如何通过Terraform创建自定义加固版CoreOS AMI用于Kubernetes环境部署？

听起来你想避开aws_ami_from_instance的限制——毕竟依赖现有实例来制作AMI确实不够灵活，尤其是要做加固版CoreOS镜像的话，我们可以直接用CoreOS官方的构建工具结合Terraform的AWS资源来实现，全程不需要先启动基础实例。

下面是具体的步骤和Terraform配置思路：

1. 准备CoreOS镜像构建环境（本地或临时EC2实例） #

CoreOS提供了coreos-assembler工具来构建自定义镜像，你可以在本地Linux/macOS环境或者用Terraform临时创建一个EC2实例来运行构建：

• 先克隆官方仓库：git clone https://github.com/coreos/coreos-assembler.git
• 按照文档安装依赖比如podman、kvm等，然后自定义你的加固配置：
  • 修改config.yaml添加安全加固项，比如关闭不必要的服务、添加自定义用户、配置SELinux策略等
  • 替换默认的系统组件版本，或者集成最新安全补丁

2. 构建RAW格式镜像并上传到S3 #

用coreos-assembler构建出RAW格式的镜像后，上传到AWS S3桶：

cosa build
cosa fetch
cosa image raw
aws s3 cp ./builds/latest/x86_64/coreos-*-raw.img s3://your-coreos-bucket/custom-coreos.raw

3. Terraform配置：从S3导入镜像创建自定义AMI #

用aws_ec2_import_image资源直接导入S3中的RAW镜像生成自定义AMI，这个过程完全不需要依赖基础实例：

resource "aws_s3_bucket" "coreos_images" {
  bucket = "your-coreos-bucket"
  # 配置桶权限，确保EC2导入服务能访问
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Principal = {
          Service = "ec2.amazonaws.com"
        }
        Action = [
          "s3:GetObject",
          "s3:ListBucket"
        ]
        Resource = [
          aws_s3_bucket.coreos_images.arn,
          "${aws_s3_bucket.coreos_images.arn}/*"
        ]
      }
    ]
  })
}

resource "aws_ec2_import_image" "custom_coreos" {
  description      = "Custom hardened CoreOS AMI"
  disk_containers {
    description = "CoreOS root disk"
    format      = "raw"
    user_bucket {
      s3_bucket = aws_s3_bucket.coreos_images.id
      s3_key    = "custom-coreos.raw"
    }
  }

  tags = {
    Name = "Hardened-CoreOS"
  }
}

# 后续用这个自定义AMI部署K8s节点
resource "aws_instance" "k8s_node" {
  ami           = aws_ec2_import_image.custom_coreos.image_id
  instance_type = "t3.medium"
  # 其他K8s节点配置（比如Ignition脚本、网络规则等）...
}

4. 额外加固建议 #

• 在构建镜像时，启用CoreOS的ignition配置，预先设置SSH密钥、禁用密码登录、配置防火墙规则
• 加入定期安全更新机制，比如启用rpm-ostree auto-update
• 镜像构建完成后，用AWS Inspector扫描AMI，确保没有已知漏洞

这种方式的优势在于完全可控，从镜像底层开始加固，不需要依赖任何现成的CoreOS AMI，完美适配你的需求。

内容的提问来源于stack exchange，提问作者BryGom