GitHub ActionsとAWSをOIDC認証で連携する

GitHub Actions とAWS をOIDC 認証で連携する

自己紹介妹尾一弘株式会社カオナビ (2025.03~) サーバーサイドエンジニア Go 書いてます副業英単語学習アプリ: モチタン
インフラ支援 JavaDo Java 勉強会コミュニティ運営スタッフ

CI/CD の環境 CI のお仕事はCI 環境のみでは完結しないアプリケーション環境との連携が必須コンテナイメージをPush したり Lambda をデプロイしたり
アプリケーション環境へのアクセスには認証が必要

CI/CD の認証の課題人の認証はRole 利用が普及したが、CI 環境ではまだ静的なシークレットの利用が多い IAM ユーザーのアクセスキーによる管理漏洩リスクが心配定期的な更新が必要
管理コストが高い

OIDC 認証とは OAuth 2.0 ベースの認証の仕組みトークンで一時的に認証するメリット：シークレットの管理が不要一時的な認証情報のみを扱う

実装方法：AWS 側の設定① 1. IAM アイデンティティプロバイダーの作成プロバイダのタイプ: OpenID Connect プロバイダのURL: https://token.actions.githubusercontent.com
対象者: sts.amazonaws.com

② IAM ロール作成信頼ポリシーで接続許可必要な権限を付与 { "Version": "2012-10-17", "Statement": [{
"Effect": "Allow", "Principal": { "Federated": "arn:aws:iam::123456789012:oidc-provider/token.actions.githubusercontent.com" }, "Action": "sts:AssumeRoleWithWebIdentity", "Condition": { "StringEquals": { "token.actions.githubusercontent.com:aud": "sts.amazonaws.com" }, "StringLike": { "token.actions.githubusercontent.com:sub": "repo:your-org/your-repo:*" } } }] }

セキュリティ強化のための条件設定条件設定例効果特定ブランチのみ repo:org/repo:ref:refs/heads/main main ブランチからのみ許可特定タグのみ repo:org/repo:ref:refs/tags/v*
v で始まるタグからのみ許可 PR のみ repo:org/repo:pull_request PR からのみ許可特定環境のみ repo:org/repo:environment:production production 環境からのみ許可信頼ポリシーで接続元を制限できる "StringLike": { "token.actions.githubusercontent.com:sub": "repo:org/repo:ref:refs/heads/main" }

GitHub Actions 側の設定 id-token: write 権限追加 IAM ロールを指定するだけアクセスキー不要ワークフロー設定のポイント
name: Deploy to AWS on: push: branches: [ main ] jobs: deploy: runs-on: ubuntu-latest permissions: id-token: write # OIDC トークン取得に必要 contents: read steps: - uses: actions/checkout@v4 - name: AWS 認証設定 uses: aws-actions/configure-aws-credentials@v4 with: role-to-assume: ${{ vars.AWS_OIDC_ROLE_ARN }} aws-region: ap-northeast-1 - name: ECR アクセステスト run: aws ecr describe-repositories

まとめ静的な認証情報が不要になるシンプルな設定で実装可能柔軟なアクセス制御ができる OIDC 認証を使うことで

ありがとうございました

GitHub ActionsとAWSをOIDC認証で連携する

GitHub ActionsとAWSをOIDC認証で連携する

Kazuhiro Seo

More Decks by Kazuhiro Seo

Other Decks in Technology

Featured

Transcript