🥇Automatyzacja zarządzania certyfikatami SSL Let’s Encrypt przy użyciu wyzwania DNS-01 i AWS

Artykuł opisuje kroki do automatyzacji zarządzania certyfikatami SSL od Let’s Encrypt CA używając wyzwania DNS-01 i AWS.

acme-dns-route53 — to narzędzie, które umożliwi nam wdrożenie tej funkcji. Obsługuje certyfikaty SSL od Let’s Encrypt, przechowuje je w Amazon Certificate Manager, wykorzystuje API Route53 do realizacji wyzwania DNS-01 i na końcu wysyła powiadomienia do SNS. W acme-dns-route53 znajduje się również wbudowana funkcjonalność do użycia w AWS Lambda, co jest dokładnie tym, czego potrzebujemy.

Niniejszy artykuł jest podzielony na 4 sekcje:

tworzenie pliku zip;
tworzenie roli IAM;
tworzenie funkcji lambda, która uruchamia acme-dns-route53;
tworzenie timera CloudWatch, który wyzwala funkcję 2 razy dziennie;

Uwaga: przed rozpoczęciem należy zainstalować GoLang 1.9+ i AWS CLI

Tworzenie pliku zip

acme-dns-route53 jest napisany w GoLang i obsługuje wersję nie niższą niż 1.9.

Musimy stworzyć plik zip z binarkiem acme-dns-route53 w środku. W tym celu należy zainstalować acme-dns-route53 z repozytorium GitHub używając polecenia go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

Binarka zainstalowana jest w $GOPATH/bin katalogu. Zauważ, że podczas instalacji ustawiliśmy dwie zmienne środowiskowe: GOOS=linux i GOARCH=amd64. Informują one kompilator Go o konieczności stworzenia binarki odpowiedniej dla systemu Linux i architektury amd64 — to jest to, co uruchamiamy w AWS.
AWS zakłada wdrożenie naszego programu w pliku zip, więc stwórzmy acme-dns-route53.zip archiwum, które będzie zawierać właśnie zainstalowany binarek:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

Uwaga: binarka musi być w głównym katalogu archiwum zip. W tym celu używamy -j flaga.

Teraz nasz plik zip jest gotowy do wdrożenia, pozostaje tylko stworzyć rolę z odpowiednimi uprawnieniami.

Tworzenie roli IAM

Musimy skonfigurować rolę IAM z uprawnieniami niezbędnymi naszej lambdzie podczas jej wykonywania.
Nazwijmy tę politykę lambda-acme-dns-route53-executor i od razu nadamy jej podstawową rolę AWSLambdaBasicExecutionRole. Dzięki temu nasza lambda uruchomi się i zapisze logi w usłudze AWS CloudWatch.
Na początek tworzimy plik JSON, w którym opisane są nasze uprawnienia. To w zasadzie pozwoli usługom lambda na używanie roli lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

Treść naszego pliku jest następująca:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:::log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}::",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:::certificate/*"
            ]
        }
    ]
}

Teraz wykonamy polecenie aws iam create-role aby utworzyć rolę:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

Uwaga: zapamiętaj policy ARN (Amazon Resource Name) — będzie nam potrzebny na kolejnych etapach.

Rola lambda-acme-dns-route53-executor została utworzona, teraz musimy określić dla niej uprawnienia. Najprostszym sposobem jest użycie polecenia aws iam attach-role-policy, przekazując policy ARN AWSLambdaBasicExecutionRole w następujący sposób:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Uwaga: listę pozostałych polityk można znaleźć tutaj.

Tworzenie funkcji lambda, która uruchamia acme-dns-route53

Hurra! Teraz możemy wdrożyć naszą funkcję na AWS za pomocą polecenia aws lambda create-function. Lambda musi być skonfigurowana przy użyciu następujących zmiennych środowiskowych:

AWS_LAMBDA — informuje, acme-dns-route53 że wykonanie odbywa się wewnątrz AWS Lambda.
DOMAINS — lista domen oddzielonych przecinkami.
LETSENCRYPT_EMAIL — zawiera adres e-mail Let’s Encrypt..
NOTIFICATION_TOPIC — nazwa tematu powiadomień SNS (opcjonalnie).
STAGING — przy tej wartości 1 używane jest środowisko staging.
1024 MB — limit pamięci, może być zmieniany.
900 secs (15 min) — limit czasu.
acme-dns-route53 — nazwa naszego binarnego pliku, który znajduje się w archiwum.
fileb://~/acme-dns-route53.zip — ścieżka do archiwum, które stworzyliśmy.

Teraz wdrażamy:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam:::role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",LETSENCRYPT_EMAIL=begmaroman@gmail.com,STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "your@email.com", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam:::role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1::function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

Tworzenie harmonogramu CloudWatch, który wyzwala funkcję 2 razy dziennie

Ostatnim krokiem jest skonfigurowanie crona, który wywołuje naszą funkcję dwa razy dziennie:

utworzyć regułę CloudWatch z wartością schedule_expression.
utworzyć cel reguły (co ma być wykonane), podając ARN funkcji lambda.
przyznać regule uprawnienia do wywoływania funkcji lambda.

Poniżej załączyłem mój plik konfiguracyjny Terraform, ale tak naprawdę można to zrobić bardzo łatwo za pomocą konsoli AWS lub AWS CLI.

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

Teraz masz skonfigurowane automatyczne tworzenie i aktualizację certyfikatów SSL

Źródło: habr.com