tfaction という、 GitHub Actions で良い感じの Terraform Workflow を構築するための Action を開発しています。 今回は tfaction の導入ガイドのようなものを書こうかと思います。 AWS Account が必要です。 執筆時点で tfaction の最新バージョンは v0.4.5 です。 2022-02-07 追記 Getting Started を作成しました。 README に従っていけば tfaction の workflow を動かして terraform を実行するのを体験できると思います。 IAM OpenID Connect provider の作成 IAM OpenID Connect provider を作成します。 data "tls_certificate" "github" { url = "https://t

tl;dr; 前置き モチベーション テンプレートリポジトリについて 頑張った点：Terraformを実行するための初期設定をCloud FormationやDeployment Managerで行うようにした tl;dr; github.com github.com 前置き 9月くらいにGitHub ActionsでOpenID Connector（以下OIDC）を用いた認証を利用することができるようになりました。 dev.classmethod.jp cloud.google.com CI上でAWSやGCPのAPIを利用する場合は通常IAM UserのAWS_ACCESS_KEY_IDやAWS_SECRET_ACCESS_KEY（AWSの場合）やサービスアカウントのキーファイル（GCPの場合）をリポジトリのSecretsに設定することになりますが、OIDCによりこれらの機微情報の生成自

Terraform を使うとインフラの構成がコード化される、Infrastructure as Code (IoC) という利点があります。そして、Terraform をある程度使っていくと、ソフトウェア開発と同様に 「秘密情報をコードに直接書かないためにどうすれば良いか」 について考える必要が出てきます。 本記事では、Terraform で秘密情報を扱う方法や注意点など、雑多な話題について書いていきます。 なお、書いているうちに、以下のページの内容と似ているなと思ったので、なるべく違う視点からの内容を書こうと思います。 A comprehensive guide to managing secrets in your Terraform code | by Yevgeniy Brikman | Gruntwork 基本的な注意点 tf ファイルなどに秘密情報を直書きしない *.tf ファ

スタディスト開発ブログ Advent Calendar 2021の13日目の記事です。 こんにちは、SRE Unit の wind-up-bird です。以前、 Serverless Framework を移行しているお話を書きましたが、今回は移行シリーズ第2弾ということで、 Terraform Cloud を Terraform on GitHub Actions に移行したお話をお届けしたいと思います。 # 移行前の運用スタディストではこれまで Terraform Cloud の Team & Governance プランを契約していました。移行前の Terraform による開発の流れは、以下のとおりです。 Terraform Cloud 上で Workspace を作成し、Version control workflow を利用する。Workspace には環境変数として、 AWS

こんにちは！ アンドパッドSREの 宜野座 です。 前回は AWSのアカウント運用改善の取り組みについて記事を書かせていただきました。 今回はアンドパッドでIacへの取り組みとして行っているものの一例として、複数アカウント・複数環境を同一コードでTerraform管理するプラクティスを紹介したいと思います。 少し長くなりますが、お読みいただけると幸いです。 前回ブログ記事 tech.andpad.co.jp なぜIaC(Infrastructure as Code)に取り組んでいるのか Terraformを選んだ理由 同一コードでTerraformを複数アカウント・複数環境へplan, applyしたい terraform init terraform plan terraform apply 環境を増やしたい場合 環境ごとにリソースを作成したり、作成しないようにしたい 他の方法に関して

こんにちは。TIGの伊藤です。この記事は秋のブログ週間2021の3日目です。 はじめに私は普段会社でクラウドをまたいでTerraformを日々書いたり、メンバーに教えたりしています。もはや俗に言うプログラミング言語を書かずにここまで全振りしてきたくらいなので、比較的自信を持ってコードを書いて仕事をしています。 特にここ最近はほぼ1からコード設計をして運用まで持っていくこともあり、「より腐りにくい、より息の長いコード」というものを考えるようになりました。Terraformだからこその「定期メンテを簡易にするためには」「より簡単に変更するためには」をひたすら突き詰めていった結果、アツい気持ちが生まれ、今回は筆を取っています。 そんな私のアツい気持ちをしたためた今回の記事ですが、可能な限り例も添えつつ、いくつか解説できればと思います。公式にも実は載っているような内容もあったりしますが、日本語の記

JTF2021 の発表資料です

「IaCで全てが上手くいくと思うなよ！失敗事例のご紹介」をAKIBA.AWS IaC編で喋りました #AKIBAAWS どうも、もこ@札幌オフィスです。 5/18に開催されたAKIBA.AWS ONLINE #03 -「IaCで全てが上手くいくと思うなよ！失敗事例のご紹介」のタイトルで登壇しましたので、資料と補足情報を公開します。 なお、YouTubeで公開されている動画ではより本質的な情報をノーカットで公開していますので、お時間のある方はこちらを見て頂いた方が情報量が多くて良いかと思います。 本記事ではスライドに合わせてブログ形式で解説を付属していきます。 結論 早速結論です。 IaCは手段であり、目的ではない、が、目標にするのは良い事 何も考えないでIaCを始めると破綻する リソースを素手で触らない強い意思 この3つが非常に重要になってきます。 本日お話しすることです。 1. IaCに

Terraformで予防的ガードレールを実装したい！「Terraform-Compliance」のご紹介 7月7日はクラスメソッドの創立記念日です。今日は次々にブログ記事があがってくることでしょう！ また、わたくしゴトですが 18 期からコンサルティング部の部長を務めさせていただくことになりました。「あいつ、部長になったらブログ書かなくなったよな」と後ろ指さされないように、ブログの書ける部長として頑張っていきたいと思います。 ここから AWS が一般的に利用されるようになった昨今最近では単に AWS を使いたいという相談よりも、どうやって AWS 環境をうまく運用するべきか？というご相談が多くなっているように感じます。よくある相談の 1 つが「ガバナンス」です。 ある程度ユーザーに権限をもたせ自由にリソースを作成できるようにした結果、 「パブリックアクセスで S3 を公開してました、、」

タイトル修正しました。最初「TerraformでIAM Policyを書く方法4つと失敗する方法ひとつ」というものでしたが、失敗する方法は単に私の書き方が間違ってただけでした TerraformでIAM Policyを書く方法は色々とあるので、紹介していきます。 今回は例として、こちらの公式ドキュメントに出てくる以下ポリシーを使いたいと思います。 { "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": "dynamodb:*", "Resource": "arn:aws:dynamodb:us-east-2:123456789012:table/Books" } } ファイル外だし policyの中身はtfファイルに書かず、JSONファイルとして外だしします。それをfile関数を使って参照します。 fil

先日、TerraformのVersion 1.0.1がGAになりました。新機能をチェックしてみたいと思います。 とはいっても、今回の新機能は1つだけ、かつ細かいアップデートのようです。JSONアウトプットにsensitive属性情報が追加されました。 JSONアウトプット? plan 通常terraform planを実行すると、applyした場合にどのような変更が発生するか(=plan結果)が出力されますよね。この時-out=<PATH>というオプションを追加すると、画面にplan結果を出力する代わりに、<PATH>位置にplan結果をバイナリファイルとして出力してくれます。バイナリなのでそのままファイルを見ることはできません。見るときはterraform show <FILE>というコマンドを使います。 $ terraform show plan-binary Terraform us

Terraformがバージョン1.0に到達、正式版に。AWSやAzure、VMwareなどマルチクラウド対応のプロビジョニングツール HashiCorpがオープンソースで開発しているマルチクラウド対応のプロビジョニングツール「Terraform」がバージョン1.0に到達し、正式版となりました。 Today we are announcing the GA release of #Terraform 1.0. This marks a major milestone for interoperability, ease of upgrades, and maintenance for your automation workflows for what has become a standard for cloud provisioning. #HashiConf https://t.co/

SREチームの安達 (@adachin0817)です。ランサーズやグループ会社ではTerraform v0.12.29を利用して、AWSのインフラコード化をしています。ようやくグループ会社すべてAWSに移行が完了となり、次なるチャレンジとしてはTerraformのバージョンアップを対応することとなりました。また、以下4/15にv0.15.0もリリースされたということもあり、非常に良い機会となりました。 まずは各プロジェクトについて簡単に説明をしていきたいと思います！ Terraform 0.15 is out, which can also be considered a pre-release for 1.0 if all goes well. ✨ It’s finally happening! Great quality of life improvements around Wind

概要 AWSのベスプラ記事に倣って マルチアカウントベースの最小構成Starting FrameworkをTerraformで作成してみることにした （VPC単位ではなくAWSアカウントベースで環境構築することでスケーラブルなシステムが出来上がるらしい ...が、初っ端のOU(Organization Unit)、AWSアカウント作成あたりでだいぶ躓いたのでメモを書いておく Terraformで作ったもの 事前準備 terraform操作する用のIAMメンバー作成 RootのAWSアカウントにAdministratorAccessポリシー付与したグループ作成 そのグループにIAMメンバーを作成する IAMメンバーに用いるメールアドレスはgmailのエイリアスを使ってxxx+admin@gmail.comとか適当な名前使う IAMメンバーのアクセスキーの取得 コンソールから作成したIAMメン

前にも似たようなこと書いたなと思ったけどもう一年半も前のことになるのか t-cyrill.hatenablog.jp ご存知の通り昨日 2021/02/19 23:20頃 AWSにて東京リージョンの一つ apne-az1 にて大規模な障害が発生。多くのAWSを利用していたサービスで影響があった。 そんな私はいつものように アラストリリィ アサルトリリィ ラストバレット というゲームを呑気にプレイしていたのだけど、23:25 から緊急メンテに入ってしまった。 どうしたんだろうと思っていたら、社内SlackにてAWSを利用しているサービスがたまに応答しなくなる、Elasticacheが切り替わったなどなどの報告が入り、もしかすると面倒ごとかなと思いながら対応することになった。 起きていたこと 既にAWSからも公開されていることであるが、今回は2019年8月に起きた障害と類似するタイプの障害だっ

はじめに インフラ構成をコード化するIaC(Infrastructure as Code)の代表的サービスであるTerraform。 このTerraformを学ぶ上で書籍『実践Terraform AWSにおけるシステム設計とベストプラクティス』がよく参考にされています。 本記事ではこの書籍をこれから読む方向けに、書籍内で紹介されているサンプルプロジェクトを構成するリソースを図にして紹介します。 タイトル：『実践Terraform AWSにおけるシステム設計とベストプラクティス』 著者：野村友樹（@tmknom）氏 発行：株式会社インプレスR&D ※@tmknomさん、インプレスR&Dさん、書影掲載許可いただきありがとうございます！ 『実践Terraform AWSにおけるシステム設計とベストプラクティス』（以下『実践Terraform』とします）は、著者が技術書展やBOOTHなどで頒布され

Terraform で AWS Certificate Manager 無料証明書を発行する（AWS Provider 3.0.0 以降の場合） 先日、Terraform で AWS Certificate Manager（以下、ACM） の無料証明書をリクエストおよび検証まで実装する機会がありました。ちょっと詰まったところがありましたので同じように悩んでココへ辿り着く誰かのためにまとめておきます。 AWS Provider 3.0.0 から仕様変更されています 今回の記事は AWS Provider 3.0.0 以降を対象とします。今回の実行環境は以下のとおりです。 $ terraform version Terraform v0.12.29 + provider.aws v3.4. AWS Provider 2.x 以前は以下のエントリーを参考にしてください。 Error: Inval

初夏の訪れとともに, terraform-github-actionsがsetup-terraformに変わりましたがいかがお過ごしでしょうか. ActionsでTerraformをデプロイする方法がより便利になったので今回は, setup-terraformを利用したワークフローを定義して, AWSにデプロイしたいとおもいます. Difference between terraform-github-actions and setup-terraform まずは従来利用していたterraform-github-actionsとsetup-terraformの違いについて記載していきます. 大まかに言えば, 下記が相違点になります. terraform-github-actionsは実行するコマンドまでActionsで提供していた setup-terraformはCIを実行するコンテナでの

Write test code using Go Create a file ending in _test.go and run tests with the go test command. E.g., go test my_test.go. Use Terratest to deploy infrastructure Use Terratest to execute your real IaC tools (e.g., Terraform, Packer, etc.) to deploy real infrastructure (e.g., servers) in a real environment (e.g., AWS). Validate infrastructure with Terratest Use the tools built into Terratest to va

awswakaran.tokyo #1 で用いたスライドを一部修正したものになります。 間違えたことを言ってたら私を殴ってください。 PDF 化の影響で若干画像がズレてますがご愛嬌でよろしくおねがいします。