credential_processと1Password CLIでawsumeと共存できるセキュアな認証環境を作る

#!/bin/bash
set -e

# --- 設定 ---
# 1Password のアイテム名
OP_ITEM="AWS Access Key"
# キャッシュを保存するフィールドラベル
OP_ITEM_LABEL_CACHE="session_cache"

OP_ITEM_LABEL_ACCESS_KEY="Access Key ID"
OP_ITEM_LABEL_SECRET_KEY="Secret Access Key"
OP_ITEM_LABEL_MFA_SERIAL="mfa serial"

# --- 0. 環境変数を完全にクリア ---
# 親プロセス等の環境変数が邪魔をしないようクリアします
unset AWS_ACCESS_KEY_ID
unset AWS_SECRET_ACCESS_KEY
unset AWS_SESSION_TOKEN
unset AWS_SECURITY_TOKEN
unset AWS_PROFILE

# --- 1. 1Password からアイテム情報を一括取得 ---  
# キャッシュもクレデンシャルも同じアイテムにあるので、最初に1回取得するだけで済む
OP_JSON=$(op item get "$OP_ITEM" --format json)

# --- 2. キャッシュの確認 ---
# 指定フィールドの値を取得（なければ空）  
ENCODED_CACHE=$(echo "$OP_JSON" | jq -r --arg label "$OP_ITEM_LABEL_CACHE" '.fields[] | select(.label==$label).value // empty')

if [ -n "$ENCODED_CACHE" ]; then
    # Base64デコード
    DECODED_CACHE=$(echo "$ENCODED_CACHE" | base64 -d 2>/dev/null || echo "")

    if [ -n "$DECODED_CACHE" ]; then
        CURRENT_TIME=$(date +%s)
          
        # 有効期限チェック (+00:00 -> Z 置換含む)
        IS_VALID=$(echo "$DECODED_CACHE" | jq -r --argjson now "$CURRENT_TIME" '
            if .Credentials.Expiration then
                (.Credentials.Expiration | sub("\\+00:00$"; "Z") | sub("\\.[0-9]+Z$"; "Z") | fromdateiso8601) > ($now + 30)
            else
                false
            end
        ')

        if [ "$IS_VALID" = "true" ]; then
            # キャッシュ有効 -> そのまま出力して終了
            echo "$DECODED_CACHE" | jq '{Version: 1, AccessKeyId: .Credentials.AccessKeyId, SecretAccessKey: .Credentials.SecretAccessKey, SessionToken: .Credentials.SessionToken, Expiration: .Credentials.Expiration}'  
            exit 0
        fi
    fi
fi

# --- 3. キャッシュがない/切れそうな場合は新規取得 ---
# (キャッシュ切れ時の処理)
ACCESS_KEY=$(echo "$OP_JSON" | jq -r --arg label "$OP_ITEM_LABEL_ACCESS_KEY" '.fields[] | select(.label==$label).value')
SECRET_KEY=$(echo "$OP_JSON" | jq -r --arg label "$OP_ITEM_LABEL_SECRET_KEY" '.fields[] | select(.label==$label).value')
MFA_SERIAL=$(echo "$OP_JSON" | jq -r --arg label "$OP_ITEM_LABEL_MFA_SERIAL" '.fields[] | select(.label==$label).value')

# MFAコード取得
MFA_CODE=$(op item get "$OP_ITEM" --otp)

if [ -z "$ACCESS_KEY" ] || [ -z "$SECRET_KEY" ] || [ -z "$MFA_CODE" ]; then
    echo "Error: Failed to retrieve credentials from 1Password." >&2
    exit 1
fi

# --- 4. AWS STS 実行 ---
export AWS_ACCESS_KEY_ID="$ACCESS_KEY"
export AWS_SECRET_ACCESS_KEY="$SECRET_KEY"

OUTPUT=$(aws sts get-session-token \
    --serial-number "$MFA_SERIAL" \
    --token-code "$MFA_CODE" \
    --output json 2>&1)
STATUS=$?

if [ $STATUS -ne 0 ]; then
    echo "Error calling aws sts get-session-token:" >&2
    echo "$OUTPUT" >&2
    exit 1
fi

# --- 5. 1Password にキャッシュを保存 (書き込み) ---
# JSONをBase64エンコード
ENCODED_OUTPUT=$(echo "$OUTPUT" | base64)

# op item edit でフィールドを更新 (タイプは 'password' にしてUI上は隠す)
op item edit "$OP_ITEM" "$OP_ITEM_LABEL_CACHE[password]=$ENCODED_OUTPUT" >/dev/null 2>&1

# credential_process 用に出力
echo "$OUTPUT" | jq '{Version: 1, AccessKeyId: .Credentials.AccessKeyId, SecretAccessKey: .Credentials.SecretAccessKey, SessionToken: .Credentials.SessionToken, Expiration: .Credentials.Expiration}'

[default]
region = ap-northeast-1
credential_process = /Users/your-name/.aws/get-1password-creds.sh

[profile project-a-role]
role_arn = arn:aws:iam::999999999999:role/ProjectARole
source_profile = default
# defaultプロファイル側でMFA済みのため、ここには mfa_serial を書かないのがポイントです！

op plugin clear aws

# source /Users/your-name/.config/op/plugins.sh

awsume project-a-role