MFAとAssume IAM Roles を使って環境でAWS SDKをGoで操作する

はじめに

マルチアカウント運用でAssumeRoleするかつ、MFA入力必須な場合、awscli等の操作も含めてややこしいですよね。awscliはともかく、AWS SDK for Goを使った上記の例が少いように見受けられたので残しておきます。

結論

MFAとAssume IAM Roles を使って環境でAWS SDKをGoで操作する方法は...

• AssumeRoleTokenProvider を用います
• MFAトークンを標準入力する場合は stscreds.StdinTokenProvider を利用すると良いです
  • そうすると、下記のような入力を求められるようになります

コード

例として、LambdaのCloudWatchLogsのLogStreamを検索するコードです。

AssumeRoleしつつMFAを利用する場合

func main() {
	var (
		logGroup        = "/aws/lambda/<YourAppName>"
		logStreamPrefix = "2020/04/01" // 適当な日付
	)

	svc := cloudwatchlogs.New(
		session.Must(session.NewSessionWithOptions(session.Options{
			SharedConfigState:       session.SharedConfigEnable,
			AssumeRoleTokenProvider: stscreds.StdinTokenProvider, // MFAのときは必須
		})),
		&aws.Config{
			Region: aws.String(os.Getenv("AWS_REGION")),
		},
	)

	stm, err := svc.DescribeLogStreamsWithContext(ctx, &cloudwatchlogs.DescribeLogStreamsInput{
		LogGroupName:        aws.String(logGroup),
		LogStreamNamePrefix: aws.String(logStreamPrefix),
		NextToken:           nil,
	})
	if err != nil {
		log.Fatal(err)
	}


	for _, v := range stm.LogStreams {
		fmt.Println(aws.StringValue(v.LogStreamName), aws.Int64Value(v.CreationTime))
	}
}

MFAトークンを正しく入力さえできれば、ログストリームの一覧を取得できたと思います。

参考