Windowsでaws-vaultの設定を最初から実施し、aws-vault経由でterraformの実行テストをしてみた

こんちには。

データアナリティクス事業本部 インテグレーション部 機械学習チームの中村です。

今回はWindowsマシンに対して、以下記事に沿ってaws-vaultの設定をしてterraformの実行まで確認しましたので、その作業メモをブログにしました。

本記事の設定は以下の則っています。aw-vaultについての説明はこれらの記事もご参考にされてください。

• aws-vaultでcliとterraformをいい感じにしてみる | DevelopersIO
• AWS Vaultで端末内のAWSアクセスキー平文保存をやめてみた | DevelopersIO

aws-vaultのインストール

Windowsマシンからの実行であるため、PowerShellを管理者権限で起動して以下でaws-vaultをインストールします。

choco install aws-vault

環境毎にインストール方法は異なりますので以下を参照ください。

• https://github.com/99designs/aws-vault#installing

インストール後は、恒例のバージョンチェックをしてみます。

aws-vault --version

# v7.2.0

aws-vaultの設定と~/.aws/configの設定

~/.aws/configと~/.aws/credentialsは存在しない状態で開始します。

（実際にはバックアップをしています。またaws-vaultはcredentialsを使用しないはずですが念のため）

まずは、classmethodという名前でスイッチロール元のプロファイルを設定します。

（名前は任意で設定可能）

aws-vault add classmethod

# Enter Access Key ID: XXXX
# Enter Secret Access Key: ****************************************
# Added credentials to profile "classmethod" in vault

プロファイルの登録を確認します。

aws-vault list

# Profile                  Credentials              Sessions
# =======                  ===========              ========
# classmethod              classmethod              -

この時点で~/.aws/configは以下のように空欄で作成されています。

[profile classmethod]

ここに以下のようにこちらの記事と同様の設定を追記します。

[profile classmethod]
mfa_serial=arn:aws:iam::<スイッチロール元のアカウントID>:mfa/<スイッチロール元のIAMユーザ名>
region=ap-northeast-1
output=json

[profile common]
credential_process=aws-vault --prompt terminal export classmethod --duration 12h --format=json

[profile myproject1]
source_profile=common
role_arn=arn:aws:iam::<スイッチロール先１のアカウントID>:role/<ロール名>
region=ap-northeast-1
output=json

[profile myproject2]
source_profile=common
role_arn=arn:aws:iam::<スイッチロール先２のアカウントID>:role/<ロール名>
region=ap-northeast-1
output=json

ロールセッション名が必要な場合はrole_session_nameも設定されてください。

• ロールセッション名についての参考記事
  • IAM ロールにスイッチする際にユーザ名を伝えられるようになった｜基幹システムのクラウド移行・構築・導入支援のBeeX

この編集後は、以下のようにprofileが認識されます。

aws-vault list

# Profile                  Credentials              Sessions
# =======                  ===========              ========
# classmethod              classmethod              -
# common                   -                        -
# myproject1               -                        -
# myproject2               -                        -

aws-vaultの実行

セッションをクリアします。

aws-vault clear

スイッチロール先１でAWS CLIを実行してみます。

aws --profile myproject1 sts get-caller-identity

# Enter MFA code for arn:aws:iam::<スイッチロール元のアカウントID>:mfa/<スイッチロール元のIAMユーザ名>: <MFAコード>
# {
#     "UserId": "XXXXXXXXXXXXXXXXXXXXX:<ロールセッション名>",
#     "Account": "<スイッチロール先１のアカウントID>",
#     "Arn": "arn:aws:sts::<スイッチロール先１のアカウントID>:assumed-role/<ロール名>/<ロールセッション名>"
# }

MFAコードの入力が求められますので入力します。

一度入力すると、以下のようにスイッチロール先２でもMFAコードの再入力は求められなくなります。

aws --profile myproject2 sts get-caller-identity

# {
#     "UserId": "XXXXXXXXXXXXXXXXXXXXX:<ロールセッション名>",
#     "Account": "<スイッチロール先１のアカウントID>",
#     "Arn": "arn:aws:sts::<スイッチロール先１のアカウントID>:assumed-role/<ロール名>/<ロールセッション名>"
# }

現在の状態を以下で確認できます。12時間セッショントークンが有効となっていることが分かります。

（これはcommonプロファイルで--duration 12hとしているため）

aws-vault list

# Profile                  Credentials              Sessions
# =======                  ===========              ========
# classmethod              classmethod              sts.GetSessionToken:11h51m2s
# common                   -                        -
# myproject1               -                        -
# myproject2               -                        -

terraform実行の確認

最後にaws-vault経由でterraformを実行します。

以下のようなmain.tfファイルを任意のディレクトリに作成します。

resource "aws_s3_bucket" "sample-bucket" {
  bucket = "バケット名"
}

terraform initを実行します。

terraform init

# Initializing the backend...
#
# (...中略...)
#
# If you ever set or change modules or backend configuration for Terraform,
# rerun this command to reinitialize your working directory. If you forget, other
# commands will detect it and remind you to do so if necessary.

applyで実際にS3バケットを作成します。（実際はplanなどをその前に挟んでもよいです）

aws-vault exec myproject1 -- terraform apply

# (...中略...)
#
#  Enter a value: yes
#
# (...中略...)
#
# Apply complete! Resources: 1 added, 0 changed, 0 destroyed.

無事作成を確認し終わったら、destroyします。

aws-vault exec myproject1 -- terraform destroy

# (...中略...)
#
#  Enter a value: yes
#
# (...中略...)
#
# Destroy complete! Resources: 1 destroyed.

まとめ

いかがでしたでしょうか。こちらが皆様の環境設定のお役に立てば幸いです。