はじめに

AWSの資格（CLP）は持っていたけど、実際に手を動かしたことはほぼゼロ。
そこからIaCをマスターすることを目標に学習を始めた記録です。

この記事では Phase1「AWS基礎 + CLI + CloudFormation」 で学んだことをまとめます。

目次

IAMの基礎
AWS CLIのセットアップ
CloudFormationの概念
実際にS3バケットをデプロイしてみた
ハマったポイント
まとめ

1. IAMの基礎

rootユーザーとIAMユーザーの違い

AWSアカウントを作ると最初に使えるのが rootユーザー。
これはAWS全権限を持つアカウントで、漏洩したら全リソースを操作されてしまう。

なので普段使いは IAMユーザー を作って、必要な権限だけを与えるのが鉄則。

rootユーザー  → 全権限持ち。MFA設定して普段は使わない
IAMユーザー   → 権限を絞った日常使い用

アクセスキーペア

CLIやTerraformでAWSを操作するときは アクセスキーペア を使う。

キー	役割
Access Key ID	誰かを示すID（ユーザー名的なもの）
Secret Access Key	本人確認するパスワード相当

Secret Access Keyは発行画面でしか確認できない。必ずメモするかCSVをダウンロードすること。

IAMポリシー

「何ができるか」を定義するのがIAMポリシー。

管理ポリシー: 独立して存在し、複数ユーザーに使い回せる。実務では基本こっち
インラインポリシー: 特定ユーザーに直接埋め込む。使い回し不可

キーペア  → 認証（誰か）
IAMポリシー → 認可（何ができるか）

この2つは別物！

2. AWS CLIのセットアップ

インストール

公式サイトからインストーラーをダウンロードして実行。

確認コマンド：

aws --version
# aws-cli/2.x.x Python/3.x.x ...

aws configure

CLIでAWSを操作するための認証情報を設定する。

aws configure
# AWS Access Key ID: AKIAIOSFODNN7EXAMPLE
# AWS Secret Access Key: xxxxxxxxxxxxxxxx
# Default region name: ap-northeast-1
# Default output format: json

設定内容はPCの ~/.aws/ に保存される。

~/.aws/
  ├── credentials  ← アクセスキーペア
  └── config       ← リージョンとフォーマット

プロファイルで複数アカウントを管理

開発・本番など複数のAWSアカウントを使い分けるときはプロファイルが便利。

# 名前付きプロファイルで設定
aws configure --profile dev
aws configure --profile prod

# プロファイルを指定して実行
aws s3 ls --profile prod

デプロイ前の必須確認コマンド

aws sts get-caller-identity

実行結果：

{
    "UserId": "AIDAVCILKLANKKDPCLU3S",
    "Account": "123456789012",
    "Arn": "arn:aws:iam::123456789012:user/terraform-user"
}

今どのアカウント・ユーザーとして動いているか を確認できる。
本番環境への誤デプロイ事故を防ぐために、デプロイ前に必ず実行する習慣をつけた。

3. CloudFormationの概念

IaCとは

Infrastructure as Code。インフラの構成をコードで管理すること。

手動でAWSコンソールをポチポチするのではなく、YAMLやJSONで「こういうインフラを作れ」と宣言してAWSに投げる。

テンプレートとスタック

用語	意味
テンプレート	「何を作るか」を書いたYAML/JSONファイル（設計図）
スタック	テンプレートをAWSに投げて実際に作られたリソースの集合体（建物）

テンプレートを作ってコマンド1発でスタックが作られるイメージ。

べき等性

IaCを理解する上で大事な概念。

何回実行しても同じ結果になる性質のこと。

シェルスクリプト（べき等じゃない）
  1回目: S3バケット作成 → OK
  2回目: 「既に存在します」エラー → NG

CloudFormation（べき等）
  1回目: S3バケット作成 → OK
  2回目: 「既に存在する」のでスキップ → OK

これは CloudFormation が 宣言型 だから。

手続き型（シェルスクリプト）: 「バケットを作れ」という命令を実行
宣言型（IaC）: 「バケットが存在する状態にしろ」と宣言

宣言型だから、すでにその状態になっていればスキップされる。

4. 実際にS3バケットをデプロイしてみた

テンプレート作成

s3.yaml を作成：

AWSTemplateFormatVersion: '2010-09-09'
Description: 'S3 bucket sample'

Resources:
  MyS3Bucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName: my-iac-practice-123456789012
      VersioningConfiguration:
        Status: Enabled

デプロイ

# スタック作成
aws cloudformation create-stack --stack-name my-first-stack --template-body file://s3.yaml

# 結果確認
aws cloudformation describe-stacks --stack-name my-first-stack

"StackStatus": "CREATE_COMPLETE" が返ってきたら成功。

{
    "Stacks": [{
        "StackName": "my-first-stack",
        "StackStatus": "CREATE_COMPLETE"
    }]
}

AWSコンソールのS3とCloudFormationの画面でも確認できた。

後片付け（重要！）

AWSはリソースが存在している間ずっと課金される。
練習で作ったものは必ず削除する。

aws cloudformation delete-stack --stack-name my-first-stack

CloudFormationを使うと、スタックを削除するだけでスタックに含まれる全リソースをまとめて削除できる。手動で1個ずつ消す必要がなくて便利。

5. ハマったポイント

Windowsで `\` が使えない

Macのコマンドをそのままコピペしたらエラーになった。

# NG: Windowsのコマンドプロンプトでは \ が使えない
aws cloudformation create-stack \
  --stack-name my-first-stack \
  --template-body file://s3.yaml

# OK: 1行で書く
aws cloudformation create-stack --stack-name my-first-stack --template-body file://s3.yaml

テンプレートの日本語が原因でエラー

Description に日本語を書いたら文字コードエラーが出た。

# NG
Description: 'S3バケットを作るサンプル'

# OK
Description: 'S3 bucket sample'

6. まとめ

Phase1で学んだこと：

rootユーザーは使わない。IAMユーザー + 最小権限が鉄則
アクセスキーペアでCLI認証。Secret Keyは発行時にしか見れない
aws configureでキーを保存しておくと毎回入力不要
aws sts get-caller-identityでデプロイ前に誰として動いてるか確認する
CloudFormationはテンプレート（設計図）をスタック（建物）に変換するサービス
べき等性・宣言型がIaCの本質。何回実行しても同じ結果になる

次のPhase2ではTerraformに移行して、より実務に近いIaCを学んでいく。

参考