Amazon S3経由でULしたAWS Lambdaの関数コードをSHA256で検証する

先日書いた記事（Serverless Framework+Java+GradleでS3に配置したパッケージからAWS Lambda関数をデプロイしてみた）で、Serverless Frameworkを利用してS3に配置したファイルを利用してAWS Lambdaの関数コードを更新する方法をご紹介しました。

今回は、それに少し関連して、S3に配置したファイルを利用して更新した関数コードの検証方法をご紹介します。

具体的には、S3に配置したファイルのSHA256とAWS Lambdaの関数コードのSHA256を比較して検証してみたので、やってみたことを書きます。

はじめに

環境

$ sw_vers
ProductName: Mac OS X
：

概要

• AWS Lambdaの関数コードの コードSHA-256 (図を参照) の値を利用して検証を行う
• コード SHA-256は、CLIでも確認することができる。get-functionの実行結果のCodeSha256の値
• コードSHA-256の値は、デプロイパッケージのアーカイブファイルのSHA256を計算しbase64エンコードすれば求めることができる
• デプロイパッケージのSHA256はローカルで計算する
• 計算したSHA256の値（base64形式）は、アップロードしたオブジェクトのタグに設定する。後から比較しやすいため
• 今回はJava8のランタイムで動作するコードを使う

やってみたこと

デプロイパッケージとLambda関数の用意

こちら（ Java 関数の ZIP デプロイパッケージの作成 ）の仕様を踏まえつつ、AWS Lambdaで動作するJavaのデプロイパッケージを適当に用意しました。

また、デプロイパッケージの内容を適用する先のLambda関数を用意しました。 ちなみに今回のようなテスト用の関数をゼロベースでかつ単発で作る場合には、下図のように個人的にはマネジメントコンソールから作成するのが一番少ステップです。CLIですとロールの設定が少し煩雑になりますので。（事前にCDKとかCFnのテンプレートとか、デプロイツールが設定されているならそれが一番いいですけどね）

Key	Value
S3バケット名	katoaki-blog
Lambda関数名	validation-test

SHA256の計算

以下のコマンドでデプロイパッケージのSHA256を計算しました

$ openssl dgst -binary -sha256 /LocalPath/To/hello.zip | base64
PPCt????????????????????????????????????5jM=

Amazon S3へのアップロード

以下のコマンドでデプロイパッケージをAmazon S3上へアップロードしました

$ aws s3 cp /LocalPath/To/hello.zip s3://katoaki-blog/200401/hello.zip

タグの設定

以下のコマンドで、先程確認したSHA256をデプロイパッケージのタグにセットしました

$ aws s3api put-object-tagging \
--bucket katoaki-blog \
--key 200401/hello.zip \
--tagging "TagSet=[{Key=sha256,Value=PPCt????????????????????????????????????5jM=}]"

Lambdaの関数コードの更新

更新の前に、まずはデプロイパッケージのSHA256とLambdaの関数コードのSHA256が違っていることを確認しておきます。

$ aws s3api get-object-tagging \
--bucket katoaki-blog \
--key 200401/hello.zip
{
"TagSet": [
{
"Key": "sha256",
"Value": "PPCt????????????????????????????????????5jM="
}
]
}

$ aws lambda get-function \
--function-name validation-test \
| grep "CodeSha256"
"CodeSha256": "+5OF????????????????????????????????????oUw=",

確認後、Lambda関数コードを更新します。

$ aws lambda update-function-code \
--function-name validation-test \
--s3-bucket katoaki-blog \
--s3-key 200401/hello.zip

{
"FunctionName": "validation-test",
：
"CodeSha256": "PPCt????????????????????????????????????5jM=",
：
}

比較

以下のコマンドで一致しているかどうか比較してみます。

$ aws s3api get-object-tagging \
--bucket katoaki-blog \
--key 200401/hello.zip
{
"TagSet": [
{
"Key": "sha256",
"Value": "PPCt????????????????????????????????????5jM="
}
]
}

$ aws lambda get-function \
--function-name validation-test \
| grep "CodeSha256"
"CodeSha256": "PPCt????????????????????????????????????5jM=",

確認できました！

さいごに

AWS Lambdaの関数コードをSHA256で検証する一つの方法をご紹介しました。 すべてのプロセスがCLIで処理できますので、既存のデプロイのフローにも組み込みやすい方法かと思います。 誰かの参考になれば幸いです。