マルチリポジトリの共通PythonパッケージをAWS CodeArtifactでいい感じに配布する設計をまとめてみる

domain: myorg
└── internal        # 共有パッケージの publish 先（external connection なし）

resource "aws_codeartifact_domain" "this" {
  domain = "myorg"
  # encryption_key を指定しなければ AWS 管理キーが使われる（本用途では十分）
}

# upstream / external connection は持たない。
# public 依存はコンシューマ側から直接 PyPI 解決する構成。
resource "aws_codeartifact_repository" "internal" {
  domain      = aws_codeartifact_domain.this.domain
  repository  = "internal"
  description = "shared internal packages (Python). no external connections."
}

locals {
  # 消費アカウント ID のリストから root ARN を生成
  consumer_account_root_arns = [
    for id in values(var.consumer_account_ids) : "arn:aws:iam::${id}:root"
  ]
}

# repository policy: read 系 action を許可
data "aws_iam_policy_document" "repository" {
  statement {
    sid    = "AllowConsumerAccountsToReadInternal"
    effect = "Allow"
    actions = [
      "codeartifact:GetRepositoryEndpoint",
      "codeartifact:ReadFromRepository",
      "codeartifact:DescribePackage",
      "codeartifact:DescribePackageVersion",
      "codeartifact:GetPackageVersionAsset",
      "codeartifact:GetPackageVersionReadme",
      "codeartifact:ListPackages",
      "codeartifact:ListPackageVersions",
      "codeartifact:ListPackageVersionAssets",
      "codeartifact:ListPackageVersionDependencies",
    ]
    resources = [
      aws_codeartifact_repository.internal.arn,
      "${replace(aws_codeartifact_repository.internal.arn, ":repository/", ":package/")}/*",
    ]
    principals {
      type        = "AWS"
      identifiers = local.consumer_account_root_arns
    }
  }
}

# ポリシードキュメントは定義するだけでは効かない。repository へのアタッチが必要
resource "aws_codeartifact_repository_permissions_policy" "internal" {
  domain          = aws_codeartifact_domain.this.domain
  repository      = aws_codeartifact_repository.internal.repository
  policy_document = data.aws_iam_policy_document.repository.json
}

# クロスアカウントの認証トークン
data "aws_iam_policy_document" "domain" {
  statement {
    sid       = "AllowConsumerAccountsToGetAuthorizationToken"
    effect    = "Allow"
    actions   = ["codeartifact:GetAuthorizationToken"]
    resources = [aws_codeartifact_domain.this.arn]
    principals {
      type        = "AWS"
      identifiers = local.consumer_account_root_arns
    }
  }
}

resource "aws_codeartifact_domain_permissions_policy" "this" {
  domain          = aws_codeartifact_domain.this.domain
  policy_document = data.aws_iam_policy_document.domain.json
}

# 既存の GitHub OIDC provider を参照（新規作成しない）
data "aws_iam_openid_connect_provider" "github" {
  url = "https://token.actions.githubusercontent.com"
}

locals {
  # リポジトリ識別子。
  publisher_repo = "myorg@1234567/shared-packages@98765432"

  # publish を許可する sub 条件（develop ブランチ + 全タグ）
  publisher_subs = [
    "repo:${local.publisher_repo}:ref:refs/heads/develop",
    "repo:${local.publisher_repo}:ref:refs/tags/*",
  ]
}

data "aws_iam_policy_document" "publish_assume" {
  statement {
    effect  = "Allow"
    actions = ["sts:AssumeRoleWithWebIdentity"]

    principals {
      type        = "Federated"
      identifiers = [data.aws_iam_openid_connect_provider.github.arn]
    }
    condition {
      test     = "StringEquals"
      variable = "token.actions.githubusercontent.com:aud"
      values   = ["sts.amazonaws.com"]
    }
    # develop ブランチ / タグの両方を許可（複数値の StringLike は OR）
    condition {
      test     = "StringLike"
      variable = "token.actions.githubusercontent.com:sub"
      values   = local.publisher_subs
    }
  }
}

resource "aws_iam_role" "publish" {
  name               = "shared-packages-publish"
  assume_role_policy = data.aws_iam_policy_document.publish_assume.json
}

data "aws_iam_policy_document" "publish" {
  # ドメイン単位の認証トークン取得。これが無いと publish 以前にトークンが取れず 403 になる
  statement {
    sid       = "GetAuthorizationTokenForDomain"
    effect    = "Allow"
    actions   = ["codeartifact:GetAuthorizationToken"]
    resources = [aws_codeartifact_domain.this.arn]
  }

  # CodeArtifact の認証は sts:GetServiceBearerToken も要求する
  statement {
    sid       = "GetServiceBearerTokenForCodeArtifact"
    effect    = "Allow"
    actions   = ["sts:GetServiceBearerToken"]
    resources = ["*"]
    condition {
      test     = "StringEquals"
      variable = "sts:AWSServiceName"
      values   = ["codeartifact.amazonaws.com"]
    }
  }

  statement {
    sid    = "PublishAndReadInternal"
    effect = "Allow"
    actions = [
      "codeartifact:GetRepositoryEndpoint",
      "codeartifact:ReadFromRepository",
      "codeartifact:PublishPackageVersion",
      "codeartifact:PutPackageMetadata",
      "codeartifact:DescribePackage",
      "codeartifact:DescribePackageVersion",
      "codeartifact:GetPackageVersionAsset",
      "codeartifact:ListPackages",
      "codeartifact:ListPackageVersions",
      "codeartifact:UpdatePackageVersionsStatus",
    ]
    resources = [
      aws_codeartifact_repository.internal.arn,
      "${replace(aws_codeartifact_repository.internal.arn, ":repository/", ":package/")}/*",
    ]
  }
}

# repository policy と同じく、ポリシードキュメントはロールにアタッチして初めて効く
resource "aws_iam_role_policy" "publish" {
  name   = "codeartifact-publish"
  role   = aws_iam_role.publish.id
  policy = data.aws_iam_policy_document.publish.json
}

# trust の sub は全 ref 許可（read のみのため）。publish ロールとは完全に分離する。
condition {
  test     = "StringLike"
  variable = "token.actions.githubusercontent.com:sub"
  values   = ["repo:${local.publisher_repo}:*"]
}

[[tool.poetry.source]]
name = "codeartifact"
# <account-id> はレジストリを置いたアカウント（本記事では prd）。消費側のアカウント ID ではない
url = "https://myorg-<account-id>.d.codeartifact.ap-northeast-1.amazonaws.com/pypi/internal/simple/"
priority = "explicit"   # この source を明示指定した依存だけが CodeArtifact を見る

[tool.poetry.dependencies]
shared-models = { version = ">=0.1.0,<1", source = "codeartifact" }
shared-logger = { version = ">=0.1.0,<1", source = "codeartifact" }

codeartifact-login:
	@TOKEN=$$(aws codeartifact get-authorization-token \
		--domain myorg --domain-owner <レジストリ配置アカウントID> \
		--region ap-northeast-1 --query authorizationToken --output text) && \
		printf 'export POETRY_HTTP_BASIC_CODEARTIFACT_USERNAME=aws\n' && \
		printf 'export POETRY_HTTP_BASIC_CODEARTIFACT_PASSWORD=%s\n' "$$TOKEN"

# L1: ローカル（path 依存へ切替。editable install）
make link-shared                    # 共有パッケージを sibling への path 依存に置換

eval "$(make codeartifact-login)"   # ← unlink には CodeArtifact 認証が必要
make unlink-shared                  # CodeArtifact 依存に戻す

# L2: dev（プレリリース版を許可）
# ※ poetry update に --pre オプションは存在しない。プレリリース許可は
#    依存スペックの allow-prereleases でのみ表現できるため、CI のビルド内で
#    使い捨ての pyproject.toml に付与してから targeted update する
eval "$(make codeartifact-login)"   # CodeArtifact トークン取得（12時間有効）
# GNU sed 前提かつキーの並び順に依存する。恒久的に使うなら tomlkit 等で書き換える
sed -i 's/source = "codeartifact" }/source = "codeartifact", allow-prereleases = true }/' pyproject.toml
poetry update shared-models shared-logger --lock   # *.dev* を含む範囲内最新を lock
poetry install                      # --lock は lock を更新するだけなので install が要る

# L3: stg / prd（lockfile 固定の正式版）
eval "$(make codeartifact-login)"
poetry install                      # lockfile に固定された正式リリース版を取得

# link 時（sibling への相対パス。develop = true が editable install の指定）
shared-logger = { path = "../../shared-packages/python/logger", develop = true }

# unlink 時（全環境共通の宣言に戻す）
shared-logger = { version = ">=0.1.0,<1", source = "codeartifact" }

prj-root/                # 親ディレクトリ名は任意
├── shared-packages/
├── service-a/
└── service-b/

# 直近タグ（パッケージ別の独立バージョニング）
LATEST=$(git describe --tags --match "shared-models/v*" --abbrev=0 2>/dev/null || true)
if [ -z "$LATEST" ]; then
  BASE="0.1.0"                       # タグが1つも無い間は patch+1 しない
else
  IFS=. read -r MAJ MIN PAT <<<"${LATEST#shared-models/v}"
  BASE="${MAJ}.${MIN}.$((PAT + 1))"
fi
# develop 上で単調増加するコミット数（run_number はリランで増えるため使わない）
N=$(git rev-list --count HEAD)
VERSION="${BASE}.dev${N}"
# 例: 直近タグが shared-models/v0.1.3 かつ N=482 なら → 0.1.4.dev482