概要
S3で静的コンテンツをホスティングしている場合に、そのコンテンツの更新をCircleCIを使って自動化する方法についてまとめます。
Maven等で出力したレポートのHTMLをS3で公開、更新するようなケースを想定しています。
前提
- S3バケットは作成済である
- 静的ウェブサイトホスティングが有効になっている
手順
IAMユーザの作成
- CircleCI用のIAMユーザを作成して、Access Key IdとSecret Access Keyを控える
- 専用のユーザを作成することをCircleCIも推奨している
IAMポリシーの作成
- S3の特定バケットにsyncできるポリシーを作成する
- 作成したポリシーにユーザを紐付ける
- Policy Generatorなど活用する
サンプル
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "StmtXXXXX",
"Effect": "Allow",
"Action": [
"s3:DeleteObject",
"s3:GetObject",
"s3:ListAllMyBuckets",
"s3:ListBucket",
"s3:PutObject",
"s3:PutObjectAcl"
],
"Resource": [
"arn:aws:s3:::your.s3.backet",
"arn:aws:s3:::your.s3.backet/*"
]
}
]
}
ポイントとしては下記。
- Resourceはバケット自体とバケット配下の階層両方の指定が必要
- PutObjectAclをAllowする必要がる
バケットポリシーの作成
このままだと全公開されてしまうので、必要に応じてIP制限をかける。
- S3コンソールからバケットポリシーの作成を行う https://console.aws.amazon.com/s3/home
- 対象のバケットを選択→[プロパティ]→[アクセス制限]→[バケットポリシーの編集]
サンプル
{
"Version": "2012-10-17",
"Id": "PolicyXXXXX",
"Statement": [
{
"Sid": "StmtXXXXX",
"Effect": "Deny",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::your.s3.backet/*",
"Condition": {
"NotIpAddress": {
"aws:SourceIp": [
"XXX.XXX.XXX.XX",
"XXX.XXX.XXX.XX"
]
}
}
}
]
}
- 許可IP以外をDenyする
- 許可IPにGetObjectを許可する
- 許可と拒否IPそれぞれでアクセスしてみて、期待挙動になるか確認する
- 許可IP以外だと403が返るはず
CircleCIの設定
AWS Permissionsの設定
- 対象のプロジェクトを選択
- [Project Settings]→[AWS Permissions]
- 作成したIAMユーザの認証情報を入力する
circle.ymlの設定
- aws cli で対象のファイルをsyncする
サンプル
machine:
java:
version: oraclejdk8
dependencies:
override:
- mvn dependency:resolve
test:
override:
- mvn integration-test
deployment:
deploy:
branch: aws_deploy
commands:
- mv your_uploadcontents $CIRCLE_ARTIFACTS
- aws s3 sync $CIRCLE_ARTIFACTS/your_upload_contents s3://your.s3.backet/ --delete --acl public-read
ポイントは下記の通り。
- aws_deployブランチの変更の際デプロイする
- 作成したコンテンツを$CIRCLE_ARTIFACTSに移動
- これはCircleCIのArtifactsを使いたいだけで、S3にアップロードするのと直接関係はない
- $CIRCLE_ARTIFACTS 配下をS3バケット直下と同期
-
--deleteで削除も同期 -
--acl public-readでコンテンツを公開する- これをしないと、webサイトとしてアクセスできるようにならない