DNS-01 चुनौती और AWS का उपयोग करते हुए, चलो एन्क्रिप्ट करके SSL प्रमाणपत्र प्राप्त करना

इस पोस्ट में स्वचालित एसएसएल प्रमाणपत्र निर्माण और नवीनीकरण के लिए आवश्यक कदमों का वर्णन किया गया है, चलो स्वचालित प्रमाण पत्र प्राधिकरण के रूप में एन्क्रिप्ट करें , जो एक अच्छी तरह से बनाए रखा एपीआई प्रदान करता है।
acme-dns-route53 AWS द्वारा रूट 53 और Amazon सर्टिफिकेट मैनेजर के साथ DNS-01 चुनौती का उपयोग करते हुए SSL एन्क्रिप्ट प्राप्त करने के लिए उपकरण है। acme-dns-route53 में AWS लैम्ब्डा के अंदर इस टूल का उपयोग करने के लिए अंतर्निहित कार्यक्षमता भी है, और यही हम करने जा रहे हैं।

यह पोस्ट 4 खंडों में विभाजित है:

• एक स्व-निहित, परिनियोजित जिप-फ़ाइल बनाएँ
• लैम्ब्डा फ़ंक्शन के लिए IAM भूमिका बनाना जो इसे निष्पादित करने के लिए आवश्यक अनुमति देता है
• एक लैम्ब्डा फ़ंक्शन बनाना जो acme-dns-route53 निष्पादित करता है
• एक CloudWatch टाइमर बनाने जो एक दिन में दो बार एक लंबो फ़ंक्शन को ट्रिगर करता है

नोट: शुरू करने से पहले, सुनिश्चित करें कि GoLang 1.9+ और AWS CLI पहले से इंस्टॉल है।

एक आत्म-निहित, परिनियोजित जिप-फ़ाइल का निर्माण किया

acme-dns-route53 को acme-dns-route53 में लिखा गया है और सपोर्टिंग वर्जन 1.9 से कम नहीं है। हमें एक स्व-निहित, परिनियोजित जिप-फ़ाइल बनाने की आवश्यकता है, जिसमें अंदर acme-dns-route53 टूल का निष्पादन हो।

पहला कदम यह है कि acme-dns-route53 टूल के रिमोट acme-dns-route53 रेपो से एक एक्जीक्यूटेबल का निर्माण किया जाए।

 $ env GOOS=linux GOARCH=amd64 go install github.com/begmaroman/acme-dns-route53 

निष्पादन योग्य $GOPATH/bin निर्देशिका में स्थापित किया जाएगा। महत्वपूर्ण: इस आदेश के भाग के रूप में, हम कमांड ( GOOS=linux और GOARCH=amd64 ) के लिए अस्थायी रूप से दो पर्यावरण चर सेट करने के लिए env का उपयोग कर रहे हैं। ये गो संकलक को निर्देश देते हैं कि वह Linux OS और amd64 आर्किटेक्चर के साथ प्रयोग करने के लिए एक निष्पादन योग्य उपयुक्त बनाये - जो कि जब हम इसे AWS पर तैनात करेंगे, तब यह चालू रहेगा।
AWS को हमें एक ज़िप फ़ाइल में अपने लैम्ब्डा कार्यों को अपलोड करने की आवश्यकता होती है, तो आइए हम एक acme-dns-route53.zip ज़िप फ़ाइल बनाते हैं जिसमें हम केवल निष्पादन योग्य हैं:

 $ zip -j ~/acme-dns-route53.zip $GOPATH/bin/acme-dns-route53 

ध्यान दें कि निष्पादन योग्य ज़िप फ़ाइल की जड़ में होना चाहिए - ज़िप फ़ाइल के भीतर एक फ़ोल्डर में नहीं। यह सुनिश्चित करने के लिए कि मैंने स्निपेट में -j ध्वज का उपयोग जंक निर्देशिका नामों के ऊपर किया है।

अब जिप-फाइल को तैनात किया जा सकता है, लेकिन इसे चलाने के लिए अभी भी अनुमतियों की आवश्यकता है।

लैम्ब्डा फ़ंक्शन के लिए एक IAM भूमिका बनाना जो इसे निष्पादित करने के लिए आवश्यक अनुमति देता है

हमें एक IAM भूमिका स्थापित करने की आवश्यकता है जो इस अनुमति को परिभाषित करती है कि जब यह चल रही होती है तो हमारा लंबोदर फ़ंक्शन होगा।
अभी के लिए, चलो एक lambda-acme-dns-route53-executor भूमिका सेट करते हैं और इसके लिए AWSLambdaBasicExecutionRole प्रबंधित नीति संलग्न करते हैं। यह हमारे लंबो फ़ंक्शन को एडब्ल्यूएस क्लाउडवॉच सेवा को चलाने और लॉग इन करने के लिए आवश्यक मूलभूत अनुमति देगा।
सबसे पहले, हमें एक ट्रस्ट पॉलिसी JSON फाइल बनानी होगी। यह अनिवार्य रूप से एडब्ल्यूएस को lambda-acme-dns-route53-executor भूमिका मानने के लिए लैम्ब्डा सेवाओं की अनुमति देने का निर्देश देगा:

 $ touch ~/lambda-acme-dns-route53-executor-policy.json 

निर्मित JSON फ़ाइल की सामग्री निम्न होनी चाहिए:

 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "logs:CreateLogGroup" ], "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:*" }, { "Effect": "Allow", "Action": [ "logs:PutLogEvents", "logs:CreateLogStream" ], "Resource": "arn:aws:logs:<AWS_REGION>:<AWS_ACCOUNT_ID>:log-group:/aws/lambda/acme-dns-route53:*" }, { "Sid": "", "Effect": "Allow", "Action": [ "route53:ListHostedZones", "cloudwatch:PutMetricData", "acm:ImportCertificate", "acm:ListCertificates" ], "Resource": "*" }, { "Sid": "", "Effect": "Allow", "Action": [ "sns:Publish", "route53:GetChange", "route53:ChangeResourceRecordSets", "acm:ImportCertificate", "acm:DescribeCertificate" ], "Resource": [ "arn:aws:sns:<AWS_REGION>:<AWS_ACCOUNT_ID>:<TOPIC_NAME>", "arn:aws:route53:::hostedzone/*", "arn:aws:route53:::change/*", "arn:aws:acm:<AWS_REGION>:<AWS_ACCOUNT_ID>:certificate/*" ] } ] } 

फिर इस ट्रस्ट नीति के साथ भूमिका बनाने के लिए aws iam create-role कमांड का उपयोग करें:

 $ aws iam create-role --role-name lambda-acme-dns-route53-executor \ --assume-role-policy-document ~/lambda-acme-dns-route53-executor-policy.json 

लौटे हुए ARN (Amazon Resource Name) पर ध्यान दें - आपको अगले चरण में इसकी आवश्यकता होगी।

अब lambda-acme-dns-route53-executor भूमिका बनाई गई है हमें उन अनुमतियों को निर्दिष्ट करने की आवश्यकता है जो भूमिका है। ऐसा करने का सबसे आसान तरीका है, aws iam attach-role-policy आदेश का उपयोग करना, जैसे AWSLambdaBasicExecutionRole अनुमति नीति के ARN में AWSLambdaBasicExecutionRole :

 $ aws iam attach-role-policy --role-name lambda-acme-dns-route53-executor \ --policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole 

नोट: आप अन्य अनुमति नीतियों की एक सूची पा सकते हैं जो यहां उपयोगी हो सकती हैं ।

एक लैम्ब्डा फ़ंक्शन बनाना जो एक्मे-डीएनएस-मार्ग 53 को निष्पादित करता है

अब हम वास्तव में AWS के लिए लैम्ब्डा फ़ंक्शन को तैनात करने के लिए तैयार हैं, जिसे हम aws lambda create-function कमांड का उपयोग करके कर सकते हैं। लैम्ब्डा फ़ंक्शन को निम्नलिखित विकल्पों के साथ कॉन्फ़िगर करने की आवश्यकता है:

• मान 1 साथ AWS_LAMBDA पर्यावरण चर जो लैम्ब्डा फ़ंक्शन के अंदर उपयोग करने के लिए उपकरण को समायोजित करता है।
• DOMAINS पर्यावरण चर है जिसमें DOMAINS अल्पविराम से अलग की गई सूची होती है जिसके लिए प्रमाणपत्र जारी किए जाएंगे।
• LETSENCRYPT_EMAIL वह पर्यावरण चर है जिसमें लेट एनक्रिप्ट LETSENCRYPT_EMAIL ईमेल होता है।
• NOTIFICATION_TOPIC पर्यावरण चर है जिसमें SNS अधिसूचना विषय ARN शामिल है।
• STAGING एक पर्यावरण चर है जिसमें STAGING वातावरण या उत्पादन वातावरण के लिए 0 का उपयोग करने के लिए 1 मान होना चाहिए।
• RENEW_BEFORE , समाप्ति से पहले की अवधि को परिभाषित करने वाले दिनों की संख्या है जिसके भीतर एक प्रमाणपत्र को नवीनीकृत किया जाना चाहिए।
• 1024 एमबी मेमोरी सीमा है (यदि आवश्यक हो तो बदला जा सकता है)।
• 900 सेकंड (15 मिनट) अधिकतम समयबाह्य है।
• acme-dns-route53 का हैंडलर नाम है।
• fileb://~/acme-dns-route53.zip उपरोक्त .zip फ़ाइल बनाई गई है।

आगे बढ़ें और इसे लागू करने का प्रयास करें:

 $ aws lambda create-function \ --function-name acme-dns-route53 \ --runtime go1.x \ --role arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor \ --environment Variables="{AWS_LAMBDA=1,DOMAINS=\"example1.com,example2.com\",LETSENCRYPT_EMAIL=begmaroman@gmail.com,STAGING=0,NOTIFICATION_TOPIC=acme-dns-route53-obtained,RENEW_BEFORE=7}" \ --memory-size 1024 \ --timeout 900 \ --handler acme-dns-route53 \ --zip-file fileb://~/acme-dns-route53.zip { "FunctionName": "acme-dns-route53", "LastModified": "2019-05-03T19:07:09.325+0000", "RevisionId": "e3fadec9-2180-4bff-bb9a-999b1b71a558", "MemorySize": 1024, "Environment": { "Variables": { "DOMAINS": "example1.com,example2.com", "STAGING": "1", "LETSENCRYPT_EMAIL": "your@email.com", "NOTIFICATION_TOPIC": "acme-dns-route53-obtained", "RENEW_BEFORE": "7", "AWS_LAMBDA": "1" } }, "Version": "$LATEST", "Role": "arn:aws:iam::<AWS_ACCOUNT_ID>:role/lambda-acme-dns-route53-executor", "Timeout": 900, "Runtime": "go1.x", "TracingConfig": { "Mode": "PassThrough" }, "CodeSha256": "+2KgE5mh5LGaOsni36pdmPP9O35wgZ6TbddspyaIXXw=", "Description": "", "CodeSize": 8456317, "FunctionArn": "arn:aws:lambda:us-east-1:<AWS_ACCOUNT_ID>:function:acme-dns-route53", "Handler": "acme-dns-route53" } 

CloudWatch टाइमर बनाना जो एक दिन में एक बार लैम्बडा फ़ंक्शन को ट्रिगर करता है

अंतिम चरण फ़ंक्शन के लिए दैनिक ट्रिगर बनाना है। ऐसा करने के लिए हम कर सकते हैं:

• इच्छित शिड्यूल_एक्सप्रेशन (जब इसे चलाना चाहिए) के साथ क्लाउडवाच नियम बनाएं।
• लैम्बडा फ़ंक्शन के एआरएन को निर्दिष्ट करते हुए एक नियम लक्ष्य बनाएं (जो चलना चाहिए)।
• CloudWatch नियम को लैम्ब्डा फ़ंक्शन को लागू करने की अनुमति दें।

मैंने इसके लिए अपना टेराफॉर्म कॉन्फिगरेशन नीचे दिया है, लेकिन इसे एडब्ल्यूएस कंसोल या सीएलआई से भी करना बहुत सरल है।

 # Cloudwatch event rule that runs acme-dns-route53 lambda every 12 hours resource "aws_cloudwatch_event_rule" "acme_dns_route53_sheduler" { name = "acme-dns-route53-issuer-scheduler" schedule_expression = "cron(0 */12 * * ? *)" } # Specify the lambda function to run resource "aws_cloudwatch_event_target" "acme_dns_route53_sheduler_target" { rule = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.name}" arn = "${aws_lambda_function.acme_dns_route53.arn}" } # Give CloudWatch permission to invoke the function resource "aws_lambda_permission" "permission" { action = "lambda:InvokeFunction" function_name = "${aws_lambda_function.acme_dns_route53.function_name}" principal = "events.amazonaws.com" source_arn = "${aws_cloudwatch_event_rule.acme_dns_route53_sheduler.arn}" } 

अब आपके पास भी 100% स्वचालित टीएलएस प्रमाणपत्र नवीनीकरण हो सकता है!