Wie Sie mehrere Schlüssel für elastic beanstalk-Instanz?

Erstellen Sie eine Datei namens .ebextensions/authorized_keys.config ist ein weiterer Weg, es zu tun.

files:
  /home/ec2-user/.ssh/authorized_keys:
    mode: "000400"
    owner: ec2-user
    group: ec2-user
    content: |
      ssh-rsa AAAB3N...QcGskx keyname
      ssh-rsa BBRdt5...LguTtp another-key

Den Namen der Datei authorized_keys.config ist willkürlich.

Folgenden auf von Jim Flanagan ' s Antwort, Sie könnte den Schlüssel Hinzugefügt, um jede Instanz durch die Schaffung .ebextensions/app.config in Ihrer Anwendung Quellcode-Verzeichnis mit dem Inhalt:

commands:
  copy_ssh_key_userA: 
    command: echo "ssh-rsa AAAB3N...QcGskx userA" >> /home/ec2-user/.ssh/authorized_keys
  copy_ssh_key_userB: 
    command: echo "ssh-rsa BBRdt5...LguTtp userB" >> /home/ec2-user/.ssh/authorized_keys

Die dynamischste Art, bis zu mehrere SSH-Schlüssel auf Elastic Beanstalk EC2-Instanzen

Schritt 1

Erstellen Sie eine Gruppe IAM. Nennen Sie so etwas wie beanstalk-access. Fügen Sie die Benutzer SSH-Zugriff auf diese Gruppe IAM. Auch fügen Sie Ihren öffentlichen ssh-Schlüssel(s) zu Ihrem IAM -Security credentials.

Schritt 2

Den deployment-Skript unten wird das Parsen der JSON-Daten von AWS CLI mit einem handlichen Linux-tool namens jq (jq offizielle tutorial), so müssen wir hinzufügen, es in .ebextensions:

  packages:
    yum:
      jq: []

Schritt 3

Fügen Sie den folgenden BASH-deployment-Skript .ebextensions:

  files:
    "/opt/elasticbeanstalk/hooks/appdeploy/post/980_beanstalk_ssh.sh":
      mode: "000755"
      owner: ec2-user
      group: ec2-user
      content: |
        #!/bin/bash
        rm -f /home/ec2-user/.ssh/authorized_keys
        users=$(aws iam get-group --group-name beanstalk-access | jq '.["Users"] | [.[].UserName]')
        readarray -t users_array < <(jq -r '.[]' <<<"$users")
        declare -p users_array
        for i in "${users_array[@]}"
        do
        user_keys=$(aws iam list-ssh-public-keys --user-name $i)
        keys=$(echo $user_keys | jq '.["SSHPublicKeys"] | [.[].SSHPublicKeyId]')
        readarray -t keys_array < <(jq -r '.[]' <<<"$keys")
        declare -p keys_array
        for j in "${keys_array[@]}"
        do
        ssh_public_key=$(aws iam get-ssh-public-key --encoding SSH --user-name $i --ssh-public-key-id $j | jq '.["SSHPublicKey"] .SSHPublicKeyBody' | tr -d \")
        echo $ssh_public_key >> /home/ec2-user/.ssh/authorized_keys
        done
        done
        chmod 600 /home/ec2-user/.ssh/authorized_keys
        chown ec2-user:ec2-user /home/ec2-user/.ssh/authorized_keys

Leider, denn dies ist YAML, können Sie nicht Einrücken der code, damit es leichter lesbar. Aber lassen Sie uns brechen, was passiert:

• (In der code-snippet direkt unten) Wir entfernen die Standard-SSH-key-Datei zu geben, die volle Kontrolle über die Liste, um das deployment-Skript.

    rm -f /home/ec2-user/.ssh/authorized_keys
  

• (In der code-snippet direkt unten), die Mit AWS CLI, wir bekommen die Liste der Benutzer in der beanstalk-access Gruppe, und dann sind wir Rohrleitungen, die JSON-Liste in jq zu extrahieren nur, dass die Liste der `$Benutzer.

    users=$(aws iam get-group --group-name beanstalk-access | jq '.["Users"] | [.[].UserName]')
  

• (In der code-snippet direkt unten) Hier sind wir der Umwandlung von JSON $users Liste in einem BASH-array und ruft es $users_array.

  readarray -t users_array < <(jq -r '.[]' <<<"$Benutzer")
  declare -p users_array

• (In der code-snippet direkt darunter) beginnen Wir die Schleife durch das array von Benutzern.

    for i in "${users_array[@]}"
    do
  

• (In der code-snippet direkt darunter) kann Dies wahrscheinlich gemacht werden in einer Zeile, aber es ' s grabbing die Liste der SSH-Schlüssel für jeden Benutzer in der beanstalk-access Gruppe. Es hat noch nicht verwandelte Sie in eine BASH-array, es ist immer noch eine JSON-Liste.

    user_keys=$(aws iam list-ssh-public-keys --user-name $i)
    keys=$(echo $user_keys | jq '.["SSHPublicKeys"] | [.[].SSHPublicKeyId]')
  

• (In der code-snippet direkt unten), Jetzt ist es der Umwandlung von JSON-Liste für jeden Nutzer SSH-keys in einem BASH-array.

   readarray -t keys_array < <(jq -r '.[]' <<<"$keys")
   declare -p keys_array
  

• (In der code-snippet direkt unten), Jetzt ist es der Umwandlung von JSON-Liste in einem BASH-array.

   readarray -t keys_array < <(jq -r '.[]' <<<"$keys")
   declare -p keys_array
  

• (In der code-snippet direkt unten) Jetzt haben wir eine Schleife durch jedes Benutzers Reihe von SSH-Schlüsseln.

   for j in "${keys_array[@]}"
   do
  

• (In der code-snippet direkt unten) fügen Wir jeder SSH-Schlüssel für jeden Benutzer, der authorized_keys Datei.

  ssh_public_key=$(aws iam get-ssh-public-key --encoding SSH --user-name $i --ssh-public-key-id $j | jq '.["SSHPublicKey"] .SSHPublicKeyBody' | tr -d \")
  echo $ssh_public_key >> /home/ec2-user/.ssh/authorized_keys
  

• (In der code-snippet direkt darunter) Schließen beide die $users_array Schleife und $users_keys Schleife.

  done
  done
  

• (In der code-snippet direkt darunter) Geben die authorized_keys Datei die gleichen Berechtigungen, die es ursprünglich hatte.

  chmod 600 /home/ec2-user/.ssh/authorized_keys
  chown ec2-user:ec2-user /home/ec2-user/.ssh/authorized_keys
  

Schritt 4

Wenn Ihr Elastic Beanstalk EC2-Instanz in einer öffentlichen Subnetz, können Sie auch einfach ssh in Sie es mit:

ssh ec2-user@ip-address -i /path/to/private/key

Wenn Ihr Elastic Beanstalk EC2-Instanz in ein eigenes Subnetz (wie es sein sollte für cloud security best practices), dann werden Sie brauchen, um eine "bastion server" EC2-Instanz, die als gateway für die Tunnelung alle SSH-Zugriff auf EC2-Instanzen. Nachschlagen ssh agent forwarding oder ssh proxy commands um eine Idee zu bekommen, wie das zu erreichen SSH-tunneling.

Hinzufügen neuer Benutzer

Alles, was Sie tun ist, fügen Sie Sie zu Ihrem IAM - beanstalk-access Gruppe, und führen Sie eine Bereitstellung aus, und das Skript hinzufügen, um Ihr Elastic Beanstalk-Instanzen.

anstatt echo und Ihre Schlüssel zu speichern, die auf Git-laden Sie Ihren öffentlichen Schlüssel an IAM-Benutzer auf AWS und als:

commands:
  copy_ssh_key_userA: 
    command: rm -f /home/ec2-user/.ssh/authorized_keys;aws iam list-users --query "Users[].[UserName]" --output text | while read User; do aws iam list-ssh-public-keys --user-name "$User" --query "SSHPublicKeys[?Status == 'Active'].[SSHPublicKeyId]" --output text | while read KeyId; do aws iam get-ssh-public-key --user-name "$User" --ssh-public-key-id "$KeyId" --encoding SSH --query "SSHPublicKey.SSHPublicKeyBody" --output text >> /home/ec2-user/.ssh/authorized_keys; done; done;