DNS-01 ਚੁਣੌਤੀ ਅਤੇ AWS ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ Let's Encrypt SSL ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਬੰਧਨ ਦਾ ਆਟੋਮੇਸ਼ਨ

ਪੋਸਟ SSL ਸਰਟੀਫਿਕੇਟਾਂ ਦੇ ਪ੍ਰਬੰਧਨ ਨੂੰ ਸਵੈਚਾਲਤ ਕਰਨ ਲਈ ਕਦਮਾਂ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ ਆਓ CA ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰੀਏ ਵਰਤ DNS-01 ਚੁਣੌਤੀ и ਪ੍ਰਸਥਿਤੀ.

acme-dns-route53 ਇੱਕ ਸਾਧਨ ਹੈ ਜੋ ਸਾਨੂੰ ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ। ਇਹ Let's Encrypt ਤੋਂ SSL ਸਰਟੀਫਿਕੇਟਾਂ ਨਾਲ ਕੰਮ ਕਰ ਸਕਦਾ ਹੈ, ਉਹਨਾਂ ਨੂੰ Amazon Certificate Manager ਵਿੱਚ ਸੇਵ ਕਰ ਸਕਦਾ ਹੈ, DNS-53 ਚੁਣੌਤੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ Route01 API ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਅੰਤ ਵਿੱਚ, SNS ਨੂੰ ਸੂਚਨਾਵਾਂ ਪੁਸ਼ ਕਰ ਸਕਦਾ ਹੈ। IN acme-dns-route53 AWS Lambda ਦੇ ਅੰਦਰ ਵਰਤਣ ਲਈ ਬਿਲਟ-ਇਨ ਕਾਰਜਕੁਸ਼ਲਤਾ ਵੀ ਹੈ, ਅਤੇ ਇਹ ਉਹੀ ਹੈ ਜਿਸਦੀ ਸਾਨੂੰ ਲੋੜ ਹੈ।

ਇਸ ਲੇਖ ਨੂੰ 4 ਭਾਗਾਂ ਵਿੱਚ ਵੰਡਿਆ ਗਿਆ ਹੈ:

• ਇੱਕ ਜ਼ਿਪ ਫਾਈਲ ਬਣਾਉਣਾ;
• ਇੱਕ IAM ਭੂਮਿਕਾ ਬਣਾਉਣਾ;
• ਇੱਕ ਲਾਂਬਡਾ ਫੰਕਸ਼ਨ ਬਣਾਉਣਾ ਜੋ ਚੱਲਦਾ ਹੈ acme-dns-route53;
• ਇੱਕ CloudWatch ਟਾਈਮਰ ਬਣਾਉਣਾ ਜੋ ਇੱਕ ਫੰਕਸ਼ਨ ਨੂੰ ਦਿਨ ਵਿੱਚ 2 ਵਾਰ ਚਾਲੂ ਕਰਦਾ ਹੈ;

ਨੋਟ: ਸ਼ੁਰੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਤੁਹਾਨੂੰ ਇੰਸਟਾਲ ਕਰਨ ਦੀ ਲੋੜ ਹੈ GoLang 1.9+ и AWS CLI

ਇੱਕ ਜ਼ਿਪ ਫਾਈਲ ਬਣਾਉਣਾ

acme-dns-route53 GoLang ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ 1.9 ਤੋਂ ਘੱਟ ਸੰਸਕਰਣ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

ਸਾਨੂੰ ਬਾਈਨਰੀ ਨਾਲ ਇੱਕ ਜ਼ਿਪ ਫਾਈਲ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ acme-dns-route53 ਅੰਦਰ. ਇਹ ਕਰਨ ਲਈ ਤੁਹਾਨੂੰ ਇੰਸਟਾਲ ਕਰਨ ਦੀ ਲੋੜ ਹੈ acme-dns-route53 ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ GitHub ਰਿਪੋਜ਼ਟਰੀ ਤੋਂ go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

ਵਿੱਚ ਬਾਈਨਰੀ ਇੰਸਟਾਲ ਹੈ $GOPATH/bin ਡਾਇਰੈਕਟਰੀ. ਕਿਰਪਾ ਕਰਕੇ ਧਿਆਨ ਦਿਓ ਕਿ ਇੰਸਟਾਲੇਸ਼ਨ ਦੌਰਾਨ ਅਸੀਂ ਦੋ ਬਦਲੇ ਹੋਏ ਵਾਤਾਵਰਣ ਨੂੰ ਨਿਸ਼ਚਿਤ ਕੀਤਾ ਹੈ: GOOS=linux и GOARCH=amd64. ਉਹ ਗੋ ਕੰਪਾਈਲਰ ਨੂੰ ਸਪੱਸ਼ਟ ਕਰਦੇ ਹਨ ਕਿ ਇਸਨੂੰ ਲੀਨਕਸ OS ਅਤੇ amd64 ਆਰਕੀਟੈਕਚਰ ਲਈ ਢੁਕਵੀਂ ਬਾਈਨਰੀ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ - ਇਹ ਉਹ ਹੈ ਜੋ AWS 'ਤੇ ਚੱਲਦਾ ਹੈ।
AWS ਸਾਡੇ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਇੱਕ ਜ਼ਿਪ ਫਾਈਲ ਵਿੱਚ ਤੈਨਾਤ ਕੀਤੇ ਜਾਣ ਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਆਓ ਬਣਾਓ acme-dns-route53.zip ਪੁਰਾਲੇਖ ਜਿਸ ਵਿੱਚ ਨਵੀਂ ਸਥਾਪਿਤ ਬਾਈਨਰੀ ਹੋਵੇਗੀ:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

ਨੋਟ: ਬਾਈਨਰੀ ਜ਼ਿਪ ਆਰਕਾਈਵ ਦੇ ਰੂਟ ਵਿੱਚ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। ਇਸਦੇ ਲਈ ਅਸੀਂ ਵਰਤਦੇ ਹਾਂ -j ਝੰਡਾ

ਹੁਣ ਸਾਡਾ ਜ਼ਿਪ ਉਪਨਾਮ ਤੈਨਾਤੀ ਲਈ ਤਿਆਰ ਹੈ, ਜੋ ਕੁਝ ਬਚਿਆ ਹੈ ਉਹ ਜ਼ਰੂਰੀ ਅਧਿਕਾਰਾਂ ਨਾਲ ਇੱਕ ਭੂਮਿਕਾ ਬਣਾਉਣਾ ਹੈ।

ਇੱਕ IAM ਰੋਲ ਬਣਾਉਣਾ

ਸਾਨੂੰ ਇਸ ਦੇ ਅਮਲ ਦੌਰਾਨ ਸਾਡੇ ਲਾਂਬਡਾ ਦੁਆਰਾ ਲੋੜੀਂਦੇ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ਇੱਕ IAM ਭੂਮਿਕਾ ਸਥਾਪਤ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਹੈ.
ਆਓ ਇਸ ਨੀਤੀ ਨੂੰ ਕਾਲ ਕਰੀਏ lambda-acme-dns-route53-executor ਅਤੇ ਤੁਰੰਤ ਉਸਨੂੰ ਇੱਕ ਬੁਨਿਆਦੀ ਭੂਮਿਕਾ ਦਿਓ AWSLambdaBasicExecutionRole. ਇਹ ਸਾਡੇ ਲਾਂਬਡਾ ਨੂੰ AWS CloudWatch ਸੇਵਾ 'ਤੇ ਲੌਗ ਚਲਾਉਣ ਅਤੇ ਲਿਖਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ।
ਪਹਿਲਾਂ, ਅਸੀਂ ਇੱਕ JSON ਫਾਈਲ ਬਣਾਉਂਦੇ ਹਾਂ ਜੋ ਸਾਡੇ ਅਧਿਕਾਰਾਂ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ। ਇਹ ਲਾਜ਼ਮੀ ਤੌਰ 'ਤੇ ਲਾਂਬਡਾ ਸੇਵਾਵਾਂ ਨੂੰ ਭੂਮਿਕਾ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

ਸਾਡੀ ਫਾਈਲ ਦੀ ਸਮੱਗਰੀ ਇਸ ਪ੍ਰਕਾਰ ਹੈ:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}:<AWS_ACCOUNT_ID>:<TOPIC_NAME>",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*"
            ]
        }
    ]
}

ਹੁਣ ਕਮਾਂਡ ਚਲਾਉਂਦੇ ਹਾਂ aws iam create-role ਇੱਕ ਭੂਮਿਕਾ ਬਣਾਉਣ ਲਈ:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

ਨੋਟ: ਪਾਲਿਸੀ ARN (Amazon Resource Name) ਨੂੰ ਯਾਦ ਰੱਖੋ - ਸਾਨੂੰ ਅਗਲੇ ਕਦਮਾਂ ਵਿੱਚ ਇਸਦੀ ਲੋੜ ਪਵੇਗੀ।

ਭੂਮਿਕਾ lambda-acme-dns-route53-executor ਬਣਾਇਆ ਗਿਆ ਹੈ, ਹੁਣ ਸਾਨੂੰ ਇਸਦੇ ਲਈ ਅਧਿਕਾਰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਦਾ ਸਭ ਤੋਂ ਆਸਾਨ ਤਰੀਕਾ ਹੈ ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਨਾ aws iam attach-role-policy, ਪਾਸਿੰਗ ਪਾਲਿਸੀ ARN AWSLambdaBasicExecutionRole ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

ਨੋਟ: ਹੋਰ ਨੀਤੀਆਂ ਦੇ ਨਾਲ ਇੱਕ ਸੂਚੀ ਲੱਭੀ ਜਾ ਸਕਦੀ ਹੈ ਇੱਥੇ.

ਇੱਕ ਲਾਂਬਡਾ ਫੰਕਸ਼ਨ ਬਣਾਉਣਾ ਜੋ ਚੱਲਦਾ ਹੈ acme-dns-route53

ਹੂਰੇ! ਹੁਣ ਤੁਸੀਂ ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਾਡੇ ਫੰਕਸ਼ਨ ਨੂੰ AWS ਵਿੱਚ ਤੈਨਾਤ ਕਰ ਸਕਦੇ ਹੋ aws lambda create-function. lambda ਨੂੰ ਹੇਠ ਦਿੱਤੇ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸੰਰਚਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ:

• AWS_LAMBDA - ਇਹ ਸਪੱਸ਼ਟ ਕਰਦਾ ਹੈ acme-dns-route53 ਉਹ ਐਗਜ਼ੀਕਿਊਸ਼ਨ AWS Lambda ਦੇ ਅੰਦਰ ਹੁੰਦਾ ਹੈ।
• DOMAINS - ਕਾਮਿਆਂ ਨਾਲ ਵੱਖ ਕੀਤੇ ਡੋਮੇਨਾਂ ਦੀ ਸੂਚੀ।
• LETSENCRYPT_EMAIL - ਸ਼ਾਮਿਲ ਹੈ ਆਓ ਈਮੇਲ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰੀਏ.
• NOTIFICATION_TOPIC - SNS ਸੂਚਨਾ ਵਿਸ਼ੇ ਦਾ ਨਾਮ (ਵਿਕਲਪਿਕ)।
• STAGING - ਮੁੱਲ 'ਤੇ 1 ਸਟੇਜਿੰਗ ਵਾਤਾਵਰਨ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।
• 1024 MB - ਮੈਮੋਰੀ ਸੀਮਾ, ਬਦਲੀ ਜਾ ਸਕਦੀ ਹੈ।
• 900 ਸਕਿੰਟ (15 ਮਿੰਟ) — ਸਮਾਂ ਸਮਾਪਤ।
• acme-dns-route53 — ਸਾਡੀ ਬਾਈਨਰੀ ਦਾ ਨਾਮ, ਜੋ ਕਿ ਪੁਰਾਲੇਖ ਵਿੱਚ ਹੈ।
• fileb://~/acme-dns-route53.zip — ਆਰਕਾਈਵ ਦਾ ਮਾਰਗ ਜੋ ਅਸੀਂ ਬਣਾਇਆ ਹੈ।

ਆਉ ਹੁਣ ਤੈਨਾਤ ਕਰੀਏ:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",[email protected],STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "[email protected]", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

ਇੱਕ ਕਲਾਉਡਵਾਚ ਟਾਈਮਰ ਬਣਾਉਣਾ ਜੋ ਇੱਕ ਫੰਕਸ਼ਨ ਨੂੰ ਦਿਨ ਵਿੱਚ 2 ਵਾਰ ਚਾਲੂ ਕਰਦਾ ਹੈ

ਆਖਰੀ ਪੜਾਅ ਕ੍ਰੋਨ ਨੂੰ ਸੈਟ ਅਪ ਕਰਨਾ ਹੈ, ਜੋ ਸਾਡੇ ਫੰਕਸ਼ਨ ਨੂੰ ਦਿਨ ਵਿੱਚ ਦੋ ਵਾਰ ਕਾਲ ਕਰਦਾ ਹੈ:

• ਮੁੱਲ ਦੇ ਨਾਲ ਇੱਕ CloudWatch ਨਿਯਮ ਬਣਾਓ schedule_expression.
• lambda ਫੰਕਸ਼ਨ ਦੇ ARN ਨੂੰ ਨਿਸ਼ਚਿਤ ਕਰਕੇ ਇੱਕ ਨਿਯਮ ਟੀਚਾ (ਕੀ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ) ਬਣਾਓ।
• ਲਾਂਬਡਾ ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਨ ਲਈ ਨਿਯਮ ਨੂੰ ਇਜਾਜ਼ਤ ਦਿਓ।

ਹੇਠਾਂ ਮੈਂ ਆਪਣੀ ਟੈਰਾਫਾਰਮ ਸੰਰਚਨਾ ਨੱਥੀ ਕੀਤੀ ਹੈ, ਪਰ ਅਸਲ ਵਿੱਚ ਇਹ AWS ਕੰਸੋਲ ਜਾਂ AWS CLI ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਹੁਤ ਹੀ ਅਸਾਨੀ ਨਾਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

ਹੁਣ ਤੁਹਾਨੂੰ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ SSL ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਣ ਅਤੇ ਅੱਪਡੇਟ ਕਰਨ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ

ਸਰੋਤ: www.habr.com