AWSを"安全に"始める

Transcript

1. AWSを”安全に”始める chiaoi
2. AWSアカウントを作成する 個人用AWSアカウントを作成したとき 1. 複数アカウントの管理 2. AWSCLIやTerraformからの操作時のアカウントミス 3. プロジェクト単位のAWSCLIやTerraformのバージョン これらを解決しないとAWSを実際に触ってみることができず学習 効率が悪い。
3. 1. 複数アカウントの管理 Terragruntを用いることで複数アカウントを効率的に管理 アカウント - root（管理アカウント） - sandbox modules以下にモジュールを作成し、各アカウ ントのディレクトリからモジュールを参照してデプ ロイする → 再利用可能な形になる （vpcやroute53などが使いやすい）
4. 1. 複数アカウントの管理 問題点 - 右のような中身が似ているファイル が増える（環境変数を特別に設定し たい場合も時々あってgenerateか ら生成しづらい） - ルートアカウントにある権限の強い OIDCロールから反映されてしまう （権限問題） - OIDCロールもTerragruntから作成 したい（鶏卵問題）
5. 2. AWSCLIやTerraformからの操作時のアカウントミス ~/.aws/config 以下にprofileを複数定義していると... - project1_root - project2_root などの似ている名前のprofileが乱立するのでアカウントを間違えてデプロ イしてしまう。 AWS_CONFIG_FILE変数でプロジェクトルートにある.awsフォルダを読 み込むようにする
6. 2. AWSCLIやTerraformからの操作時のアカウントミス フォルダに入った瞬間にそのフォルダのプロジェクトルートにある .aws/configを自動でAWS_CONFIG_FILEに設定する。 → 短くわかりやすい名称をprofile名につけやすくなり、操作ミスなどが 減る。（ついでにAWS configのおいてある場所がechoで表示されるの で間違えも減る。） ※direnvの設定が別途必要
7. 3. プロジェクト単位のAWSCLIやTerraformバージョン AWSCLIのバージョンやTerraform, Terragruntのバージョンをプロジェクト単位で揃 える必要がある。 → Nixを使うことでプロジェクトごとのバージョン を記述できる。 - ハッシュベースで依存を固定するため、環境 の完全な再現性 - プロジェクトごとに完全に隔離される - （学習コストが高い）
8. まとめ AWSアカウントを払い出した後は... - IaCを用いてAWSアカウントにデプロイする基本的なリソースを管理するのが おすすめ - VPC - Route53 - Organizations - Identity Center - Nixを用いてAWSCLI, Terraformなどを管理するのがおすすめ - AWS_CONFIG_FILE環境変数 - バージョン管理