适用于亚马逊 EKS Windows pod 的无域 Windows 身份验证

Get-KdsRootKey

Add-KdsRootKey -EffectiveImmediately

# Install the RSAT AD Feature
Install-WindowsFeature RSAT-AD-PowerShell

# Create the AD group - Replace Name and SamAccountName values with yours preference.
New-ADGroup -Name "Amazon EKS Authorized Portable Identity" -SamAccountName "EKSPortableIdentity" -GroupScope DomainLocal

# Create the gMSA - Replace Name value with yours preference
New-ADServiceAccount -Name "gmsaeks" -DnsHostName "gmsaeks.YOURDOMAIN_FQDN" -ServicePrincipalNames "host/gmsaeks", "host/gmsaeks.YOURDOMAIN_FQDN" -PrincipalsAllowedToRetrieveManagedPassword "EKSPortableIdentity"

# Create the portable identity user account - Replace Name value with yours preference
New-ADUser -Name "eks-portable-identity" -AccountPassword (ConvertTo-SecureString -AsPlainText "YOUR_PASSWORD" -Force) -Enabled 1 

# Add your Windows Worker Node the AD group
Add-ADGroupMember -Identity "EKSPortableIdentity" -Members "eks-portable-identity"

git clone https://github.com/kubernetes-sigs/windows-gmsa.git
cd windows-gmsa/admission-webhook/deploy
sed -i.back "s/signerName: kubernetes.io\/kubelet-serving/signerName: beta.eks.amazonaws.com\/app-serving/g" create-signed-cert.sh
./deploy-gmsa-webhook.sh --file ./gmsa-manifests --overwrite

Note: Always check for the latest gMSA admission-webhook version on the kubernetes-sigs/windows-gmsa
         
         
         .

aws secretsmanager create-secret \
--name gmsa-plugin-input \
--description "Amazon EKS - gMSA Portable Identity." \
--secret-string "{\"username\":\"eks-portable-identity\",\"password\":\"YOURPASSWORD\",\"domainName\":\"YOURDOMAIN_FQDN\"}"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "ARN-SECRET"
        }
    ]
}

apiVersion: windows.k8s.io/v1
kind: GMSACredentialSpec
metadata:
  name: gmsaeks-domainless
credspec:
  CmsPlugins:
  - ActiveDirectory
  DomainJoinConfig:
    Sid: gMSA-ACCOUNT-SID
    MachineAccountName: gMSA-ACCOUNT-NAME
    Guid: gMSA-ACCOUNT-GUID
    DnsTreeName: YOURDOMAIN_FQDN
    DnsName: YOURDOMAIN_FQDN
    NetBiosName: YOURDOMAIN_NETBIOS
  ActiveDirectoryConfig:
    GroupManagedServiceAccounts:
    - Name: gMSA-ACCOUNT-NAME
      Scope: YOURDOMAIN_FQDN
    - Name: gMSA-ACCOUNT-NAME
      Scope: YOURDOMAIN_NETBIOS
    HostAccountConfig:
      PortableCcgVersion: "1"
      PluginGUID: "{859E1386-BDB4-49E8-85C7-3070B13920E1}"
      PluginInput: "{\"credentialArn\":\"ARN-SECRET\"}"

apiVersion: windows.k8s.io/v1
kind: GMSACredentialSpec
metadata:
  name: gmsaeks-domainless
credspec:
  CmsPlugins:
  - ActiveDirectory
  DomainJoinConfig:
    Sid: S-1-5-21-857038504-468933455-1338018723
    MachineAccountName: gmsaeks
    Guid: 59d60a02-be02-4fd3-8a7f-c7c6c0daceaa
    DnsTreeName: marciomorales.local
    DnsName: marciomorales.local
    NetBiosName: marciomorales
  ActiveDirectoryConfig:
    GroupManagedServiceAccounts:
    - Name: gmsaeks
      Scope: marciomorales.local
    - Name: gmsaeks
      Scope: marciomorales
    HostAccountConfig:
      PortableCcgVersion: "1"
      PluginGUID: "{859E1386-BDB4-49E8-85C7-3070B13920E1}"
      PluginInput: "{\"credentialArn\":\"arn:aws:secretsmanager:us-east-1:0123456789:secret:gmsa-plugin-input-tBOL0j\"}"

kubectl create -f domainless-credspec-secretmanager.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: eksgmsa-role-domainless
rules:
- apiGroups: ["windows.k8s.io"]
  resources: ["gmsacredentialspecs"]
  verbs: ["use"]
  resourceNames: ["gmsaeks-domainless"]
  
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: gmsa-assign-role-domainless
  namespace: default
subjects:
- kind: ServiceAccount
  name: default
  namespace: default
roleRef:
  kind: ClusterRole
  name: eksgmsa-role-domainless
  apiGroup: rbac.authorization.k8s.io

kubectl apply -f gmsa-domainless-clusterrole.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    run: amazon-eks-gmsa-domainless
  name: amazon-eks-gmsa-domainless
  namespace: default
spec:
  replicas: 1
  selector:
    matchLabels:
      run: amazon-eks-gmsa-domainless
  template:
    metadata:
      labels:
        run: amazon-eks-gmsa-domainless
    spec:
      securityContext:
        windowsOptions:
          gmsaCredentialSpecName: gmsaeks-domainless
      containers:
      - image: mcr.microsoft.com/windows/servercore:ltsc2019
        imagePullPolicy: Always
        name: gmsadomainless
        command:
          - "powershell.exe"
          - "-Command"
          - "while (1) { sleep 1 }"
      nodeSelector:
        kubernetes.io/os: windows

注意：将 gmsacredentialSpecName 值替换为您在步骤 4.2 中创建的 Gmsa CredentialSpec 的名称。 在这篇文章中，我们使用了 gmsaeks-domainless。

5.2 使用以下命令部署 Windows 容器：

kubectl apply -f windows-auth-pod.yaml

6。在 Windows 窗格中测试 Windows 身份验证

6.1 运行以下命令，在 步骤 7.2 中的测试面板中打开 PowerShell 会话：

kubectl exec -it PODNAME -- powershell.exe

注意：将 PODNAME 替换为你的容器的名称。当你运行 kubectl get pod 时，你可以从输出列表中检索容器的名称。

6.2 在容器的 PowerShell 会话中，执行以下命令来验证 GmSA 身份和客户端名称。在这篇文章中，gmsaeks 是身份，这可以从下图中看出。

klist get krbtgt

6.3 此外，您可以使用 nltest 通过运行以下命令来验证可信 DC 连接是否成功建立：

nltest /sc_verify:YOURDOMAINFQDN

7。记录位置

• 事件记录在 Microsoft-Windows-Containers-CCG 日志文件中，可以在事件查看器的 “应用程序和服务日志\ 微软\ Windows\ Containers-CCG\ 管理员” 下找到。在微软提供的指南中查看更多调试技巧： 对适用于 Windows 容器的 GMSA 进行故障排除 。
• 未加入域名的 Windows 节点上插件的基本日志记录：C: /Programdata/Amazon/GMSA-Plugin/

8。（可选）使用 亚马逊云科技 系统管理器参数存储库作为凭证存储。

您可能更喜欢使用 亚马逊云科技 系统管理器参数存储库作为凭证存储，而不是 亚马逊云科技 密钥管理器。亚马逊云科技 插件支持这两个选项，但每个可移植身份只能使用一个选项。如果是这种情况，则在 SSM 上创建参数以存储便携式身份凭证。

8.1 创建一个 JSON 文件，其中包含构成 SSM 参数的值：

{
    "Name": "gmsa-plugin-input",
    "Value": "{\n\"username\": \"eks-portable-identity\",\n\"password\": \"YOUR_PASSWORD\",\n\"domainName\": \"YOURDOMAIN_FQDN\"\n}",
    "Type": "SecureString"
}

注意：使用您的便携式身份凭证替换用户名。使用您在步骤 1.3 中创建的便携式身份密码替换 YOUR_PASSWORD。将 YOURDOMAIN_FQDN 替换为您的完全限定域名。

8.2 使用以下命令创建 SSM 参数：

aws ssm put-parameter \
    --type "SecureString" \
    --key-id "KMS-KEY-ARN" \
    --cli-input-json file://gmsa-json-parameterstore.json

注意：使用要加密参数的 KMS 密钥 ARN 替换密钥 ID 值。将文件路径替换为保存 JSON 文件的路径。

8.3 将以下 亚马逊云科技 IAM 内联策略 添加到现有的 Windows 节点 亚马逊云科技 IAM 角色中。此 亚马逊云科技 IAM 策略允许 Windows 节点读取存储在 亚马逊云科技 系统管理器参数存储中的密钥。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": [
                "ARN-PARAMETER-STORE"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "ARN-KMS-KEY"
            ]
        }
    ]
}

8.4 使用以下命令在集群上创建指向使用参数存储的 gmSA CredentialSpec 资源，并将其另存为 domainless-credspec-parameterstore.yaml。

apiVersion: windows.k8s.io/v1
kind: GMSACredentialSpec
metadata:
  name: gmsaeks-domainless
credspec:
  CmsPlugins:
  - ActiveDirectory
  DomainJoinConfig:
    Sid: gMSA-ACCOUNT-SID
    MachineAccountName: gMSA-ACCOUNT-NAME
    Guid: gMSA-ACCOUNT-GUID
    DnsTreeName: YOURDOMAIN_FQDN
    DnsName: YOURDOMAIN_FQDN
    NetBiosName: YOURDOMAIN_NETBIOS
  ActiveDirectoryConfig:
    GroupManagedServiceAccounts:
    - Name: gMSA-ACCOUNT-NAME
      Scope: YOURDOMAIN_FQDN
    - Name: gMSA-ACCOUNT-NAME
      Scope: YOURDOMAIN_NETBIOS
    HostAccountConfig:
      PortableCcgVersion: "1"
      PluginGUID: "{859E1386-BDB4-49E8-85C7-3070B13920E1}"
      PluginInput: "{\"credentialArn\":\"ARN-PARAMETER-STORE\"}"

8.5 使用以下命令在集群上创建 gmSA CredentialSpec 资源：

kubectl create -f domainless-credspec-parameterstore.yaml

结论

在这篇文章中，我们向您展示了一种端到端的方法，该方法可以为在亚马逊 EKS 集群中未加入域的 Windows 工作节点上运行的 Windows 容器配置 Windows 身份验证。我们的方法包括使用 亚马逊云科技 插件从 AD 中检索 gmSA 密码，然后将其兑换 Kerberos 票证，允许 Windows pod 使用 AD 资源进行身份验证。许多 ASP.NET 应用程序经过平台重组后可在亚马逊 EKS 之上运行，都可以使用此功能继续提供基于 Kerberos v5 协议的 Windows 身份验证。

进一步阅读：

亚马逊 EKS Windows 容器和服务账户上加入域的 Windows 身份验证
Windows 容器 的 GMSA
疑难解答 Windows 容器上的 GMSA 配置 Windows 容器和容器
的 GMSA（Kubernetes 官方 文档）