🥇Automatizácia správy Let’s Encrypt SSL certifikátov pomocou DNS-01 challenge a AWS

Tento príspevok popisuje kroky na automatizáciu správy SSL certifikátov od Let's Encrypt CA použitím DNS-01 challenge a AWS.

acme-dns-route53 — je to nástroj, ktorý nám umožní realizovať túto funkciu. Dokáže pracovať so SSL certifikátmi od Let's Encrypt, ukladať ich do Amazon Certificate Manager, používať Route53 API na realizáciu DNS-01 challenge a nakoniec posielať oznámenia do SNS. V acme-dns-route53 je tiež zabudovaná funkcia na použitie v AWS Lambda, a to je presne to, čo potrebujeme.

Tento článok je rozdelený na 4 sekcie:

vytvorenie zip súboru;
vytvorenie IAM role;
vytvorenie lambda funkcie, ktorá spúšťa acme-dns-route53;
vytvorenie CloudWatch časovača, ktorý spúšťa funkciu 2-krát denne;

Poznámka: pred začiatkom je potrebné nainštalovať GoLang 1.9+ a AWS CLI

Vytvorenie zip súboru

acme-dns-route53 je napísaný v GoLang a podporuje verziu 1.9 alebo vyššiu.

Musíme vytvoriť zip súbor s binárkou acme-dns-route53 vo vnútri. Na to je potrebné nainštalovať acme-dns-route53 z GitHub repozitára pomocou príkazu go install:

$ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53

Binárka je nainštalovaná v $GOPATH/bin adresári. Upozorňujeme, že pri inštalácii sme zadali dve premenne prostredia: GOOS=linux a GOARCH=amd64. Tieto premenné informujú Go kompilátor o potrebe vytvoriť binárku vhodnú pre Linux OS a amd64 architektúru — to je to, čo sa spúšťa v AWS.
AWS predpokladá nasadenie našej aplikácie v zip súbore, takže poďme vytvoriť acme-dns-route53.zip archív, ktorý bude obsahovať práve nainštalovanú binárku:

$ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53

Poznámka: binárka musí byť v koreňovom zip archive. Na to používame -j prápory.

Teraz je náš zip súbor pripravený na nasadenie, zostáva iba vytvoriť rolu s potrebnými právami.

Vytvorenie IAM role

Musíme nastaviť IAM rolu s právami, ktoré sú potrebné našej Lambda funkcii počas jej vykonávania.
Nazvime tento policy lambda-acme-dns-route53-executor a hneď jej dajme základnú rolu AWSLambdaBasicExecutionRole. To umožní našej Lambda funkcii spustiť sa a zapisovať logy do služby AWS CloudWatch.
Na začiatok vytvoríme JSON súbor, v ktorom sú popísané naše práva. To v podstate povolí Lambda službám používať rolu lambda-acme-dns-route53-executor:

$ touch ~/lambda-acme-dns-route53-executor-policy.json

Obsah nášho súboru je nasledujúci:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": "arn:aws:logs:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:::log-group:/aws/lambda/acme-dns-route53:*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "cloudwatch:PutMetricData",
                "acm:ImportCertificate",
                "acm:ListCertificates"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "sns:Publish",
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "acm:ImportCertificate",
                "acm:DescribeCertificate"
            ],
            "Resource": [
                "arn:aws:sns:${var.region}::",
                "arn:aws:route53:::hostedzone/*",
                "arn:aws:route53:::change/*",
                "arn:aws:acm:::certificate/*"
            ]
        }
    ]
}

Teraz vykonáme príkaz aws iam create-role na vytvorenie úlohy:

$ aws iam create-role --role-name lambda-acme-dns-route53-executor 
 --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json

Poznámka: nezabudnite na ARN politiky (Amazon Resource Name) — bude nám potrebný v nasledujúcich krokoch.

Úloha lambda-acme-dns-route53-executor bola vytvorená, teraz musíme nastaviť oprávnenia pre ňu. Najjednoduchší spôsob, ako to urobiť, je použiť príkaz aws iam attach-role-policy, pričom sa odovzdá ARN politiky AWSLambdaBasicExecutionRole nasledovne:

$ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor 
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Poznámka: zoznam ostatných politík nájdete tu.

Vytvorenie lambda funkcie, ktorá spúšťa acme-dns-route53

Hurá! Teraz môžeme nasadiť našu funkciu na AWS pomocou príkazu aws lambda create-function. Lambda musí byť nakonfigurovaná pomocou nasledujúcich premenných prostredia:

AWS_LAMBDA — naznačuje acme-dns-route53 že sa vykonáva v rámci AWS Lambda.
DOMAINS — zoznam domén oddelených čiarkami.
LETSENCRYPT_EMAIL — obsahuje Email Let’s Encrypt.
NOTIFICATION_TOPIC — názov SNS Notification Topic (voliteľné).
STAGING — pri hodnote 1 sa používa staging prostredie.
1024 MB — limit pamäte, môže byť zmenený.
900 secs (15 min) — časový limit.
acme-dns-route53 — názov nášho binárneho súboru, ktorý je v archíve.
fileb://~/acme-dns-route53.zip — cesta k archívu, ktorý sme vytvorili.

Teraz nasadzujeme:

$ aws lambda create-function 
 --function-name acme-dns-route53 
 --runtime go1.x 
 --role arn:aws:iam:::role/lambda-acme-dns-route53-executor 
 --environment Variables="{AWS_LAMBDA=1,DOMAINS="example1.com,example2.com",LETSENCRYPT_EMAIL=begmaroman@gmail.com,STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained}" 
 --memory-size 1024 
 --timeout 900 
 --handler acme-dns-route53 
 --zip-file fileb://~/acme-dns-route53.zip

 {
     "FunctionName": "acme-dns-route53", 
     "LastModified": "2019-05-03T19:07:09.325+0000", 
     "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", 
     "MemorySize": 1024, 
     "Environment": {
         "Variables": {
            "DOMAINS": "example1.com,example2.com", 
            "STAGING": "1", 
            "LETSENCRYPT_EMAIL": "your@email.com", 
            "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", 
            "AWS_LAMBDA": "1"
         }
     }, 
     "Version": "$LATEST", 
     "Role": "arn:aws:iam:::role/lambda-acme-dns-route53-executor", 
     "Timeout": 900, 
     "Runtime": "go1.x", 
     "TracingConfig": {
         "Mode": "PassThrough"
     }, 
     "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", 
     "Description": "", 
     "CodeSize": 8456317,
"FunctionArn": "arn:aws:lambda:us-east-1::function:acme-dns-route53", 
     "Handler": "acme-dns-route53"
 }

Vytvorenie CloudWatch spúšťača, ktorý aktivuje funkciu dvakrát za deň

Posledným krokom je nastaviť cron, ktorý vyvoláva našu funkciu dvakrát za deň:

vytvoriť pravidlo CloudWatch s hodnotou schedule_expression.
vytvoriť cieľ pravidla (čo má byť vykonané) uvedením ARN lambda funkcie.
udeliť povolenie pravidlu na vyvolanie lambda funkcie.

Nižšie som pridal svoj Terraform konfiguračný súbor, ale vlastne sa to robí veľmi jednoducho pomocou AWS konzoly alebo AWS CLI.

# Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours
resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" {
  name                = "acme-dns-route53-issuer-scheduler"
  schedule_expression = "cron(0 */12 * * ? *)"
}

# Specify the lambda function to run
resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" {
  rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}"
  arn  = "${aws_lambda_function.acme_dns_route53.arn}"
}

# Give CloudWatch permission to invoke the function
resource "aws_lambda_permission" "permission" {
  action        = "lambda:InvokeFunction"
  function_name = "${aws_lambda_function.acme_dns_route53.function_name}"
  principal     = "events.amazonaws.com"
  source_arn    = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}"
}

Teraz máte nastavené automatické vytváranie a aktualizáciu SSL certifikátov

Zdroj: habr.com