AWS CDK(v2)で複数EC2を作ってIAM Role(Instance Profile)を共用する

AWS CDK(v2)でEC2を作るときにIAM Role（Instance Profile）を共用する方法を紹介します。TypeScriptのサンプルプログラム付き。

#AWS CDK

#Amazon EC2

Kitano Yuichi

2023.05.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

AWS CDKでEC2を作るときにIAM Roleを共用したい！なんてことはありませんか？僕はしょっちゅうあります。

そんなわけで、本ブログではAWS CDK(v2)でEC2を作るときにIAM Role（Instance Profile）を共用する方法を紹介します。

前提条件

AWS CDKはv2を利用しています。

$ cdk --version
2.79.1 (build 2e7f8b7)

CDKでIAM Roleを共用したEC2を作ってみる

まずは、さくっとTypeScriptのcdkでIAM Roleを共用するEC2を作ってみます。

次のプログラムを保存して。

import {Construct} from 'constructs';
import * as cdk from "aws-cdk-lib";
import * as ec2 from "aws-cdk-lib/aws-ec2";
import * as iam from "aws-cdk-lib/aws-iam";

export class SampleStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    const vpc = new ec2.Vpc(this, 'MyVpc', {
      natGateways: 0,
      maxAzs: 1,
      subnetConfiguration: [
        {
          name: 'PublicSubnet',
          subnetType: ec2.SubnetType.PUBLIC,
        },
      ],
    });

    const ec2Role = new iam.Role(this, 'MyRole', {
      assumedBy: new iam.ServicePrincipal('ec2.amazonaws.com'),
      description: 'My EC2 role',
    });

    const instance1 = new ec2.Instance(this, 'MyInstance1', {
      vpc,
      instanceType: ec2.InstanceType.of(
          ec2.InstanceClass.T3A,
          ec2.InstanceSize.NANO
      ),
      machineImage: ec2.MachineImage.latestAmazonLinux2(),
      role: ec2Role,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PUBLIC,
      },
    });

    const instance2 = new ec2.Instance(this, 'MyInstance2', {
      vpc,
      instanceType: ec2.InstanceType.of(
          ec2.InstanceClass.T3A,
          ec2.InstanceSize.NANO
      ),
      machineImage: ec2.MachineImage.latestAmazonLinux2(),
      role: ec2Role,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PUBLIC,
      },
    });
  }
}

const app = new cdk.App();
new SampleStack(app, "SampleStack");

次のコマンドを実行してデプロイすると、EC2が2つ構築できます。簡単ですね。

$ cdk deploy SampleStack

CDKでIAM Roleを共用したEC2を作るときの問題点

EC2は2つ構築できたのでこのままでも良いのですが、ちょっと気持ち悪い点があります。

デプロイする前に、cdk diff SampleStack してみるとわかるのですが、InstanceProfileがEC2ごとに2つ作られていることがわかります。

$ cdk diff SampleStack

Resources
[+] AWS::EC2::VPC MyVpc MyVpcF9F0CA6F
[+] AWS::EC2::Subnet MyVpc/PublicSubnetSubnet1/Subnet MyVpcPublicSubnetSubnet1Subnet60D1320D
[+] AWS::EC2::RouteTable MyVpc/PublicSubnetSubnet1/RouteTable MyVpcPublicSubnetSubnet1RouteTable00654ADB
[+] AWS::EC2::SubnetRouteTableAssociation MyVpc/PublicSubnetSubnet1/RouteTableAssociation MyVpcPublicSubnetSubnet1RouteTableAssociation2CCE9CDC
[+] AWS::EC2::Route MyVpc/PublicSubnetSubnet1/DefaultRoute MyVpcPublicSubnetSubnet1DefaultRoute2D379878
[+] AWS::EC2::InternetGateway MyVpc/IGW MyVpcIGW5C4A4F63
[+] AWS::EC2::VPCGatewayAttachment MyVpc/VPCGW MyVpcVPCGW488ACE0D
[+] AWS::IAM::Role MyRole MyRoleF48FFE04
[+] AWS::EC2::SecurityGroup MyInstance1/InstanceSecurityGroup MyInstance1InstanceSecurityGroupA4C82073
[+] AWS::IAM::InstanceProfile MyInstance1/InstanceProfile MyInstance1InstanceProfile2553CF04
[+] AWS::EC2::Instance MyInstance1 MyInstance12C7E210C
[+] AWS::EC2::SecurityGroup MyInstance2/InstanceSecurityGroup MyInstance2InstanceSecurityGroup4974D913
[+] AWS::IAM::InstanceProfile MyInstance2/InstanceProfile MyInstance2InstanceProfile948D2D68
[+] AWS::EC2::Instance MyInstance2 MyInstance2C26007AF

普段意識することはあまりないのですが、EC2はIAM Roleを直接利用しているわけではなく、InstanceProfileを利用しています。詳しくはこちらのブログを参照してください。

EC2にIAMRole情報を渡すインスタンスプロファイルを知っていますか？ | DevelopersIO

せっかくIAM Roleを共用したのだから、InstanceProfileも共用したいと思いません？？だって、普段EC2ごとにInstanceProfile作らないですよね？？

~~InstanceProfileは無料なんだから、複数作られたところで気にしなくても良いじゃん。~~ という、意見は無視して先に進みます。

長い前フリでしたが、InstanceProfileも共用するようにCDKを書いてみる方法を共有します。

CDKでInstance Profileを共用したEC2を作ってみる

cdkのInstanceクラスには、InstanceProfileを指定するプロパティがありません。

class Instance (construct) · AWS CDK

InstanceProfileは自動で作られてしまうので、 tryRemoveChild を使ってInstanceProfileの情報を消した後、 addPropertyOverride を使って、InstanceProfileを書き換えて対応しています。また、インスタンスを作る前に、InstanceProfileを作っておく必要があるので、 addDependency を使って、CloudFormationの依存関係を作っています。

import {Construct} from 'constructs';
import * as cdk from "aws-cdk-lib";
import * as ec2 from "aws-cdk-lib/aws-ec2";
import * as iam from "aws-cdk-lib/aws-iam";

export class SampleStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    const vpc = new ec2.Vpc(this, 'MyVpc', {
      natGateways: 0,
      maxAzs: 1,
      subnetConfiguration: [
        {
          name: 'PublicSubnet',
          subnetType: ec2.SubnetType.PUBLIC,
        },
      ],
    });

    const ec2Role = new iam.Role(this, 'MyRole', {
      assumedBy: new iam.ServicePrincipal('ec2.amazonaws.com'),
      description: 'My EC2 role',
    });

    const cfnInstanceProfile = new iam.CfnInstanceProfile(this, 'MyInstanceProfile', {
      roles: [
        ec2Role.roleName,
      ],
    });

    const instance1 = new ec2.Instance(this, 'MyInstance1', {
      vpc,
      instanceType: ec2.InstanceType.of(
          ec2.InstanceClass.T3A,
          ec2.InstanceSize.NANO
      ),
      machineImage: ec2.MachineImage.latestAmazonLinux2(),
      role: ec2Role,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PUBLIC,
      },
    });

    instance1.node.tryRemoveChild('InstanceProfile');
    const cfnInstance1 = instance1.node.tryFindChild('Resource') as ec2.CfnInstance;
    cfnInstance1.addDependency(cfnInstanceProfile);
    cfnInstance1.addPropertyOverride('IamInstanceProfile', cfnInstanceProfile.ref);

    const instance2 = new ec2.Instance(this, 'MyInstance2', {
      vpc,
      instanceType: ec2.InstanceType.of(
          ec2.InstanceClass.T3A,
          ec2.InstanceSize.NANO
      ),
      machineImage: ec2.MachineImage.latestAmazonLinux2(),
      role: ec2Role,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PUBLIC,
      },
    });

    instance2.node.tryRemoveChild('InstanceProfile');
    const cfnInstance2 = instance2.node.tryFindChild('Resource') as ec2.CfnInstance;
    cfnInstance2.addDependency(cfnInstanceProfile);
    cfnInstance2.addPropertyOverride('IamInstanceProfile', cfnInstanceProfile.ref);
  }
}

const app = new cdk.App();
new SampleStack(app, "SampleStack");

これで、InstanceProfileを共用したEC2が作れました。

できれば、CDKのAPIを使って、もっと簡単に書けるようになるといいですね。