AWS Elastic Beanstalk中代码化EC2用户管理实践

1. 为什么需要代码化EC2用户管理？

在AWS Elastic Beanstalk（EB）环境中，手动登录EC2实例添加用户的方式存在明显的局限性。当我们需要为开发团队创建调试账户或部署自动化工具时，手动操作不仅效率低下，更无法满足以下场景需求：

• 规模化部署：当EB环境需要横向扩展时，新生成的EC2实例不会自动继承手动配置
• 审计合规：手动操作无法留下可追溯的变更记录，不符合企业安全规范
• 自动化流程：与CI/CD管道集成时，必须通过代码实现用户管理的全自动化

通过.ebextensions配置文件实现用户管理，可以确保每次环境部署或扩展时，用户账户配置都能保持一致。这种方法的核心优势在于将基础设施配置代码化（IaC），与AWS倡导的运维理念完全契合。

2. 配置前的环境准备

2.1 理解EB的配置层级

Elastic Beanstalk的配置系统分为多个层级，我们需要在应用层级的.ebextensions目录中添加配置。这个目录应该位于项目根目录，与应用程序代码一起打包部署。典型的结构如下：

code复制my-app/
├── .ebextensions/
│   └── user-management.config
├── app-code/
└── requirements.txt

重要提示：所有.config文件必须使用YAML格式，且文件名按字母顺序执行。建议采用01-前缀控制执行顺序。

2.2 权限策略设计

在IAM中创建专属策略时，需要平衡安全性与功能性。以下是一个最小权限策略示例（JSON格式）：

json复制{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:CreateTags",
        "iam:CreateUser",
        "iam:AddUserToGroup"
      ],
      "Resource": "*"
    }
  ]
}

将此策略附加到EB使用的IAM实例配置文件（Instance Profile），而非IAM用户。可以通过AWS控制台或CLI完成：

bash复制aws iam attach-role-policy \
  --role-name aws-elasticbeanstalk-ec2-role \
  --policy-arn arn:aws:iam::your-account-id:policy/EB-User-Management-Policy

3. 通过.ebextensions实现用户管理

3.1 基础用户创建配置

在.ebextensions/user-management.config中，我们可以定义多个资源。以下是一个完整的Linux用户创建示例：

yaml复制files:
  "/tmp/create_user.sh":
    mode: "000755"
    content: |
      #!/bin/bash
      USERNAME="devuser"
      if ! id -u $USERNAME > /dev/null 2>&1; then
        useradd -m -s /bin/bash $USERNAME
        mkdir -p /home/$USERNAME/.ssh
        echo "ssh-rsa AAAAB3Nza... user@example.com" > /home/$USERNAME/.ssh/authorized_keys
        chown -R $USERNAME:$USERNAME /home/$USERNAME/.ssh
        chmod 700 /home/$USERNAME/.ssh
        chmod 600 /home/$USERNAME/.ssh/authorized_keys
        echo "$USERNAME ALL=(ALL) NOPASSWD:ALL" > /etc/sudoers.d/$USERNAME
      fi

commands:
  01_create_user:
    command: "/tmp/create_user.sh"
    ignoreErrors: false

这个配置实现了：

1. 创建具有home目录的bash用户
2. 设置SSH公钥认证
3. 配置sudo权限（生产环境建议更严格的权限控制）

3.2 多环境差异化配置

在实际项目中，我们通常需要区分开发、测试、生产环境。可以通过EB环境变量结合条件语句实现：

yaml复制files:
  "/tmp/create_user.sh":
    mode: "000755"
    content: |
      #!/bin/bash
      ENV_TYPE=$(/opt/elasticbeanstalk/bin/get-config environment -k ENV_TYPE)
      
      case $ENV_TYPE in
        "production")
          USERNAME="prod-user"
          SSH_KEY="ssh-rsa AAAAB3...prod-key"
          ;;
        "staging")
          USERNAME="stage-user"
          SSH_KEY="ssh-rsa AAAAB3...stage-key"
          ;;
        *)
          USERNAME="dev-user"
          SSH_KEY="ssh-rsa AAAAB3...dev-key"
          ;;
      esac
      
      # 剩余用户创建逻辑...

在EB控制台设置ENV_TYPE环境变量后，脚本会根据不同环境创建相应用户。

4. 高级配置与安全加固

4.1 使用AWS Systems Manager Parameter Store

将敏感信息如SSH公钥存储在配置文件中存在安全风险。更好的做法是使用Parameter Store：

yaml复制files:
  "/tmp/create_user.sh":
    mode: "000755"
    content: |
      #!/bin/bash
      USERNAME="devuser"
      SSH_KEY=$(aws ssm get-parameter --name "/eb-config/$USERNAME/ssh-key" --with-decryption --query "Parameter.Value" --output text)
      
      # 用户创建逻辑...

需要提前通过CLI存储密钥：

bash复制aws ssm put-parameter \
  --name "/eb-config/devuser/ssh-key" \
  --value "ssh-rsa AAAAB3..." \
  --type "SecureString"

4.2 定期轮换配置

为确保安全性，建议设置配置轮换机制。可以通过CloudWatch Events触发Lambda函数更新Parameter Store中的密钥，然后重建EB环境：

yaml复制Resources:
  UserRotationLambda:
    Type: "AWS::Lambda::Function"
    Properties:
      Runtime: python3.8
      Handler: index.lambda_handler
      Role: !GetAtt LambdaExecutionRole.Arn
      Code:
        ZipFile: |
          import boto3
          def lambda_handler(event, context):
              # 生成新密钥并更新SSM
              eb = boto3.client('elasticbeanstalk')
              eb.rebuild_environment(EnvironmentName='my-env')

5. 故障排查与调试技巧

5.1 日志查看方法

EB的配置执行日志位于EC2实例的以下位置：

• /var/log/eb-activity.log - 记录.ebextensions脚本执行情况
• /var/log/cloud-init.log - 记录cloud-init的详细过程

通过EB控制台获取SSH访问权限后，可以使用以下命令实时监控日志：

bash复制sudo tail -f /var/log/eb-activity.log -n 100

5.2 常见错误处理

问题1：权限不足
错误现象：脚本执行失败，日志显示"Access Denied"
解决方案：

1. 检查IAM实例角色的权限
2. 确保脚本文件具有可执行权限（755）
3. 验证sudoers配置是否正确

问题2：用户已存在
错误现象：用户创建失败但脚本继续执行
解决方案：在useradd命令前添加存在性检查：

bash复制if ! id -u $USERNAME > /dev/null 2>&1; then
  # 创建用户逻辑
fi

问题3：home目录权限错误
错误现象：用户无法通过SSH登录
解决方案：确保执行正确的权限设置：

bash复制chown -R $USERNAME:$USERNAME /home/$USERNAME
chmod 700 /home/$USERNAME/.ssh
chmod 600 /home/$USERNAME/.ssh/authorized_keys

6. 生产环境最佳实践

6.1 使用PAM模块集成LDAP

对于企业级部署，建议通过PAM模块对接现有LDAP/AD系统，而非本地用户：

yaml复制packages:
  yum:
    sssd: []
    ldap-utils: []

files:
  "/etc/sssd/sssd.conf":
    mode: "0600"
    content: |
      [sssd]
      services = nss, pam
      domains = yourdomain.com
      
      [domain/yourdomain.com]
      id_provider = ldap
      auth_provider = ldap
      ldap_uri = ldaps://ldap.yourdomain.com
      ldap_search_base = dc=yourdomain,dc=com

6.2 审计与监控配置

启用AWS CloudTrail记录用户管理操作，并配置SNS告警：

yaml复制Resources:
  UserManagementAlarm:
    Type: "AWS::CloudWatch::Alarm"
    Properties:
      AlarmDescription: "Alert on EC2 user modifications"
      MetricName: "SecurityGroupEventCount"
      Namespace: "AWS/Events"
      Statistic: "Sum"
      Period: 300
      EvaluationPeriods: 1
      Threshold: 1
      ComparisonOperator: "GreaterThanOrEqualToThreshold"
      AlarmActions:
        - !Ref UserAlertsSNS

6.3 自动化测试验证

在CI/CD管道中添加部署后测试，验证用户配置：

yaml复制commands:
  02_verify_user:
    command: |
      ssh -o StrictHostKeyChecking=no devuser@localhost whoami || exit 1
    test: "test $(whoami) = 'root'"
    ignoreErrors: false

这种验证可以确保用户创建和SSH配置确实生效。