Associa automaticamente una policy gestita da AWS per Systems Manager ai profili di EC2 istanza utilizzando Cloud Custodian e AWS CDK

PDF

Creato da Ali Asfour (AWS) e Aaron Lennon (AWS)

Riepilogo

Puoi integrare le istanze Amazon Elastic Compute Cloud (Amazon EC2) con AWS Systems Manager per automatizzare le attività operative e fornire maggiore visibilità e controllo. Per integrarsi con Systems Manager, EC2 le istanze devono avere una policy AWS Systems Manager Agent (SSM Agent) installata e una policy AmazonSSMManagedInstanceCore AWS Identity and Access Management (IAM) allegata ai profili delle istanze. 

Tuttavia, se vuoi assicurarti che tutti i profili di EC2 istanza abbiano la AmazonSSMManagedInstanceCore policy allegata, puoi affrontare problemi nell'aggiornamento di nuove EC2 istanze che non dispongono di profili di istanza o EC2 istanze che hanno un profilo di istanza ma non dispongono della policy. AmazonSSMManagedInstanceCore Inoltre, può essere difficile aggiungere questa policy su più account Amazon Web Services (AWS) e regioni AWS.

Questo modello aiuta a risolvere queste sfide implementando tre policy Cloud Custodian nei tuoi account AWS:

• La prima policy di Cloud Custodian verifica EC2 le istanze esistenti che hanno un profilo di istanza ma non dispongono della policy. AmazonSSMManagedInstanceCore La AmazonSSMManagedInstanceCore policy viene quindi allegata. 

• La seconda policy di Cloud Custodian verifica EC2 le istanze esistenti senza un profilo di istanza e aggiunge un profilo di istanza predefinito a cui è associata la AmazonSSMManagedInstanceCore policy.

• La terza policy Cloud Custodian crea funzioni AWS Lambda nei tuoi account per monitorare la creazione EC2 di istanze e profili di istanze. Ciò garantisce che la AmazonSSMManagedInstanceCore policy venga allegata automaticamente quando viene creata un' EC2 istanza.

Questo modello utilizza DevOps gli strumenti AWS per ottenere una distribuzione continua e su larga scala delle policy di Cloud Custodian in un ambiente multi-account, senza fornire un ambiente di calcolo separato. 

Prerequisiti e limitazioni

Prerequisiti

• Due o più account AWS attivi. Un account è l'account di sicurezza e gli altri sono account membri.

• Autorizzazioni per il provisioning di risorse AWS nell'account di sicurezza. Questo modello utilizza le autorizzazioni di amministratore, ma è necessario concedere le autorizzazioni in base ai requisiti e alle politiche dell'organizzazione.

• Capacità di assumere un ruolo IAM dall'account di sicurezza agli account dei membri e creare i ruoli IAM richiesti. Per ulteriori informazioni su questo argomento, consulta Delegare l'accesso tra account AWS utilizzando i ruoli IAM nella documentazione IAM.

• Importante

  AWS Command Line Interface (AWS CLI), installata e configurata. A scopo di test, puoi configurare AWS CLI utilizzando il aws configure comando o impostando le variabili di ambiente. : Questa opzione non è consigliata per gli ambienti di produzione e consigliamo di concedere a questo account solo l'accesso con il minimo privilegio. Per ulteriori informazioni su questo argomento, consulta Concedere il privilegio minimo nella documentazione IAM.

• Il devops-cdk-cloudcustodian.zip file (allegato), scaricato sul computer locale.

• Familiarità con Python.

• Gli strumenti richiesti (Node.js, AWS Cloud Development Kit (AWS CDK) e Git), installati e configurati. Puoi utilizzare il install-prerequisites.sh file contenuto nel devops-cdk-cloudcustodian.zip file per installare questi strumenti. Assicurati di eseguire questo file con i privilegi di root. 

Limitazioni

• Sebbene questo modello possa essere utilizzato in un ambiente di produzione, assicurati che tutti i ruoli e le policy IAM soddisfino i requisiti e le policy della tua organizzazione. 

Versioni del pacchetto

• Cloud Custodian versione 0.9 o successiva

• TypeScript versione 3.9.7 o successiva

• Node.js versione 14.15.4 o successiva

• npmversione 7.6.1 o successiva

• AWS CDK versione 1.96.0 o successiva

Architettura

Il diagramma mostra il flusso di lavoro seguente:

1. Le policy di Cloud Custodian vengono trasferite in un CodeCommit repository AWS nell'account di sicurezza. Una regola di Amazon CloudWatch Events avvia automaticamente la CodePipeline pipeline AWS.

2. La pipeline recupera il codice più recente CodeCommit e lo invia alla parte di integrazione continua della pipeline di integrazione continua e distribuzione continua (CI/CD) gestita da AWS. CodeBuild

3. CodeBuild esegue le DevSecOps azioni complete, inclusa la convalida della sintassi delle policy sulle policy di Cloud Custodian, ed esegue queste policy in modalità per verificare quali risorse vengono identificate. --dryrun

4. Se non ci sono errori, l'attività successiva avvisa un amministratore di rivedere le modifiche e approvare la distribuzione negli account dei membri.

Stack tecnologico

• AWS CDK

• CodeBuild

• CodeCommit

• CodePipeline

• IAM

• Cloud Custodian 

Automazione e scalabilità

Il modulo AWS CDK pipelines fornisce una pipeline CI/CD che viene utilizzata CodePipeline per orchestrare la creazione e il test del codice sorgente CodeBuild, oltre alla distribuzione delle risorse AWS con gli stack AWS. CloudFormation Puoi utilizzare questo modello per tutti gli account membri e le regioni della tua organizzazione. Puoi anche estendere lo Roles creation stack per distribuire altri ruoli IAM nei tuoi account membro. 

Strumenti

• AWS Cloud Development Kit (AWS CDK) è un framework di sviluppo software per definire l'infrastruttura cloud nel codice e fornirla tramite AWS. CloudFormation

• AWS Command Line Interface (AWS CLI) è uno strumento open source che consente di interagire con i servizi AWS utilizzando i comandi nella shell della riga di comando.

• AWS CodeBuild è un servizio di build completamente gestito nel cloud.

• AWS CodeCommit è un servizio di controllo delle versioni che puoi utilizzare per archiviare e gestire risorse in modo privato.

• AWS CodePipeline è un servizio di distribuzione continua che puoi utilizzare per modellare, visualizzare e automatizzare i passaggi necessari per rilasciare il tuo software.

• AWS Identity and Access Management è un servizio Web che ti aiuta a controllare in modo sicuro l'accesso alle risorse AWS.

• Cloud Custodian è uno strumento che riunisce le dozzine di strumenti e script utilizzati dalla maggior parte delle organizzazioni per gestire i propri account cloud pubblici in un unico strumento open source.

• Node.js è un JavaScript runtime basato sul motore V8 di Google Chrome. JavaScript

Codice

Per un elenco dettagliato dei moduli, delle funzioni dell'account, dei file e dei comandi di distribuzione utilizzati in questo modello, consultate il README file nel devops-cdk-cloudcustodian.zip file (allegato).

Epiche

Configura la pipeline con AWS CDK

Attività	Descrizione	Competenze richieste
Configura il CodeCommit repository.	Decomprimi il devops-cdk-cloudcustodian.zip file (allegato) nella directory di lavoro sul tuo computer locale. Accedi alla Console di gestione AWS per il tuo account di sicurezza, apri la CodeCommit console e crea un nuovo devops-cdk-cloudcustodian repository. Passa alla directory del progetto e configura il CodeCommit repository come origine, conferma le modifiche e poi inviale al ramo di origine eseguendo i seguenti comandi: cd devops-cdk-cloudcustodian  git init --initial-branch=main git add . git commit -m 'initial commit'  git remote add origin https://git-codecommit.us-east-1.amazonaws.com/v1/devops-cdk-cloudcustodian  git push origin main Per ulteriori informazioni su questo argomento, consulta Creazione di un CodeCommit repository nella CodeCommit documentazione AWS.	Developer
Installa gli strumenti richiesti.	Usa il install-prerequisites.sh file per installare tutti gli strumenti necessari su Amazon Linux. Questo non include la CLI di AWS perché è preinstallata. Per ulteriori informazioni su questo argomento, consulta la sezione Prerequisiti di Getting started with the AWS CDK nella documentazione di AWS CDK.	Developer
Installa i pacchetti AWS CDK richiesti.	Configura il tuo ambiente virtuale eseguendo il seguente comando nella CLI di AWS: $ python3 -m venv .env Attiva il tuo ambiente virtuale eseguendo il seguente comando: $ source .env/bin/activate Dopo l'attivazione dell'ambiente virtuale, installa le dipendenze richieste eseguendo il comando seguente: $ pip install -r requirements.txt Per aggiungere dipendenze aggiuntive (ad esempio, altre librerie AWS CDK), aggiungile al requirements.txt file, quindi esegui il comando seguente: pip install -r requirements.txt I seguenti pacchetti sono richiesti da AWS CDK e sono inclusi nel requirements.txt file: aws-cdk.aws-cloudwatch aws-cdk.aws-codebuild aws-cdk.aws-codecommit aws-cdk.aws-codedeploy aws-cdk.aws-codepipeline aws-cdk.aws-codepipeline-actions aws-cdk.aws-events aws-cdk.aws-events-targets aws-cdk.aws-iam aws-cdk.aws-logs aws-cdk.aws-s3 aws-cdk.aws-sns aws-cdk.aws-sns-subscriptions aws-cdk.aws-sqs aws-cdk.core	Developer

Configura la pipeline con AWS CDK

Attività	Descrizione	Competenze richieste
Configura il CodeCommit repository.	Decomprimi il devops-cdk-cloudcustodian.zip file (allegato) nella directory di lavoro sul tuo computer locale. Accedi alla Console di gestione AWS per il tuo account di sicurezza, apri la CodeCommit console e crea un nuovo devops-cdk-cloudcustodian repository. Passa alla directory del progetto e configura il CodeCommit repository come origine, conferma le modifiche e poi inviale al ramo di origine eseguendo i seguenti comandi: cd devops-cdk-cloudcustodian  git init --initial-branch=main git add . git commit -m 'initial commit'  git remote add origin https://git-codecommit.us-east-1.amazonaws.com/v1/devops-cdk-cloudcustodian  git push origin main Per ulteriori informazioni su questo argomento, consulta Creazione di un CodeCommit repository nella CodeCommit documentazione AWS.	Developer
Installa gli strumenti richiesti.	Usa il install-prerequisites.sh file per installare tutti gli strumenti necessari su Amazon Linux. Questo non include la CLI di AWS perché è preinstallata. Per ulteriori informazioni su questo argomento, consulta la sezione Prerequisiti di Getting started with the AWS CDK nella documentazione di AWS CDK.	Developer
Installa i pacchetti AWS CDK richiesti.	Configura il tuo ambiente virtuale eseguendo il seguente comando nella CLI di AWS: $ python3 -m venv .env Attiva il tuo ambiente virtuale eseguendo il seguente comando: $ source .env/bin/activate Dopo l'attivazione dell'ambiente virtuale, installa le dipendenze richieste eseguendo il comando seguente: $ pip install -r requirements.txt Per aggiungere dipendenze aggiuntive (ad esempio, altre librerie AWS CDK), aggiungile al requirements.txt file, quindi esegui il comando seguente: pip install -r requirements.txt I seguenti pacchetti sono richiesti da AWS CDK e sono inclusi nel requirements.txt file: aws-cdk.aws-cloudwatch aws-cdk.aws-codebuild aws-cdk.aws-codecommit aws-cdk.aws-codedeploy aws-cdk.aws-codepipeline aws-cdk.aws-codepipeline-actions aws-cdk.aws-events aws-cdk.aws-events-targets aws-cdk.aws-iam aws-cdk.aws-logs aws-cdk.aws-s3 aws-cdk.aws-sns aws-cdk.aws-sns-subscriptions aws-cdk.aws-sqs aws-cdk.core	Developer

Configura il tuo ambiente

Attività	Descrizione	Competenze richieste
Aggiorna le variabili richieste.	Apri il vars.py file nella cartella principale del tuo CodeCommit repository e aggiorna le seguenti variabili:  Esegui l'aggiornamento var_deploy_region = ‘us-east-1’ con la regione AWS in cui desideri che venga distribuita la pipeline.  Aggiorna var_codecommit_repo_name = “cdk-cloudcustodian” con il nome del tuo CodeCommit repository.  Aggiorna var_codecommit_branch_name = “main” con il nome del CodeCommit ramo.  Aggiorna var_adminEmail=[e-mail]’ con l'indirizzo e-mail dell'amministratore che approva le modifiche. Aggiorna var_slackWebHookUrl = https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX 'con il webhook Slack utilizzato per inviare notifiche a Cloud Custodian quando vengono apportate modifiche.  Aggiorna var_orgId = ‘o-yyyyyyyyyy’ con l'ID della tua organizzazione. Aggiorna security_account = ‘123456789011’ con l'ID dell'account AWS per l'account in cui viene distribuita la pipeline. Esegui l'aggiornamento member_accounts = [‘111111111111’,’111111111112’,’111111111113’] con gli account membro in cui desideri avviare lo stack CDK AWS e distribuire i ruoli IAM richiesti. Imposta su cdk_bootstrap_member_accounts = True True se desideri che la pipeline avvii automaticamente l'AWS CDK sui tuoi account membro.  Se impostato su True questo valore, richiede anche il nome di un ruolo IAM esistente negli account dei membri, che può essere assunto dall'account di sicurezza. Questo ruolo IAM deve inoltre disporre delle autorizzazioni necessarie per avviare il CDK AWS. Nota Aggiorna cdk_bootstrap_role = ‘AWSControlTowerExecution’ con il ruolo IAM esistente negli account dei membri che può essere assunto dall'account di sicurezza. Questo ruolo deve inoltre essere autorizzato a eseguire il bootstrap del CDK AWS. : Questo vale solo se cdk_bootstrap_member_accounts è impostato su. True	Developer
Aggiorna il file account.yml con le informazioni sull'account del membro.	Per eseguire lo strumento c7n-org Cloud Custodian su più account, è necessario inserire il file di accounts.yml configurazione nella radice del repository. Di seguito è riportato un esempio di file di configurazione di Cloud Custodian per AWS: accounts: - account_id: '123123123123' name: account-1 regions: - us-east-1 - us-west-2 role: arn:aws:iam::123123123123:role/CloudCustodian vars: charge_code: xyz tags: - type:prod - division:some division - partition:us - scope:pci	Developer

Configura il tuo ambiente

Attività	Descrizione	Competenze richieste
Aggiorna le variabili richieste.	Apri il vars.py file nella cartella principale del tuo CodeCommit repository e aggiorna le seguenti variabili:  Esegui l'aggiornamento var_deploy_region = ‘us-east-1’ con la regione AWS in cui desideri che venga distribuita la pipeline.  Aggiorna var_codecommit_repo_name = “cdk-cloudcustodian” con il nome del tuo CodeCommit repository.  Aggiorna var_codecommit_branch_name = “main” con il nome del CodeCommit ramo.  Aggiorna var_adminEmail=[e-mail]’ con l'indirizzo e-mail dell'amministratore che approva le modifiche. Aggiorna var_slackWebHookUrl = https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX 'con il webhook Slack utilizzato per inviare notifiche a Cloud Custodian quando vengono apportate modifiche.  Aggiorna var_orgId = ‘o-yyyyyyyyyy’ con l'ID della tua organizzazione. Aggiorna security_account = ‘123456789011’ con l'ID dell'account AWS per l'account in cui viene distribuita la pipeline. Esegui l'aggiornamento member_accounts = [‘111111111111’,’111111111112’,’111111111113’] con gli account membro in cui desideri avviare lo stack CDK AWS e distribuire i ruoli IAM richiesti. Imposta su cdk_bootstrap_member_accounts = True True se desideri che la pipeline avvii automaticamente l'AWS CDK sui tuoi account membro.  Se impostato su True questo valore, richiede anche il nome di un ruolo IAM esistente negli account dei membri, che può essere assunto dall'account di sicurezza. Questo ruolo IAM deve inoltre disporre delle autorizzazioni necessarie per avviare il CDK AWS. Nota Aggiorna cdk_bootstrap_role = ‘AWSControlTowerExecution’ con il ruolo IAM esistente negli account dei membri che può essere assunto dall'account di sicurezza. Questo ruolo deve inoltre essere autorizzato a eseguire il bootstrap del CDK AWS. : Questo vale solo se cdk_bootstrap_member_accounts è impostato su. True	Developer
Aggiorna il file account.yml con le informazioni sull'account del membro.	Per eseguire lo strumento c7n-org Cloud Custodian su più account, è necessario inserire il file di accounts.yml configurazione nella radice del repository. Di seguito è riportato un esempio di file di configurazione di Cloud Custodian per AWS: accounts: - account_id: '123123123123' name: account-1 regions: - us-east-1 - us-west-2 role: arn:aws:iam::123123123123:role/CloudCustodian vars: charge_code: xyz tags: - type:prod - division:some division - partition:us - scope:pci	Developer

Esegui il bootstrap degli account AWS

Attività	Descrizione	Competenze richieste
Potenzia l'account di sicurezza.	Avvia il programma deploy_account con l'cloudcustodian_stackapplicazione eseguendo il seguente comando: cdk bootstrap -a 'python3 cloudcustodian/cloudcustodian_stack.py	Developer
Opzione 1 - Avvia automaticamente gli account dei membri.	Se la cdk_bootstrap_member_accounts variabile è impostata su True nel vars.py file, gli account specificati nella member_accounts variabile vengono automaticamente avviati dalla pipeline. Se necessario, puoi eseguire l'aggiornamento *cdk_bootstrap_role* con un ruolo IAM che puoi assumere dall'account di sicurezza e che dispone delle autorizzazioni necessarie per avviare il CDK AWS. I nuovi account aggiunti alla member_accounts  variabile vengono avviati automaticamente dalla pipeline in modo da poter distribuire i ruoli richiesti.	Developer
Opzione 2: avvia manualmente gli account dei membri.	Sebbene non sia consigliabile utilizzare questo approccio, puoi impostare il valore di cdk_bootstrap_member_accounts to False ed eseguire questo passaggio manualmente eseguendo il comando seguente: $ cdk bootstrap -a 'python3 cloudcustodian/member_account_roles_stack.py' \ --trust {security_account_id} \ --context assume-role-credentials:writeIamRoleName={role_name} \ --context assume-role-credentials:readIamRoleName={role_name} \ --mode=ForWriting \ --context bootstrap=true \ --cloudformation-execution-policies arn:aws:iam::aws:policy/AdministratorAccess Importante Assicurati di aggiornare {role_name} i valori {security_account_id} and con il nome di un ruolo IAM che puoi assumere dall'account di sicurezza e che disponga delle autorizzazioni necessarie per avviare il CDK AWS. Puoi anche utilizzare altri approcci per avviare gli account dei membri, ad esempio con AWS CloudFormation. Per ulteriori informazioni su questo argomento, consulta Bootstrapping nella documentazione di AWS CDK.	Developer

Esegui il bootstrap degli account AWS

Attività	Descrizione	Competenze richieste
Potenzia l'account di sicurezza.	Avvia il programma deploy_account con l'cloudcustodian_stackapplicazione eseguendo il seguente comando: cdk bootstrap -a 'python3 cloudcustodian/cloudcustodian_stack.py	Developer
Opzione 1 - Avvia automaticamente gli account dei membri.	Se la cdk_bootstrap_member_accounts variabile è impostata su True nel vars.py file, gli account specificati nella member_accounts variabile vengono automaticamente avviati dalla pipeline. Se necessario, puoi eseguire l'aggiornamento *cdk_bootstrap_role* con un ruolo IAM che puoi assumere dall'account di sicurezza e che dispone delle autorizzazioni necessarie per avviare il CDK AWS. I nuovi account aggiunti alla member_accounts  variabile vengono avviati automaticamente dalla pipeline in modo da poter distribuire i ruoli richiesti.	Developer
Opzione 2: avvia manualmente gli account dei membri.	Sebbene non sia consigliabile utilizzare questo approccio, puoi impostare il valore di cdk_bootstrap_member_accounts to False ed eseguire questo passaggio manualmente eseguendo il comando seguente: $ cdk bootstrap -a 'python3 cloudcustodian/member_account_roles_stack.py' \ --trust {security_account_id} \ --context assume-role-credentials:writeIamRoleName={role_name} \ --context assume-role-credentials:readIamRoleName={role_name} \ --mode=ForWriting \ --context bootstrap=true \ --cloudformation-execution-policies arn:aws:iam::aws:policy/AdministratorAccess Importante Assicurati di aggiornare {role_name} i valori {security_account_id} and con il nome di un ruolo IAM che puoi assumere dall'account di sicurezza e che disponga delle autorizzazioni necessarie per avviare il CDK AWS. Puoi anche utilizzare altri approcci per avviare gli account dei membri, ad esempio con AWS CloudFormation. Per ulteriori informazioni su questo argomento, consulta Bootstrapping nella documentazione di AWS CDK.	Developer

Implementa gli stack CDK AWS

Attività	Descrizione	Competenze richieste
Crea i ruoli IAM negli account dei membri.	Esegui il comando seguente per distribuire lo member_account_roles_stack stack e creare i ruoli IAM negli account dei membri: cdk deploy --all -a 'python3 cloudcustodian/member_account_roles_stack.py' --require-approval never	Developer
Implementa lo stack di pipeline Cloud Custodian.	Esegui il comando seguente per creare la cloudcustodian_stack.py pipeline Cloud Custodian da distribuire nell'account di sicurezza: cdk deploy -a 'python3 cloudcustodian/cloudcustodian_stack.py'	Developer

Implementa gli stack CDK AWS

Attività	Descrizione	Competenze richieste
Crea i ruoli IAM negli account dei membri.	Esegui il comando seguente per distribuire lo member_account_roles_stack stack e creare i ruoli IAM negli account dei membri: cdk deploy --all -a 'python3 cloudcustodian/member_account_roles_stack.py' --require-approval never	Developer
Implementa lo stack di pipeline Cloud Custodian.	Esegui il comando seguente per creare la cloudcustodian_stack.py pipeline Cloud Custodian da distribuire nell'account di sicurezza: cdk deploy -a 'python3 cloudcustodian/cloudcustodian_stack.py'	Developer

Risorse correlate

• Guida introduttiva alla CDK AWS

Allegati

Per accedere a contenuti aggiuntivi associati a questo documento, decomprimi il seguente file: attachment.zip