AWS Access Portal 経由で Terraform を実行するための接続フロー

目的

AWS Access Portal / IAM Identity Center 経由で取得した認証情報を使い、ローカル環境から Terraform を実行できるようにする。

この手順では、長期の Access Key / Secret Access Key を直接発行せず、AWS CLI の SSO プロファイルを利用する。

前提

AWS Access Portal にログインできること
Terraform を実行する対象の AWS アカウントが Access Portal に表示されていること
Terraform 実行に必要な Permission Set / Role が割り当てられていること
ローカルに AWS CLI v2 がインストールされていること
ローカルに Terraform がインストールされていること

1. AWS CLI の確認

aws --version

AWS CLI v2 が入っていることを確認する。

例：

aws-cli/2.x.x Python/3.x.x Linux/x86_64

2. SSO プロファイルの作成

AWS Access Portal 経由で利用するための SSO プロファイルを作成する。

aws configure sso

入力例：

SSO session name: pj-name
SSO start URL: https://xxxxxxxx.awsapps.com/start
SSO region: ap-northeast-1
AWS account: 対象のAWSアカウント
AWS role: Terraform用のPermission Set / Role
CLI default client Region: ap-northeast-1
CLI default output format: json
CLI profile name: pj-name

この手順により、~/.aws/config に SSO 用の profile が作成される。

3. SSO ログイン

作成した profile を使ってログインする。

aws sso login --profile pj-name

ブラウザが開き、AWS Access Portal の認証画面が表示される。
認証が完了すると、ローカルに一時的な認証情報がキャッシュされる。

4. AWS 接続確認

以下のコマンドで、AWS CLI が対象アカウントへ接続できることを確認する。

aws sts get-caller-identity --profile pj-name

正常な場合、以下のような情報が返る。

{
  "UserId": "...",
  "Account": "123456789012",
  "Arn": "arn:aws:sts::123456789012:assumed-role/..."
}

この確認が通れば、AWS CLI 側の認証は成功している。

5. Terraform で profile を使う

Terraform コマンド実行時にも、同じ profile を明示する。

AWS_PROFILE=pj-name terraform init
AWS_PROFILE=pj-name terraform validate
AWS_PROFILE=pj-name terraform plan

毎回 AWS_PROFILE=pj-name を付けるのが面倒な場合は、現在のシェルで環境変数として設定する。

export AWS_PROFILE=pj-name

設定後は、以下のように profile 指定なしで実行できる。

aws sts get-caller-identity
terraform init
terraform validate
terraform plan

確認：

echo $AWS_PROFILE

以下のように表示されれば OK。

pj-name

6. Terraform 初期化

Terraform の対象ディレクトリへ移動する。

例：

cd ~/infra-aws/terraform/

初期化する。

terraform init

正常な場合：

Terraform has been successfully initialized!

と表示される。

7. Terraform plan の実行

terraform plan

8. plan 結果で確認するポイント

terraform plan の結果では、以下の行を必ず確認する。

Plan: X to add, Y to change, Z to destroy.

確認ポイント：

to add: 新規作成されるリソース数
to change: 変更されるリソース数
to destroy: 削除されるリソース数

特に to destroy が 0 以外の場合は要注意。
既存リソースが削除される可能性があるため、内容を確認してから進める。

例：比較的安全

Plan: 5 to add, 2 to change, 0 to destroy.

例：要確認

Plan: 1 to add, 3 to change, 2 to destroy.

9. plan を保存して apply する場合

確認した plan と同じ内容を apply したい場合は、plan をファイルに保存する。

terraform plan -out=tfplan

問題なければ apply する。

terraform apply tfplan

-out を付けずに terraform plan した場合、次に terraform apply を実行した時点で再度 plan が作られるため、完全に同じ内容が適用される保証はない。

10. よくあるエラー

No valid credential sources found

エラー例：

Error: No valid credential sources found
Error: failed to refresh cached credentials, no EC2 IMDS role found

原因：

Terraform 実行時に AWS profile が指定されていない。

例：

AWS_PROFILE=pj-name terraform init
terraform plan

この場合、init だけ profile 付きで実行され、plan では profile が指定されていない。

対応：

AWS_PROFILE=pj-name terraform plan

または：

export AWS_PROFILE=pj-name
terraform plan

SSO セッション切れ

SSO の一時認証情報が期限切れになると、Terraform や AWS CLI の実行に失敗する。

対応：

aws sso login --profile pj-name

再ログイン後、再度 Terraform を実行する。

Deprecated attribute / Argument is deprecated

警告例：

Warning: Deprecated attribute
Warning: Argument is deprecated

意味：

現在の Terraform AWS Provider では古い書き方になっている設定がある。

これは直ちに plan 失敗の原因ではないが、今後の provider 更新で問題になる可能性があるため、別途修正対象とする。

11. 今回確認できたこと

今回の環境では、以下まで確認済み。

aws sts get-caller-identity --profile pj-name

が成功。

その後、以下も成功。

AWS_PROFILE=pj-name terraform init
AWS_PROFILE=pj-name terraform plan

つまり、AWS Access Portal / IAM Identity Center 経由で Terraform から AWS へ接続するフローは成立している。

12. 基本コマンドまとめ

毎回 profile を付ける場合：

aws sso login --profile pj-name
aws sts get-caller-identity --profile pj-name
AWS_PROFILE=pj-name terraform init
AWS_PROFILE=pj-name terraform validate
AWS_PROFILE=pj-name terraform plan
AWS_PROFILE=pj-name terraform plan -out=tfplan
AWS_PROFILE=pj-name terraform apply tfplan

シェルに profile を設定する場合：

export AWS_PROFILE=pj-name

aws sso login
aws sts get-caller-identity
terraform init
terraform validate
terraform plan
terraform plan -out=tfplan
terraform apply tfplan

補足

Terraform 用途では、長期の Access Key / Secret Access Key を発行しなくても、AWS Access Portal / IAM Identity Center の SSO 認証で実行できる。

長期アクセスキーは漏洩時のリスクが高いため、基本的には SSO 経由の一時認証情報を利用する方が安全。