Terraform:Terraform の身分認証

静的構成とは、Terraform 設定ファイルの provider ブロックにアクセス認証情報を直接定義することです。

パラメーター

provider "alicloud" {
  access_key = "<ご利用の AccessKey ID>"
  secret_key = "<ご利用の AccessKey Secret>"
  # STS 認証情報を使用する場合は、security_token を設定します。
  # security_token = "<ご利用の STS トークン>"
}

設定例

セキュリティを強化するために、設定ファイルにプレーンテキストでハードコーディングする代わりに、アクセス認証情報を変数として渡すことができます。変数のデフォルト値は設定しないでください。

variable "access_key_id" {
  description = "インフラストラクチャを操作するための AccessKey ID"
}
variable "access_key_secret" {
  description = "インフラストラクチャを操作するための AccessKey Secret"
}
variable "security_token" {
  description = "インフラストラクチャを操作するためのセキュリティトークン"
}
provider "alicloud" {
  access_key = var.access_key_id
  secret_key = var.access_key_secret
  # STS 認証情報を使用する場合は、security_token を設定します。
  # security_token = var.security_token
}

terraform コマンドを実行する際、-var オプションを使用して変数の値を渡すことができます。

$ terraform plan -var access_key_id="<ご利用の AccessKey ID>" -var access_key_secret="<ご利用の AccessKey Secret>" -var security_token="<ご利用の STS トークン>"

アクセス認証情報を環境変数に保存できます。設定ファイルに認証情報が静的に設定されていない場合、Terraform は指定された環境変数からそれらを読み取ります。

パラメーター

設定例

# AccessKey ID
$ export ALICLOUD_ACCESS_KEY="<ご利用の AccessKey ID>"
# AccessKey Secret
$ export ALICLOUD_SECRET_KEY="<ご利用の AccessKey Secret>"
# STS 認証情報を使用する場合は、security_token を設定します。
$ export ALICLOUD_SECURITY_TOKEN="<ご利用の STS トークン>"

provider "alicloud" {
  region = "cn-hangzhou"
}

Terraform が ECS インスタンス上で実行される場合、インスタンス RAM ロールを使用して認証を行うことができます。ECS インスタンスに RAM ロールをアタッチすると、Terraform を含むインスタンス上のアプリケーションは、一時的なアクセス認証情報を自動的に取得およびリフレッシュできます。この方式では AccessKey を設定する必要がなくなり、キー漏洩のリスクが低減します。また、RAM ロールを使用してきめ細かい権限コントロールを実装することもできます。詳細については、「インスタンス RAM ロール」をご参照ください。

パラメーター

設定例

1. パブリックネットワークアクセスが可能な ECS インスタンスを準備します。

2. RAM ロールを作成し、ECS インスタンスにアタッチします。

3. provider ブロックで、ecs_role_name パラメーターを RAM ロールの名前に設定します。

provider "alicloud" {
  ecs_role_name = "<ECS インスタンスにアタッチされた RAM ロールの名前>"
}

環境変数 ALICLOUD_ECS_ROLE_NAME を使用してこのパラメーターを設定することもできます。

ECS のインスタンス RAM ロールを使用した認証は非常に安全です。Terraform を ECS インスタンスで実行する場合は、この方式を推奨します。

OIDC ロールの偽装は、ロールの偽装 (AssumeRole) と似ています。どちらの方式も、RAM ロールを偽装して一時的な認証情報を取得し、Alibaba Cloud リソースにアクセスします。違いは、OIDC ロールの偽装では、OIDC IdP によって発行された ID を使用する点です。詳細については、「OIDC IdP の管理」をご参照ください。

パラメーター

OIDC ロールの偽装を設定する際、関連するすべてのパラメーターは assume_role_with_oidc ブロックで設定されます。

設定例

OIDC ロールの偽装認証は、AssumeRoleWithOIDC - OIDC IdP の RAM ロールの一時的な認証情報を取得してロールベース SSO を実現する 操作を呼び出すことで実装されます。この方式を設定する前に、以下の情報を準備してください。

1. OIDC IdP を作成し、外部 IdP から OIDC トークンを取得し、OIDC IdP の ARN と OIDC トークンを記録します。

2. ID プロバイダーを信頼できるエンティティとして RAM ロールを作成し、必要な権限 (例：AliyunOSSFullAccess) を付与し、ロールの ARN を記録します。

3. (任意) カスタム RAM ポリシーを作成できます。例えば、中国 (杭州) リージョンのバケットへのアクセスのみを許可するポリシーなどです。このポリシーは、よりきめ細かいアクセス制御のためにロールの権限と組み合わされます。

準備が完了したら、provider ブロックに以下の設定を追加します。

provider "alicloud" {
  assume_role_with_oidc {
    oidc_provider_arn  = "<OIDC IdP の ARN>"
    oidc_token         = "<外部 IdP が発行した OIDC トークン>"
    role_arn           = "<RAM ロールの ARN>"
    policy             = "<RAM アクセスポリシーの内容>"
    role_session_name  = "<カスタムロールセッション名>"
    session_expiration = <一時的なアクセス認証情報の最大有効期間>
  }
}

ACK では、RAM Roles for Service Accounts (RRSA) 機能を使用して、OIDC IdP を自動的に作成し、OIDC トークンを発行できます。詳細については、「RRSA を使用して異なる Pod が異なるクラウドサービスにアクセスすることを承認する」をご参照ください。RRSA 機能を有効にすると、ack-pod-identity-webhook コンポーネントが自動的に ALIBABA_CLOUD_OIDC_PROVIDER_ARN、ALIBABA_CLOUD_OIDC_TOKEN_FILE、および ALIBABA_CLOUD_ROLE_ARN 環境変数を Pod に挿入します。この環境で、ACK Pod 内で Terraform を実行する場合、上記の例は次のように簡略化できます。

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

policy パラメーターを使用してきめ細かい権限付与を行う必要がない場合は、必要な権限を直接 RAM ロールに付与できます。この場合、設定はさらに簡略化できます。

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

ロールの偽装 (AssumeRole) は、RAM ユーザーや ECS インスタンスロールなどの ID から権限を分離する必要がある場合や、アカウントをまたいでリソースにアクセスする必要があるシナリオに適しています。この方式では、RAM ユーザーなどの既存の ID が別の RAM ロールを偽装し、そのロールの一時的な認証情報を取得してリソースにアクセスできます。

パラメーター

ロールの偽装を設定する際、以下のパラメーターがサポートされています。

1. access_key と secret_key：ロールを偽装する RAM ユーザーの AccessKey を指定します。ユーザーは sts:AssumeRole 権限を持っている必要があります。これらのパラメーターは環境変数を使用して設定することもできます。

2. assume_role：以下のパラメーターを含む設定ブロックです。

設定例

ロールの偽装認証は、AssumeRole - RAM ロールの一時的な認証情報を取得する 操作を呼び出すことで実装されます。この方式を設定する前に、以下を準備してください。

1. RAM ユーザーを作成し、AliyunSTSAssumeRoleAccess ポリシー (または sts:AssumeRole 権限を含むカスタムポリシー) を付与します。

2. RAM ユーザー用の AccessKey を作成します。

3. 信頼できるエンティティが Alibaba Cloud アカウントである RAM ロールを作成し、必要な権限 (例：AliyunOSSFullAccess) を付与し、その ARN を記録します。

4. (任意) カスタム RAM ポリシーを作成できます。このポリシーは、よりきめ細かいアクセス制御のためにロールの権限と組み合わされます。

準備が完了したら、provider ブロックを次のように設定します。

provider "alicloud" {
  # AssumeRole を呼び出す RAM ユーザーの AccessKey ID。
  access_key = "<RAM ユーザーの AccessKey ID>"
  # AssumeRole を呼び出す RAM ユーザーの AccessKey Secret。
  secret_key = "<RAM ユーザーの AccessKey Secret>"
  assume_role {
    role_arn           = "<RAM ロールの ARN>"
    policy             = "<RAM アクセスポリシーの内容>"
    session_name       = "<カスタムロールセッション名>"
    session_expiration = <一時的なアクセス認証情報の最大有効期間>
  }
}

次の例は、ロールの偽装を使用して杭州リージョンの OSS バケットを一覧表示する権限を取得する方法を示しています。セキュリティのため、例の access_key と secret_key は環境変数として設定され、コード内にプレーンテキストで記述されていません。

provider "alicloud" {
  # セキュリティのため、ここでの access_key と secret_key は環境変数として設定されます。
  region = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

Terraform を ECS インスタンスで実行する場合、ECS インスタンスの RAM ロールを使用して AccessKey のハードコーディングを回避できます。この場合、ECS インスタンスにアタッチされた RAM ロールに AliyunSTSAssumeRoleAccess ポリシーを付与するだけで済みます。次のコードは設定例です。

provider "alicloud" {
  ecs_role_name = "<ECS インスタンスにアタッチされた RAM ロールの名前>"
  region        = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

指定された URI にアクセスして認証情報を取得します。

パラメーター

設定例

provider "alicloud" {
  region = "cn-hangzhou"
  credentials_url= "http://credentials.uri/"
}