Automatizácia správy SSL certifikátov Let's Encrypt pomocou DNS-01 challenge a AWS

Tento príspevok popisuje kroky na automatizáciu správy SSL certifikátov od Let's Encrypt CA použitím DNS-01 challenge a AWS.

acme-dns-route53 — je to nástroj, ktorý nám umožní realizovať túto funkciu. Dokáže pracovať so SSL certifikátmi od Let's Encrypt, ukladať ich do Amazon Certificate Manager, používať Route53 API na realizáciu DNS-01 challenge a nakoniec posielať oznámenia do SNS. V acme-dns-route53 je tiež zabudovaná funkcia na použitie v AWS Lambda, a to je presne to, čo potrebujeme.

Tento článok je rozdelený na 4 sekcie:

• vytvorenie zip súboru;
• vytvorenie IAM role;
• vytvorenie lambda funkcie, ktorá spúšťa acme-dns-route53;
• vytvorenie CloudWatch časovača, ktorý spúšťa funkciu 2-krát denne;

Poznámka: pred začiatkom je potrebné nainštalovať GoLang 1.9+ a AWS CLI

Vytvorenie zip súboru

acme-dns-route53 je napísaný v GoLang a podporuje verziu 1.9 alebo vyššiu.

Musíme vytvoriť zip súbor s binárkou acme-dns-route53 vo vnútri. Na to je potrebné nainštalovať acme-dns-route53 z GitHub repozitára pomocou príkazu go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

Binárka je nainštalovaná v $GOPATH/bin adresári. Upozorňujeme, že pri inštalácii sme zadali dve premenne prostredia: GOOS=linux a GOARCH=amd64. Tieto premenné informujú Go kompilátor o potrebe vytvoriť binárku vhodnú pre Linux OS a amd64 architektúru — to je to, čo sa spúšťa v AWS.
AWS predpokladá nasadenie našej aplikácie v zip súbore, takže poďme vytvoriť acme-dns-route53.zip archív, ktorý bude obsahovať práve nainštalovanú binárku:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

Poznámka: binárka musí byť v koreňovom zip archive. Na to používame -j prápory.

Teraz je náš zip súbor pripravený na nasadenie, zostáva iba vytvoriť rolu s potrebnými právami.

Vytvorenie IAM role

Musíme nastaviť IAM rolu s právami, ktoré sú potrebné našej Lambda funkcii počas jej vykonávania.
Nazvime tento policy lambda-acme-dns-route53-executor a hneď jej dajme základnú rolu AWSLambdaBasicExecutionRole. To umožní našej Lambda funkcii spustiť sa a zapisovať logy do služby AWS CloudWatch.
Na začiatok vytvoríme JSON súbor, v ktorom sú popísané naše práva. To v podstate povolí Lambda službám používať rolu lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

Obsah nášho súboru je nasledujúci:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:::log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}::",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:::certificate/*"
            ]
        }
    ]
}

Teraz vykonáme príkaz aws iam create-role na vytvorenie úlohy:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

Poznámka: nezabudnite na ARN politiky (Amazon Resource Name) — bude nám potrebný v nasledujúcich krokoch.

Úloha lambda-acme-dns-route53-executor bola vytvorená, teraz musíme nastaviť oprávnenia pre ňu. Najjednoduchší spôsob, ako to urobiť, je použiť príkaz aws iam attach-role-policy, pričom sa odovzdá ARN politiky AWSLambdaBasicExecutionRole nasledovne:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Poznámka: zoznam ostatných politík nájdete tu.

Vytvorenie lambda funkcie, ktorá spúšťa acme-dns-route53

Hurá! Teraz môžeme nasadiť našu funkciu na AWS pomocou príkazu aws lambda create-function. Lambda musí byť nakonfigurovaná pomocou nasledujúcich premenných prostredia:

• AWS_LAMBDA — naznačuje acme-dns-route53 že sa vykonáva v rámci AWS Lambda.
• DOMAINS — zoznam domén oddelených čiarkami.
• LETSENCRYPT_EMAIL — obsahuje Email Let’s Encrypt.
• NOTIFICATION_TOPIC — názov SNS Notification Topic (voliteľné).
• STAGING — pri hodnote 1 sa používa staging prostredie.
• 1024 MB — limit pamäte, môže byť zmenený.
• 900 secs (15 min) — časový limit.
• acme-dns-route53 — názov nášho binárneho súboru, ktorý je v archíve.
• fileb://~/acme-dns-route53.zip — cesta k archívu, ktorý sme vytvorili.

Teraz nasadzujeme:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam:::role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",LETSENCRYPT_EMAIL=begmaroman@gmail.com,STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "your@email.com", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam:::role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1::function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

Vytvorenie CloudWatch spúšťača, ktorý aktivuje funkciu dvakrát za deň

Posledným krokom je nastaviť cron, ktorý vyvoláva našu funkciu dvakrát za deň:

• vytvoriť pravidlo CloudWatch s hodnotou schedule_expression.
• vytvoriť cieľ pravidla (čo má byť vykonané) uvedením ARN lambda funkcie.
• udeliť povolenie pravidlu na vyvolanie lambda funkcie.

Nižšie som pridal svoj Terraform konfiguračný súbor, ale vlastne sa to robí veľmi jednoducho pomocou AWS konzoly alebo AWS CLI.

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

Teraz máte nastavené automatické vytváranie a aktualizáciu SSL certifikátov

Zdroj: habr.com