Serverless Frameworkで、IAMロールを利用しクロスアカウントにデプロイする

Serverless FrameworkでIAMロールを利用して、クロスアカウントのデプロイする方法をご紹介します。

#AWS

#Serverless Framework

#AWS IAM

阿部洸樹

2019.06.03

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Serverless Frameworkで、IAMロールを利用しクロスアカウントにデプロイする方法をご紹介します。

IAMロールを利用しクロスアカウントにデプロイするとは？

以下のスライドでは、JumpアカウントにIAMユーザーを作成し、他のAWSアカウントにはIAMロールを作成しています。 JumpアカウントのIAMユーザーからIAMロールに切り替えることで、他のアカウントを操作します。 Serverless Frameworkでも同様のことを行いました。

20190130 AWS Black Belt Online Seminar AWS Identity and Access Management (AWS IAM) Part2 from Amazon Web Services Japan

クロスアカウント設定

JumpアカウントでIAMユーザーを作成します。ロールを切り替えるユーザーアクセス権限の付与を参考に、ロールを切り替える為に必要な"sts:AssumeRole"のポリシーを割り当てます。以下のポリシーでは、デプロイするAWSアカウントのTestから始まるIAMロールに切り替えできます。

{
"Version": "2012-10-17",
"Statement": {
"Effect": "Allow",
"Action": "sts:AssumeRole",
"Resource": "arn:aws:iam::deploy-account-id-without-hyphens:role/Test*"
}
}

デプロイアカウントにIAMロールを作成します。 IAM ロールの作成 (コンソール)を参考にできます。手順に従うと、以下のように信頼関係が設定されます。「"arn:aws:iam::jump-account-id-without-hyphens:user/iam-username"」には、JumpアカウントのAWSアカウントIDと、IAMユーザー名が入ります。 [MFA が必要]にチェックを入れると、ConditionにMFAに関する記述が記載されます。以下の例では、スイッチロール時にMFAの入力を求められます。

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::jump-account-id-without-hyphens:user/iam-username"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}

JumpアカウントでIAMユーザーのキーを発行し、登録します。

$ aws configure
AWS Access Key ID [None]: AKINNFVEOLSN7EXAMPLE
AWS Secret Access Key [None]: Nveie9v0enadfdsa013rmEXAMPLEKEY
Default region name [None]: ap-northeast-1
Default output format [None]: json

デプロイアカウントの設定を~/.aws/credentialsに記載します。 role_arnは、デプロイアカウントに作成したIAMロールのARNを指定します。 mfa_seialは、JumpアカウントのIAMユーザーに設定したMFAデバイスのARNを指定します。

$ cat ~/.aws/credentials
[accountA]
region = ap-northeast-1
role_arn = arn:aws:iam::deploy-account-id:role/role-name
mfa_serial = arn:aws:iam::jump-account-id:mfa/iam-username
source_profile = default

クロスアカウントでのデプロイ

環境変数を読み込みデプロイします。クロスアカウント設定で[MFA が必要]にチェックを入れていると、MFAを求められます。デプロイアカウント（accountA）にデプロイできます。

$ export AWS_SDK_LOAD_CONFIG=1
$ export AWS_PROFILE=accountA
$ serverless deploy
Serverless: Packaging service...
Serverless: Excluding development dependencies...
Enter MFA code for arn:aws:iam::jump-account-id:mfa/iam-username: 123456
Serverless: Creating Stack...
Serverless: Checking Stack create progress...
.....

この方法では、serverlessコマンドを実行するたびにMFAを入力する必要があります。セキュリティ面ではメリットがあるとも言えますが、手間に感じるかもしれません。その場合、ディレクトリ移動した際に自動で一時クレデンシャルを取得・設定する方法のように、IAMロールで一時的に利用できるキーを自動で発行し自動的に環境変数にセットする方法を利用できます。