Úselo AWS Secrets Manager en GitLab

Crea un secreto AWS Secrets Manager

Necesitarás un secreto de Secrets Manager que se recuperará en tu GitLab trabajo y que eliminará la necesidad de codificar estas credenciales de forma rígida. Necesitarás el ID secreto de Secrets Manager cuando configures tu GitLab canalización. Para obtener más información, consulte Crea un AWS Secrets Manager secreto.

Configura GitLab tu proveedor de OIDC en la consola de IAM.

En este paso, designará GitLab su proveedor de OIDC en la consola de IAM. Para obtener más información, consulte Crear un proveedor de identidad y la documentación de OpenID Connect (OIDC). GitLab

Al crear el proveedor de OIDC en la consola de IAM, debe utilizar las siguientes configuraciones:

1. Configúrelo en provider URL su instancia. GitLab Por ejemplo, gitlab.example.com.

2. Establezca audience o aud en sts.amazonaws.com.

Creación de una política y un rol de IAM

Deberá crear un rol de IAM y una política. Esta función la asume GitLab with AWS Security Token Service (STS). Para obtener más información, consulte Crear un rol mediante políticas de confianza personalizadas.

1. En la consola de IAM, utilice la siguiente configuración al crear el rol de IAM:

   • Establece Trusted entity type en Web identity.

   • Establece Group en your GitLab group.

   • Identity providerConfigúrelo en la misma URL del proveedor (la GitLab instancia) que utilizó en el paso 2.

   • Establezca Audience en la misma audiencia que utilizó en el paso 2.

2. El siguiente es un ejemplo de una política de confianza que GitLab permite asumir funciones. Tu política de confianza debe incluir tu Cuenta de AWS GitLab URL y la ruta del proyecto.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. También tendrás que crear una política de IAM para permitir el GitLab acceso a AWS Secrets Manager. Puede agregar esta política a la política de confianza. Para obtener más información, consulte Creación de políticas de IAM.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }