GitHub ActionsでSrc IP制限のかかったサービス(AWS RDS)につなぐ

はじめに

GitHub Actionsは、GitHub上のコードに対して、PushやPullRequestをフックして、処理を実行できる処理基盤です。

このGitHub Actionsを使って自動テストや自動デプロイをするのですが、GitHub ActionsのワーカーのグローバルIPアドレスは毎回変わるため、Src IP制限のかかったサービスを使おうとするとうまくいきません。

そこで、この記事では、GitHub ActionsからSrc IP制限のかかったサービスを使う方法を、AWSのRDSを例に上げて説明します。

概要

処理の概要は以下のとおりです

1. GitHub ActionsのワーカーのグローバルIPを、haythem/public-ip@v1.2 を使って取得する
2. RDSのSecurity Groupに対して、取得したグローバルIPからの通信を一時的に許可する
3. サービスにつないでやりたいことをやる
4. RDSのSecurity Groupに対して、取得したグローバルIPからの通信を一時的に遮断する

作り方

1. RDSのセキュリティグループを開け締めするプログラムを作る

まず、Security Groupを操作するためのプログラムをGo言語で作ります。

sgutil.go

package main

import (
	"fmt"
	"github.com/aws/aws-sdk-go/aws"
	"github.com/aws/aws-sdk-go/aws/session"
	"github.com/aws/aws-sdk-go/service/ec2"
	"github.com/aws/aws-sdk-go/service/rds"
	"os"
	"syscall"
)

const RDS_ID = "myrds" // RDSのID
const RDS_PORT = 5432 // RDSのポート

// cidrからの通信を許可するようにRDSのセキュリティグループを変更する。
// @param : ipAddr :通信を許可したいIPアドレス。
// @param : op : 操作。op=openで開ける。 op=closeで閉じる。
func securityGroupIngressControl(ipAddr string, op string) {
	sess, err := session.NewSession(&aws.Config{Region: aws.String("ap-northeast-1")})
	if err != nil {panic(err)}
	rdsService := rds.New(sess)

	// RDSのセキュリティグループの取得
	input := &rds.DescribeDBClustersInput{DBClusterIdentifier: aws.String(RDS_ID)}
	result, err := rdsService.DescribeDBClusters(input)
	if err != nil {panic(err)}
	securityGroupId := *(result.DBClusters[0].VpcSecurityGroups[0].VpcSecurityGroupId)

	// security groupの操作
	ec2Service := ec2.New(sess)
	ipPermissions := []*ec2.IpPermission{
		{
			FromPort:   aws.Int64(int64(RDS_PORT)),
			ToPort:     aws.Int64(int64(RDS_PORT)),
			IpProtocol: aws.String("tcp"),
			IpRanges:   []*ec2.IpRange{{CidrIp: aws.String(ipAddr + "/32")}},
		},
	}
	if op == "open" {
		// security groupを開ける
		input := &ec2.AuthorizeSecurityGroupIngressInput{
			GroupId:       aws.String(securityGroupId),
			IpPermissions: ipPermissions,
		}
		_, err := ec2Service.AuthorizeSecurityGroupIngress(input)
		if err != nil {panic(err)}
	} else if op == "close" {
		// security groupを閉じる
		input := &ec2.RevokeSecurityGroupIngressInput{
			GroupId:       aws.String(securityGroupId),
			IpPermissions: ipPermissions,
		}
		_, err := ec2Service.RevokeSecurityGroupIngress(input)
		if err != nil {panic(err)}
	} else {
		panic("invalid op")
	}
}

func printUsage() {
	fmt.Printf("Argument ERROR. \n\nUsage: go run %s [open|close] IpAddress \n", os.Args[0])
}

func main() {
	if len(os.Args) != 3 {
		printUsage()
		syscall.Exit(1)
	}
	op := os.Args[1] // 操作 [open|close]
	ipAddr := os.Args[2]
	securityGroupIngressControl(ipAddr, op)
}

※Go言語を用いなくても、bashとaws cliを駆使して実現することも可能ですが、少し複雑なプログラムのため、プログラミング言語で作りました。

2. GitHubのsecretsにAWSのクレデンシャル情報を追加する

今回は、AWS_ACCESS_KEY_IDと AWS_SECRET_ACCESS_KEY という名前に、それぞれAWSのシークレットを登録します。

3. Github Actionsのワークフローを作る

./github/workflows/my_action.yml

name: MyAction

on:
  push:
    # developブランチにpushされたら動き出す。
    branches: [ develop ]

jobs:
  my_action:
    name: MyJob
    runs-on: ubuntu-latest
    steps:

      # AWSのクレデンシャルをセット
      - name: Create AWS credential Environment Variables
        uses: aws-actions/configure-aws-credentials@v1
        with:
          # GitHubのSecretsに登録しておくと、secrets.XXXXで参照できる
          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          aws-region: ap-northeast-1

      # GitHub ActionsのワーカーのGlobalIPアドレスを取得するためのステップ
      - name: Install Public IP Lib
        id: ip
        uses: haythem/public-ip@v1.2

      # Go言語のセットアップ
      - name: Setup Go
        uses: actions/setup-go@v2
        with:
          go-version:  1.15

      # コードのチェックアウト
      - name: checkout
        uses: actions/checkout@v2

      # RDSのセキュリティグループに対して、GitHub Actionsのワーカーからの通信を許可する
      - name: Open RDS security group ingress from this IP
        run: go run sgctl.go open ${{ steps.ip.outputs.ipv4 }} # steps.ip.outputs.ipv4でIPを参照できる

      # DBに接続していろいろする
      - name: Run DB Ops
        run: xxxxxxxxx

      # RDSのセキュリティグループに対して、GitHub Actionsのワーカーからの通信を閉じる
      - name: Close RDS security group ingress from this IP
        if: always() # alwaysをつけることにより、アクションが失敗しても必ず実行されるようにする
        run: go run sgctl.go close ${{ steps.ip.outputs.ipv4 }}