AWS 以console 及 aws-cli 新增IAM使用者小記

AWS 以console 及 aws-cli 新增IAM使用者小記

有些專案, 同事需要有 AWS console 登入檢視相關資訊的需求

寫一篇小記紀錄如何建立使用者然後給予相關權限

======== Console 方式 ========

登入 AWS Console -- > 點選 IAM 服務  -- > 點選 使用者

點選 新增使用者

輸入 使用者名稱 , 勾選 AWS Management Console 存取, 設定密碼 

確認 使用者必須在下次登入時建立新的密碼已經勾選

點選 下一個:許可

這次要建立的是只有 EC2 檢視的使用者, 官方建議使用群組的方式來管理

在 設定許可畫面中 , 點選建立群組

輸入群組名稱, 以這邊為例 EC2ReadOnlyAccess

搜尋 EC2Re 可以找到 AmazonEC2ReadOnlyAccess 政策

勾選 AmazonEC2ReadOnlyAccess 政策 -- > 建立群組 

確認 EC2ReadOnlyAccess 群組已經勾選 -- > 點選 下一個:標籤

標籤的部份, 因為在Console 沒有辦法輸入中文, 實物上可能有相關需求, 所以我是之後使用指令來完成, 點選 下一個:檢閱

再次瀏覽相關資訊 

點選 建立使用者

點選關閉 完成設定

接下來進行驗證

另外開啟新的瀏覽器到 AWS 登入Console

以剛剛建立好的使用者登入, 

可以嘗試進行相關動作, 但是因為沒有相關權限, 所以應該會得到相關錯誤訊息

另外一種方式是使用指令的方式

======== Console 方式 ========

一樣使用之前建立的 Container with 雲平台工具

OS: Container with openSUSE Leap 15

==== 在主機上面 ====

啟動 container

> docker  run  -v  ~/.aws:/root/.aws -v  ~/.azure:/root/.azure  -v ~/.config/gcloud:/root/.config/gcloud  -v  ~/.ssh:/root/.ssh  -it  sakana/ansible_opensuse15  /bin/bash

==== 在 container 內 ====

參考官方文件

• https://docs.aws.amazon.com/zh_tw/IAM/latest/UserGuide/id_users_create.html#id_users_create_cliwpsapi

建立使用者

# aws  iam  create-user --user-name  max

{

    "User": {

        "UserName": "max", 

        "Path": "/", 

        "CreateDate": "2019-07-20T03:41:17Z", 

        "UserId": "AIDA2MGTTTNPHXG2DWTKL", 

        "Arn": "arn:aws:iam::781126831704:user/max"

    }

}

給予 console login 權限

# aws iam create-login-profile --user-name max --password YOURPW  --password-reset-required

{

    "LoginProfile": {

        "UserName": "max", 

        "CreateDate": "2019-07-20T03:47:35Z", 

        "PasswordResetRequired": true

    }

}

接下來就是建立群組, 讓使用者加入還有設定政策

# aws  iam  create-group  --group-name EC2ReadOnlyAccess

{

    "Group": {

        "Path": "/", 

        "CreateDate": "2019-07-20T03:54:14Z", 

        "GroupId": "AGPA2MGTWTNTKQRGBFF7U", 

        "Arn": "arn:aws:iam::781126831704:group/EC2ReadOnlyAccess", 

        "GroupName": "EC2ReadOnlyAccess"

    }

}

將政策( Policy ) 加入到群組

在加入政策之前要先先找到相關 政策還有他的 ARN

先觀察相關資訊, 先列出兩個

#aws  iam  list-policies --max-items 2

{

         "Policies": [

        {

                "PolicyName": "AdministratorAccess",

                "CreateDate": "2015-02-06T18:39:46Z",

                "AttachmentCount": 5,

                "IsAttachable": true,

                "PolicyId": "ANPAIWMBCKSKIEE64ZLYK",

                "DefaultVersionId": "v1",

                "Path": "/",

                "Arn": "arn:aws:iam::aws:policy/AdministratorAccess",

                "UpdateDate": "2015-02-06T18:39:46Z"

              },

              {

                "PolicyName": "ASamplePolicy",

        "CreateDate": "2015-06-17T19:23;32Z",

        "AttachmentCount": "0",

        "IsAttachable": "true",

                "PolicyId": "Z27SI6FQMGNQ2EXAMPLE1",

        "DefaultVersionId": "v1",

                "Path": "/",

                "Arn": "arn:aws:iam::781126831704:policy/ASamplePolicy",

                "UpdateDate": "2015-06-17T19:23:32Z"

              }

        ]

}

• 這邊可以觀察到有 2 種 ARN, 官方ARN以及有帶 使用者帳號ID 的 ARN 

實務上我會使用 list-policies 加上 egrep 方式來找出我想要的

例如 # aws iam list-policies | egrep  '*EC2*' 

這次的作法是要找出 EC2 然後 ReadOnly

所以我會這樣搭配

# aws  iam  list-policies | egrep  -i   '*EC2*ReadOnly*'

            "PolicyName": "AmazonEC2ReadOnlyAccess", 

            "Arn": "arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess", 

• 這邊一定要用 egrep 而不是 grep

接下來把 找到的 AmazonEC2ReadOnlyAccess 政策套用到群組

# aws  iam attach-group-policy --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess --group-name  EC2ReadOnlyAccess

最後就是把使用者加到群組

# aws  iam  add-user-to-group --user-name max --group-name EC2ReadOnlyAccess

先記下來

~ enjoy it

有關於 IAM 使用者 加上標籤可以參考之前的 Blog

• http://sakananote2.blogspot.com/2019/06/iam-tag.html
• 實做上發現在 Linux 與 Mac 都可以用指令上 中文 tag, 但是在 container 內還不行, 改天來找一下原因

Reference:

• http://sakananote2.blogspot.com/2019/05/ansible-azure-cli-awscli-gcloud-with.html
• https://docs.aws.amazon.com/zh_tw/IAM/latest/UserGuide/id_users_create.html#id_users_create_cliwpsapi
• https://docs.aws.amazon.com/cli/latest/reference/iam/index.html#cli-aws-iam
• https://docs.aws.amazon.com/cli/latest/reference/iam/list-policies.html

使用 Ansible 安裝 netdata on GCP 小記

使用 Ansible 安裝 netdata  on GCP 小記

OS: Container with openSUSE Leap 15

因為同事很習慣使用 netdata 觀察機器狀況, 所以就寫了一篇紀錄使用 Ansible 安裝 netdata 小記

Netdata

• 官網 https://github.com/netdata/netdata
• 安裝文件 https://github.com/netdata/netdata/tree/master/packaging/installer

這次要實驗的機器是同事習慣的 CentOS 7 on GCP

Ansible 的部份是使用自己建立的 Container with openSUSE Leap 15 

• 可以參考 http://sakananote2.blogspot.com/2019/05/ansible-azure-cli-awscli-gcloud-with.html
• 已經裝了三個雲端平台的工具還有 Ansible 環境

==== 在主機上面 ====

啟動 container

> docker  run  -v  ~/.aws:/root/.aws -v  ~/.azure:/root/.azure  -v ~/.config/gcloud:/root/.config/gcloud  -v  ~/.ssh:/root/.ssh  -it  sakana/ansible_opensuse15  /bin/bash

• 這邊我有透過 -v 把本機上面的三個平台的設定檔掛載到容器內, 還有 .ssh 目錄 也掛載上面, 因為 google 的 SSH 金鑰 也會存放在裡面

==== 在 container 內 ====

使用 gcloud 指令建立 CentOS 7 的 GCE ( VM )

# gcloud  compute  --project=sakanatest  instances  create  --zone=asia-east1-b  --machine-type=n1-standard-1  --image-project=centos-cloud  --image-family centos-7 --boot-disk-size=30GB  test20190718

• --project 是因為我有多個 profile 所以指定那一個專案

檢查相關資訊

# gcloud  compute  instances  list

NAME               ZONE MACHINE_TYPE   PREEMPTIBLE INTERNAL_IP EXTERNAL_IP    STATUS

test20190718  asia-east1-b n1-standard-1                                   10.120.0.34 32.194.143.80 RUNNING

嘗試使用 gcloud 指令連線 SSH 到 GCE 

# gcloud  compute  ssh  sakana@test20190718  --zone  asia-east1-b

[sakana@test20190718 ~]$ 

• 這邊要用 使用者@SERVER_NAME, 因為預設不允許讓 root 登入
• 使用者帳號就要看當初 GCE 內的 SSH 金鑰使用者名稱

登出 GCE 回到 container 內

[sakana@test20190718 ~]$  exit

到這邊可以確認 gcloud 可以建立 GCE , 連線 SSH 到 GCE

接下來確認一下 在容器內也可以使用 SSH 私鑰 連線遠端的 GCE

# ssh  -i  /root/.ssh/google_compute_engine -l sakana  YOUR_VM_IP

[sakana@test20190718 ~]$ 

登出 GCE 回到 container 內

[sakana@test20190718 ~]$  exit

接下來進入 Ansible 的部份

• 相關檔案可以在 Github 上面找到 https://github.com/sakanamax/LearnAnsible/tree/master/playbook/general/netdata

hosts 檔案如下

# ----------------------------------------------------------------------

test20190718  ansible_host=YOUR_VM_IP ansible_ssh_private_key_file=/root/.ssh/google_compute_engine

# ----------------------------------------------------------------------

# 安裝 netdata

[netdata]

test20190718

先來進行基礎的 ping 測試

# ansible  -u  sakana  -m ping  test20190718

test20190718 | SUCCESS => {

    "changed": false, 

    "ping": "pong"

}

安裝 netdata 的 playbook 檔案 netdata_install.yml 檔案如下

---

# edit by sakana 2019/7/18

# 感謝亦德提供安裝的playbook 讓我修改

#########################################################  

# 

#

#########################################################  

- name: Install netdata and run service

# use group

  hosts: netdata

#  sudo: True

  become: True

  tasks:

#    - name: test setup moudule

#      setup: filter=ansible_distribution

# 下載 netdata 安裝 script

    - name: downlaod netdata software

      get_url:

        url: https://my-netdata.io/kickstart.sh

        dest: /usr/local/src/

# 使用非互動的方式安裝 netdata

    - name: install netdata

      shell: bash /usr/local/src/kickstart.sh --dont-wait

    - name: clean yum cache

      shell: yum clean all

      args:

        warn: no

# 移除 kickstart.sh

    - name: remove netdata software

      shell: rm -rf /usr/local/src/kickstart.sh

      args:

        warn: no

# 修改 Global 的 history 為86400

    - name: change netdata.conf

      shell: sed -i '1,30s/# history = 3996/history = 86400/g' /etc/netdata/netdata.conf

      args:

        warn: no

# 重新啟動 netdata

    - name: restart and enable service netdata

      systemd:

        name: netdata

        state: restarted

        enabled: yes

#-------------------------------------------------------

使用 ansible-playbook  指令安裝 netdata

# ansible-playbook -u  sakana  netdata_install.yml 

到這邊 netdata 已經安裝完畢

剩下最後一個動作, 開啟該 GCE 的 firewall

使用 gcloud 指令建立 firewall 允許 netdata 預設 port  19999 存取

# gcloud   compute  --project  sakanatest  firewall-rules create  "netdata"  --source-ranges "YOUR_IP_RANGE" --allow  tcp:19999

開啟瀏覽器 http://YOUR_IP:19999

大功告成

在 GCP 上面又前進一步

~ enjoy it

結束實驗, 刪除相關資源

# gcloud  compute  instances delete  test20190718

# gcloud  compute  --project sakanatest  firewall-rules delete "netdata"

Reference:

• http://sakananote2.blogspot.com/2019/05/ansible-azure-cli-awscli-gcloud-with.html
• https://github.com/sakanamax/LearnAnsible/tree/master/playbook/general/netdata