Como @Connor McCarthy disse, enquanto esperava a Amazon encontrar uma solução melhor para chaves mais permanentes, nesse meio tempo precisaríamos gerar as chaves no servidor Jenkins de alguma forma.
Minha solução é ter um trabalho periódico que atualize as credenciais Jenkins para ECR a cada 12 horas automaticamente, usando a API do Groovy. Isso se baseia nesta resposta muito detalhada , embora eu tenha feito algumas coisas de maneira diferente e precisei modificar o script.
Passos:
- Verifique se o seu mestre Jenkins pode acessar a API da AWS necessária. Na minha configuração, o mestre Jenkins está sendo executado no EC2 com uma função do IAM, então tive que adicionar a permissão
ecr:GetAuthorizationTokenà função de servidor. [ Atualização ] para obter qualquer empurra concluída com êxito, você também precisaria conceder essas permissões: ecr:InitiateLayerUpload, ecr:UploadLayerPart, ecr:CompleteLayerUpload, ecr:BatchCheckLayerAvailability, ecr:PutImage. A Amazon possui uma política interna que oferece esses recursos, chamados AmazonEC2ContainerRegistryPowerUser.
- Verifique se a AWS CLI está instalada no mestre. Na minha configuração, com o mestre sendo executado em um contêiner do docker debian, acabei de adicionar esta etapa de construção do shell ao trabalho de geração de chaves:
dpkg -l python-pip >/dev/null 2>&1 || sudo apt-get install python-pip -y; pip list 2>/dev/null | grep -q awscli || pip install awscli
- Instale o plug-in Groovy, que permite executar o script Groovy como parte do sistema Jenkins.
- Na tela de credenciais, procure sua chave ECR da AWS, clique em "Avançado" e registre seu "ID". Neste exemplo, vou assumir que é "12345".
- Crie um novo trabalho, com um lançamento periódico de 12 horas, e adicione uma etapa de criação "script do Groovy do sistema" com o seguinte script:
import jenkins.model.*
import com.cloudbees.plugins.credentials.impl.UsernamePasswordCredentialsImpl
def changePassword = { username, new_password ->
def creds = com.cloudbees.plugins.credentials.CredentialsProvider.lookupCredentials(
com.cloudbees.plugins.credentials.common.StandardUsernameCredentials.class,
Jenkins.instance)
def c = creds.findResult { it.username == username ? it : null }
if ( c ) {
println "found credential ${c.id} for username ${c.username}"
def credentials_store = Jenkins.instance.getExtensionList(
'com.cloudbees.plugins.credentials.SystemCredentialsProvider'
)[0].getStore()
def result = credentials_store.updateCredentials(
com.cloudbees.plugins.credentials.domains.Domain.global(),
c,
new UsernamePasswordCredentialsImpl(c.scope, "12345", c.description, c.username, new_password))
if (result) {
println "password changed for ${username}"
} else {
println "failed to change password for ${username}"
}
} else {
println "could not find credential for ${username}"
}
}
println "calling AWS for docker login"
def prs = "/usr/local/bin/aws --region us-east-1 ecr get-login".execute()
prs.waitFor()
def logintext = prs.text
if (prs.exitValue()) {
println "Got error from aws cli"
throw new Exception()
} else {
def password = logintext.split(" ")[5]
println "Updating password"
changePassword('AWS', password)
}
Observe:
- o uso da string codificada
"AWS"como o nome de usuário das credenciais de ECR - é assim que a ECR funciona, mas se você tiver várias credenciais com o nome de usuário "AWS", será necessário atualizar o script para localizar as credenciais com base no campo de descrição ou algo assim.
- Você deve usar o ID real da sua chave ECR real no script, porque a API para credenciais substitui o objeto de credenciais por um novo objeto em vez de apenas atualizá-lo, e a ligação entre a etapa de construção do Docker e a chave é pelo ID. Se você usar o valor
nulldo ID (como na resposta que eu vinculei antes), um novo ID será criado e a configuração das credenciais na etapa de construção do docker será perdida.
E é isso: o script deve ser executado a cada 12 horas e atualizar as credenciais de ECR, e podemos continuar usando os plug-ins do Docker.