aws lambda 在不同的 ec2 机器上创建不同的初始化脚本

Question

我有一个 lambda 函数来启动具有以下用户数据的 windows EC2 实例并从环境变量中收集实例详细信息。

#!/usr/bin/python
# -*- coding: utf-8 -*-
import os
import boto3

AMI = os.environ["AMI"]
INSTANCE_TYPE = os.environ["INSTANCE_TYPE"]
KEY_NAME = os.environ["KEY_NAME"]
SUBNET_ID = os.environ["SUBNET_ID"]
REGION = os.environ["REGION"]
ec2 = boto3.client("ec2", region_name=REGION)

def lambda_handler(event, context):
init_script = '''<powershell>$USERNAME="latchu"
$PASSWORD="eM2An@ydxk"
net user /add $USERNAME $PASSWORD</powershell>'''
instance = ec2.run_instances(
    ImageId=AMI,
    InstanceType=INSTANCE_TYPE,
    KeyName=KEY_NAME,
    SubnetId=SUBNET_ID,
    MaxCount=3,
    MinCount=1,
    InstanceInitiatedShutdownBehavior="terminate",
    UserData=init_script,
)

在这里，我使用简单的 init 脚本在 Windows 实例上创建了一个带密码的用户。但是当我启动一个实例时它非常容易。有时，我应该创建 100 多个具有不同用户数据的实例，这些用户数据正在创建用户。 我可以在 boto3 中使用 MaxCount 简单地创建 100 多个实例。

MaxCount=3

但是，我的情况是每个 Ec2 实例都应该有单独的用户凭据。

所以我想要一个 lambda 函数来处理 100 多个具有不同用户数据的实例。我怎样才能实现？任何帮助将不胜感激。

Answer 1

基本上有两种不同的方法可以实现这一点。在引导过程中创建用户，或者在实例启动并运行后在引导后进行。

1. 如果您想坚持第一种方法，而不是使用 MaxCount 并在 lambda 处理程序的 init-script 中硬编码凭据，则需要对其进行完全模板化，此外还需要使用 for 循环并迭代某些内容。现在，根据您希望在这 100 个实例上使用相同用户名但使用不同密码的位置：

• 您可以创建一个函数，通过生成一个随机脚本来简单地创建 100 个不同的密码。为了不丢失这些凭据，另一个函数可以将它们加密存储在 Systems Manager Parameter Store 或 AWS Secrets Manager 中。
• 稍微不同的方法是预先生成一个带有您的凭据的 csv 或 json 文件，您可以在该文件上循环并逐行读取它们，以便将它们作为 vars 传递给 init 脚本。您需要确保该文件安全地存储在某处。

1. 您可以在实例启动后执行此操作，而不是在初始化脚本中创建用户。在这里，您可以根据自己的偏好依赖多种 AWS 服务（例如 OpsWorks），但您可以使用 I would recommend Systems Manager and more specifically the RunCommand 运行 PowerShell 脚本以在实例上本地创建用户。在这里，您需要一个 RunCommand 触发器。

• 一种选择是等待实例可用，然后在当前 lambda 中直接调用 RunCommand 命令，但这将不是最佳选择，因为它会被证明成本高昂，而且您很可能会达到 15-分钟 lambda 限制
• A slightly better approach would be to watch for the Instance Creation event which will then trigger the RunCommand
• 第三个选项是针对具有特定标记（例如 PostInstallUserCreation）的所有实例启动 RunCommand

在第二种引导后方法中，您仍然需要以某种方式创建或传递凭据，通常您可以混合使用这两个选项，或者生成随机字符串以传递给 RunCommand（甚至在本地生成它们在 powershell 脚本中的实例上）或轮询预先创建并存储在 Parameter Store 或 Secrets Manager 中的凭据。

1. 按照 John 在 cmets 中的建议，您可以使用 Active Directory，而不是创建本地用户

2. 您可以一起废弃凭据并使用 AWS Systems Manager Session Manager 甚至可能使用 HashiCorp Boundary 或类似工具。