[Drail]

Czy ma ktoś doświadczenie z ECS Fargate na AWS? Potrzebuję pobrać plik z bucketu S3, na kontener na fargate. Chciałbym użyć istniejących już narzędzi na kontenerze (wget, curl), dodałem policy AmazonS3ReadOnlyAccess dla Execution role. Jednak przy próbie pobrania wgetem z s3, dostaje 403 forbridden. Czy powinienem zrobić coś jeszcze? S3 ma zablokowany dostęp publiczny.
#aws

[K.....a]

jeśli robisz to na produkcji, to bym cię zabił :D Jeśli to są poufne rzeczy, to poczytaj o AWS Secret Manager. Wtedy te klucze zostaną "wstrzyknięte" do kontenera poprzez ENV vars

[K.....a]

@mmichal: to jest na ec2 a nie fargate :)

[Drail]

@Klopsztanga: Tak robie na produkcji. Hasła do odszyfrowania kluczy są w parameter storze :) Ale jednak same paczki z certami musze skopiować. Wcześniej były trzymane po prostu w repo na githubie

[mmichal]

@Klopsztanga: będzie dużo taniej bo nawet spoty mu dałem :)

@mmichal: proszę terraform z SSM (AWS SECRET MANAGER + SSM PARAMETER STORE) tak wygląda:

resource "aws_ssm_parameter" "mojtanjnyparamter"

[K.....a]

@Drail: to nie zapomnij zabezpieczyc s3 szyfrowaniem

[Drail]

@mmichal: Ale wiem jak wygląda terraform z ssm :D

[mmichal]

@Drail: a czemu certy trzymasz w apce? nie lepiej na LB wrzucić?

[Drail]

@Klopsztanga: Jest kms'em szyfrowany

[Drail]

@mmichal: Tak dostaliśmy appke do przepięcia z heroku. Certy nie do ssl, tylko do apple notification service. Potrzbujesz ich do na przykład wysłania pusha z notyfikacją

[mmichal]

@Drail: wrzuć certa raz na LB i tam zrób SSL offloading, na SG daj ruch do apki tylko z LB i tyle.

[Drail]

@mmichal: Ale jak mam certa na LoadBalancer wrzucić który obsługuje apns? To tak jakbym chciał klucz ssh wrzucić na lb. Chyba że to ja o czymś nie wiem

[mmichal]

@Drail: ja mam 1 LB dla np 30 apek i kieruje ruch po domenie, czyli w listenerze mam rule ze jeśli host = "xxx" to ślij na target grupę NNN

[Drail]

@mmichal: A klucze apns służą do podpisania wiadomości która wychodzi z appki. Więc zpainanie ich w jakiś sposób na lb raczej nic nie da

[Drail]

@mmichal: @Klopsztanga: Dzięki jeszcze raz za szybkie rady

[mmichal]

@Drail: ja bym zrobił ecs na ec2 i wtedy sobie user data script dodajesz który pobiera bucket i tyle, kazdy kontener a łatwy dostęp

[Drail]

@mmichal: @Klopsztanga Wszystko pięknie chodzi. Fargate cały i zdrowy :) Dzięki chłopy!