[Drail]

Czy ma ktoś doświadczenie z ECS Fargate na AWS? Potrzebuję pobrać plik z bucketu S3, na kontener na fargate. Chciałbym użyć istniejących już narzędzi na kontenerze (wget, curl), dodałem policy AmazonS3ReadOnlyAccess dla Execution role. Jednak przy próbie pobrania wgetem z s3, dostaje 403 forbridden. Czy powinienem zrobić coś jeszcze? S3 ma zablokowany dostęp publiczny.
#aws

[mmichal]

Execution role

@Drail: pokaż jak rolę zrobiłeś, lub daj na chwilę

{

"Effect": "Allow",
"Action": [
"s3:*"
],
"Resource": " * "
}

[K.....a]

@Drail: curl ci nic nie da, bo nie przekazujesz tokena do autoryzacji. Skorzystaj z AWS-CLI lub jakiegos AWS-SDK do tego co pobierze role, wygeneruje token.

[Drail]

@Klopsztanga: Właśnie chce uniknać aws cli, myślałem że mogę to zautoryzować po execution role dla ECS.
@mmichal: w policy dla Bucketa mam ustawić?

[K.....a]

@Drail: możesz, oczywiscie, ale poczytaj: https://docs.aws.amazon.com/AmazonS3/latest/dev/RESTAuthentication.html

[mmichal]

@Drail: @Klopsztanga: dobrze Ci napisał, aws cli musisz użyć, chyba że masz publiczny bucket,

aws s3api get-object --bucket text-content --key dir/myimages.tar.bz2 myimages.tar.bz2

[K.....a]

@Drail: a tutaj jak pobrac tymczasowy token z kontenera:
https://docs.aws.amazon.com/AmazonECS/latest/userguide/task-iam-roles.html

[K.....a]

Jak sam widzisz - jest to trudne. Skorzystaj z gotowych narzędzi :)

[Drail]

@Klopsztanga: @mmichal: no cóż, to pozostaje mi dorzucić do obrazu aws cli :) Czyli nie wymyślę koła na nowo :)

[K.....a]

@Drail: https://gist.github.com/davidejones/d05f51df75e659111227

w sumie jest gotowiec

[Drail]

@Klopsztanga: @mmichal: Ewentualnie myślałem o jakimś init containerze który podmontuje volumeny, skopiuje co trzeba i odsunie się w cień. Ale tu też mam wrażenie że przekombinowuje

[K.....a]

@Drail: tak, przekombinujesz :)

[mmichal]

@Drail: Może w User Data daj?

https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/user-data.html

[Drail]

@mmichal: odpada akurat. Deployment zrobiłem terraformem i raczej tego nie przekażę w ten sposób

[K.....a]

@Drail: ogarnij to wewnątrz aplikacji... bo w bashu to tak nie profesjonalne :)

https://gist.github.com/afunsten/fcabcfe3a77a4958af9bcafba2dfbbb5 tutaj znalazlem lepszy skrypt

[K.....a]

@Drail: btw. jak duzy to plik ?

[Drail]

@Klopsztanga: w sumie, mogę wywołać kontener z jakimiś wartościami, w deploymencie i tak mam secrety do awsa wyciągnięte

[Drail]

@Klopsztanga: 120kB, archwium z ~50 kluczami do apns

[mmichal]

resource "aws_ecs_cluster" "TWOJKLASTERECS" {
 name = "NAZWAKLASTRA"
}
data "template_file" "user_data" {
 template = "${file("userdata-SKRYPT-COSIEODPALI-PRZYSTARCIE.sh")}"
}
data "template_cloudinit_config" "config" {
 gzip = true
 base64_encode = true
 part {
 filename = "userdata-SKRYPT-COSIEODPALI-PRZYSTARCIE.sh"
 content_type = "text/x-shellscript"
 content = "${data.template_file.user_data.rendered}"
 }
}

resource "aws_launch_configuration" "LanczKonfDLAECS" {
 name_prefix = "klasterECS"
 image_id = "${data.aws_ami.amazon_linux.id}"
 instance_type = "t3.small"
 spot_price = "0.4"
 user_data = "${data.template_cloudinit_config.config.rendered}"
 key_name = "SSHKLUCZ"
 iam_instance_profile = "iam_ECS_ROLA_KLASTRA_ec2"
 security_groups = "listagrupsecurity"

}

[Drail]

@mmichal: @Klopsztanga: dobra, dzięki chłopaki, ogarnę wewnątrz aplikacji. Dzięki za gisty i dobre rady

[mmichal]

@Drail: proszę, klaster z terraformem z user data :)