Terraform Cloud上でIAM RoleからIAM RoleにSwitch Roleしてみた

Last updated at 2024-05-27Posted at 2024-05-27

はじめに

AWSでは、IAM Roleを使用することでユーザーにアクセス権限を直接紐付けずに操作を許可することができます。
その際は、ユーザーが対象のIAM RoleにSwitch Role操作を行うことで、IAM Roleの権限を利用します。（以下のイメージ）

またユースケースは限られてきますが、一度IAM RoleにSwitch Roleした後、もう一度別のIAM RoleにSwitch Roleする方法も可能です。(参考URL)

上記参考URLでも説明されてますが、以下のようなイメージです。

本記事では、上記のようなIAM RoleからIAM Roleへの多段Switch Roleを、Terraform Cloud上で実施する方法を試してみました。

以下のようなイメージになります。

前提
Terraform Cloud上のWorkspaceとAWSアカウントは、IAM Roleでデプロイされるように設定されているものとします。

結論

aws providerでAssumeRole用の設定を追記して、resource側のproviderパラメータでaliasを指定することで自動的に多段SwitchRoleされます。

provider.tf

provider "aws" {
  alias = "default"
  region = "ap-northeast-1"
}

provider "aws" {
  alias = "assume_role"
  region = "ap-northeast-1"
  assume_role {
    role_arn = "arn:aws:iam::123456789123:role/role-b"
    session_name = "assume-role-b"
  }
}

s3.tf

resource "aws_s3_bucket" "main" {
  bucket = "test-default-bucket-123456789132"
  force_destroy = true
}

resource "aws_s3_bucket" "sub" {
  provider = aws.assume_role
  bucket = "test-assume-bucket-123456789132"
  force_destroy = true
}

実施例

事前設定

Terraform Cloud設定

Terraform CloudのWorkspaceにはVariable setsで「terraform-deproy-role」ロールが設定されています。

AWSアカウント設定

IAMロールの信頼関係ではTerraformの特定のOrganizationからのAssumeRoleを許可しています。

IAMコンソールのIDプロバイダーでもTerraformとの紐付け設定を実施しています。

冒頭のTerraform図でいうところのSwitch Role先アカウントの"Role B"のIAM Roleも事前に作成しておきます。(「terraform-assume-role」ロール)
信頼関係のPrincipalではTerraform Cloudと紐付けてるIAM RoleのARNを直接指定しておきます。