はじめに

AWS Lambda Container Image Support や EventBridgeのcron設定、Secrets Managerからシークレット情報の取得を試してみたかったので、以下のような構成図で一気に試してみます。

構成図

SAMでSlackにメッセージを通知するLambdaをデプロイする
Lambdaはイメージ化してECRで管理する
LambdaはEventBridgeで定期実行する
SlackのWebhook URLをSecrets Managerで管理する

手順

ECRにリポジトリを作成しておく
Secrets ManagerにSlackのWebhook URLを設定する
sam initでテンプレート作成
template.yamlの修正
Slackにメッセージ通知するLambda関数を作成
デプロイ
テスト

1. ECRにリポジトリを作成しておく

イメージのプッシュ先のリポジトリを事前に登録しておきます。

2. Secrets ManagerにSlackのWebhook URLを設定する

SlackのWebhook URLをSecrets Managerに登録します。

設定が完了すると、シークレット情報取得のサンプルコードが確認できるので、後でこれをベースにLambda関数を実装します。

3. sam initでテンプレート作成

事前準備ができたので、次はSAMのテンプレートを作成していきます。

適当にディレクトリを作成し、$ sam init を実行します。

$ sam init
Which template source would you like to use?
	1 - AWS Quick Start Templates
	2 - Custom Template Location
Choice: 1
What package type would you like to use?
	1 - Zip (artifact is a zip uploaded to S3)
	2 - Image (artifact is an image uploaded to an ECR image repository)
Package type: 2

Which base image would you like to use?
	1 - amazon/nodejs14.x-base
	2 - amazon/nodejs12.x-base
	3 - amazon/nodejs10.x-base
	4 - amazon/python3.8-base
	5 - amazon/python3.7-base
	6 - amazon/python3.6-base
	7 - amazon/python2.7-base
	8 - amazon/ruby2.7-base
	9 - amazon/ruby2.5-base
	10 - amazon/go1.x-base
	11 - amazon/java11-base
	12 - amazon/java8.al2-base
	13 - amazon/java8-base
	14 - amazon/dotnet5.0-base
	15 - amazon/dotnetcore3.1-base
	16 - amazon/dotnetcore2.1-base
Base image: 10

Project name [sam-app]: notification

Cloning app templates from https://github.com/aws/aws-sam-cli-app-templates

    -----------------------
    Generating application:
    -----------------------
    Name: notification
    Base Image: amazon/go1.x-base
    Dependency Manager: mod
    Output Directory: .

    Next steps can be found in the README file at ./notification/README.md

先ほど作成したECRにイメージをプッシュしたいので、 What package type would you like to use? は 2 - Image (artifact is an image uploaded to an ECR image repository) を選択します。
ランタイムについては、goを選択しました。

$ sam init 実行後のディレクトリ構成は以下です。（notificationディレクトリを作成し、その配下で $ sam init を実行しています。）

notification/
├── README.md
├── samconfig.toml
├── hello-world
│   ├── Dockerfile
│   ├── go.mod
│   ├── go.sum
│   ├── main.go
│   └── main_test.go
└── template.yaml

package typeにimageを選択したため、Dockerfileが作成されています。
中身は以下のようになっています。

Dockerfile

FROM golang:1.14 as build-image

WORKDIR /go/src
COPY go.mod main.go ./

RUN go build -o ../bin

FROM public.ecr.aws/lambda/go:1

COPY --from=build-image /go/bin/ /var/task/

# Command can be overwritten by providing a different command in the template directly.
CMD ["hello-world"]

4. template.yamlの修正

次に、$ sam init で作成されたtemplate.yamlに修正を加え、以下のようになりました。

AWSTemplateFormatVersion: '2010-09-09'
Transform: AWS::Serverless-2016-10-31
Description: notify slack

Globals:
  Function:
    Timeout: 5

Resources:
  SlackRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: lambda.amazonaws.com
            Action: "sts:AssumeRole"
      Policies:
        - PolicyName: "GetSecretsPolicy"
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action:
                  - "logs:CreateLogGroup"
                  - "logs:CreateLogStream"
                  - "logs:PutLogEvents"
                  - "secretsmanager:GetSecretValue"
                Resource: "*"
  SlackFunction:
    Type: AWS::Serverless::Function
    Properties:
      Role: !GetAtt SlackRole.Arn
      PackageType: Image
      Events:
        Notification:
          Type: Schedule
          Properties:
            Schedule: cron(0 0 * * ? *) # JST 9:00
    Metadata:
      DockerTag: go1.x-v1
      DockerContext: ./slack
      Dockerfile: Dockerfile

Outputs:
  SlackFunction:
    Description: "Notify Slack Lambda Function ARN"
    Value: !GetAtt SlackFunction.Arn
  SlackFunctionIamRole:
    Description: "Implicit IAM Role created for Slack function"
    Value: !GetAtt SlackRole.Arn

大きな修正点としては以下です。

Role
実行スケジュール

Role
デフォルトで生成されるCloudWatch用のポリシーに、 Secrets Managerからシークレット情報取得用のsecretsmanager:GetSecretValueを加えたロールを作成します。
（ロールの設定をここで記述しない場合、デフォルトでLambda実行に必要なロールが付与されます。）

Resources:
  SlackRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: lambda.amazonaws.com
            Action: "sts:AssumeRole"
      Policies:
        - PolicyName: "GetSecretsPolicy"
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action:
                  - "logs:CreateLogGroup"
                  - "logs:CreateLogStream"
                  - "logs:PutLogEvents"
                  - "secretsmanager:GetSecretValue"
                Resource: "*"
  SlackFunction:
    Type: AWS::Serverless::Function
    Properties:
      Role: !GetAtt SlackRole.Arn

実行スケジュール

EventBridgeのスケジュールをトリガーにしたいので、以下のように設定します。

Events:
  Notification:
    Type: Schedule
    Properties:
      Schedule: cron(0 0 * * ? *) # JST 9:00

5. Slackにメッセージ通知するLambda関数を作成

Secrets ManagerからSlackのWebhook URLを取得して、Slackにメッセージを送信します。

package main

import (
	"encoding/json"
	"fmt"
	"io/ioutil"
	"net/http"
	"net/url"

	"github.com/aws/aws-lambda-go/lambda"
	"github.com/aws/aws-sdk-go/aws"
	"github.com/aws/aws-sdk-go/aws/session"
	"github.com/aws/aws-sdk-go/service/secretsmanager"
)

// Secrets Managerで設定したキーとリージョン
var (
	secretName string = "SlackWebhookUrl"
	region     string = "ap-northeast-1"
)

type SlackEvent struct {
	Text string `json:"text"`
}

func Modify(se *SlackEvent) {
	se.Text = "test message"
}

// シークレット情報取得用function
func getSecret() (string, error) {
	svc := secretsmanager.New(session.New(),
		aws.NewConfig().WithRegion(region))

	input := &secretsmanager.GetSecretValueInput{
		SecretId:     aws.String(secretName),
		VersionStage: aws.String("AWSCURRENT"),
	}

    // GetSecretValue関数にキー名を渡して、値を取得
	result, err := svc.GetSecretValue(input)
	if err != nil {
		return "", err
	}

    // SecretString配下にJSON形式でシークレット情報がレスポンスされます
	secretString := aws.StringValue(result.SecretString)
	res := make(map[string]interface{})
	if err := json.Unmarshal([]byte(secretString), &res); err != nil {
		return "", err
	}

	return res["WEBHOOK_URL"].(string), nil
}

func handler() error {
	webhoolUrl, err := getSecret()
	if err != nil {
		return err
	}

	se := &SlackEvent{}
	Modify(se)

	params, err := json.Marshal(se)
	if err != nil {
		return err
	}

    // slackにメッセージ送信
	resp, err := http.PostForm(
		webhoolUrl,
		url.Values{"payload": {string(params)}},
	)
	if err != nil {
		return err
	}

	body, _ := ioutil.ReadAll(resp.Body)

	defer resp.Body.Close()

	fmt.Printf("response code:%s, response body:%s, hook:%s\n", resp.Status, body, webhoolUrl)

	return nil
}

func main() {
	lambda.Start(handler)
}

6. デプロイ

ここまで設定ができたら、デプロイしていきます。
$ sam build → $ sam deploy の順に実行します。

修正内容に不備がなければ、以下のように$ sam build が成功します。

Build Succeeded

Built Artifacts  : .aws-sam/build
Built Template   : .aws-sam/build/template.yaml

Commands you can use next
=========================
[*] Invoke Function: sam local invoke
[*] Deploy: sam deploy --guided

ビルドが完了したら、$ sam deploy を実行してデプロイします。
はじめての実行の場合、以下のように --guided オプションを付けることで、対話形式でデプロイの設定ができるので便利です。

$ sam deploy --guided

Configuring SAM deploy
======================

	Looking for config file [samconfig.toml] :  Found
	Reading default arguments  :  Success

	Setting default arguments for 'sam deploy'
	=========================================
	Stack Name [notify-slack]:
	AWS Region [ap-northeast-1]:
	Image Repository for SlackFunction [xxxxxxxxxxxx.dkr.ecr.ap-northeast-1.amazonaws.com/notify-slack]:
	  slackfunction:go1.x-v1 to be pushed to xxxxxxxxxxxx.dkr.ecr.ap-northeast-1.amazonaws.com/notify-slack:slackfunction-eb1817a25a39-go1.x-v1

	#Shows you resources changes to be deployed and require a 'Y' to initiate deploy
	Confirm changes before deploy [Y/n]: Y
	#SAM needs permission to be able to create roles to connect to the resources in your template
	Allow SAM CLI IAM role creation [Y/n]: Y
	Save arguments to configuration file [Y/n]: Y
	SAM configuration file [samconfig.toml]:
	SAM configuration environment [default]:

これで、CloudFormationにスタックが作成されます。

7. テスト

Scheduleを適当な時間に調整し、Webhook URLに設定したSlackチャンネルにメッセージが届けば確認完了です。

Events:
  Notification:
    Type: Schedule
    Properties:
      Schedule: cron(0 0 * * ? *) # JST 9:00

備考

コンソールのLambda関数の画面からテスト実行することもできます。

secretsmanager:GetSecretValueのポリシーをロールにアタッチしていない場合、エラーとなりAPIが呼び出せないので注意が必要です。

AccessDeniedException: User: arn:aws:sts::901071604628:assumed-role/notify-slack-SlackFunctionRole-1IND13I9826OF/notify-slack-SlackFunction-AL8RRMO0EQ8H is not authorized to perform: secretsmanager:GetSecretValue on resource: SlackWebhookUrl