरौं:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",[email protected],STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "[email protected]", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

CloudWatch टाइमर सिर्जना गर्दै जुन दिनमा २ पटक कार्य ट्रिगर गर्दछ

अन्तिम चरण क्रोन सेटअप गर्नु हो, जसले हाम्रो प्रकार्यलाई दिनमा दुई पटक कल गर्दछ:

• मानको साथ क्लाउडवाच नियम सिर्जना गर्नुहोस् schedule_expression.
• lambda प्रकार्यको ARN निर्दिष्ट गरेर नियम लक्ष्य (के कार्यान्वयन गर्नुपर्छ) सिर्जना गर्नुहोस्।
• lambda प्रकार्य कल गर्न नियमलाई अनुमति दिनुहोस्।

तल मैले मेरो Terraform कन्फिगरेसन संलग्न गरेको छु, तर वास्तवमा यो AWS कन्सोल वा AWS CLI प्रयोग गरेर धेरै सरल रूपमा गरिन्छ।

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

अब तपाई स्वचालित रूपमा SSL प्रमाणपत्रहरू सिर्जना र अद्यावधिक गर्न कन्फिगर गरिएको छ

स्रोत: www.habr.com