■ はじめに

　Github の OAuthToken などの認証情報が
AWS Systems Manager パラメータストアで管理されていて、
それをAWS CloudFormation から取得する際に
色々とトラブルあり、勉強になることがあったので、
AWS CloudFormationでの認証情報の扱いについて、メモっておく

【０】認証情報について
　１）認証情報の扱い
　２）AWS内の動的なリファレンス
【１】SSM パラメータ
　１）構文
　２）サンプル
【２】SSM Secure String パラメータ
　１）構文
　２）サンプル
　３）使用上の注意
　４）補足：実際にあったトラブル
【３】Secrets Manager のシークレット
　１）構文
　２）サンプル

【０】認証情報について

１）認証情報の扱い

公式サイトの「AWS CloudFormation ベストプラクティス」より抜粋

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/UserGuide/security-best-practices.html#creds

テンプレートに認証情報を埋め込まない
~~~~~~
AWS CloudFormation テンプレートに機密情報を埋め込むのではなく、
スタックテンプレートで 動的なリファレンス を使用することをお勧めします。
動的なリファレンスにより、

AWS Systems Manager パラメータストアや AWS Secrets Manager など
の他のサービスで保存、管理されている外部値を参照するための
シンプルで強力な方法が提供されます。
~~~~~~

　なお、AWS Systems Manager パラメータストア、
AWS Secrets Manager の詳細は、以下の関連記事を参照のこと。

機密データの管理～パラメータストア編～
https://dk521123.hatenablog.com/entry/2020/01/31/231636
機密データの管理～ Secrets Manager 編～
https://dk521123.hatenablog.com/entry/2020/03/12/220717

２）AWS内の動的なリファレンス

* AWSサービス 内の動的なリファレンスについては、以下の通り。

[1] SSM パラメータ
[2] SSM Secure String パラメータ
[3] Secrets Manager のシークレット

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/UserGuide/dynamic-references.html

※SSM について

* SSM = Simple Systems Manager（現 Systems Manager）

【１】SSM パラメータ

* AWS Systems Manager パラメータストアに格納されている
　プレーンテキスト値を取得する

１）構文

{{resolve:ssm:<parameter-name>:<version>}}

パラメータの説明

* parameter-name
　=> パラメータ名
* version
　=> パラメータストアのバージョン (任意)

補足：「バージョン (任意)」について

* 2021/12/28現在、日本語訳だとversion は「必須」となっているが
　英語だと「Optional（任意）」になっている

２）サンプル

  MyS3Bucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      AccessControl: '{{resolve:ssm:S3AccessControl}}'

【２】SSM Secure String パラメータ

* AWS Systems Manager パラメータストアに格納されている
　安全な文字列を取得する

１）構文

{{resolve:ssm-secure:<parameter-name>:<version>}}

パラメータの説明

* parameter-name
　=> パラメータ名
* version
　=> パラメータストアのバージョン (任意)

２）サンプル

  MyIAMUser:
    Type: AWS::IAM::User
    Properties:
      UserName: 'MyUserName'
      LoginProfile:
        Password: '{{resolve:ssm-secure:IamUserPassword}}'

３）使用上の注意

* サポートしているリソースがある
 => 逆に言うと、サポートされていないリソースでは使えない...

SSM Secure String パラメータをサポートしているリソース

Resource	Property Type	Properties
AWS::DirectoryService::MicrosoftAD	-	Password
AWS::DirectoryService::SimpleAD	-	Password
AWS::ElastiCache::ReplicationGroup	-	AuthToken
AWS::IAM::User	LoginProfile	Password
AWS::KinesisFirehose::DeliveryStream	RedshiftDestinationConfiguration	Password
AWS::OpsWorks::App	送信元	Password
AWS::OpsWorks::Stack	CustomCookbooksSource	Password
AWS::OpsWorks::Stack	RdsDbInstances	DbPassword
AWS::RDS::DBCluster	-	MasterUserPassword
AWS::RDS::DBInstance	-	MasterUserPassword
AWS::Redshift::Cluster	-	MasterUserPassword

４）補足：実際にあったトラブル

冒頭「■ はじめに」で触れているが、
Github の OAuthToken を
AWS Systems Manager パラメータストアで管理されていて、
それをAWS CloudFormation から取得しようとした際に
以下の「エラー内容」が表示されてしまった

エラー内容

SSM Secure reference is not supported in: [AWS::CodePipeline::Pipeline/Properties/Stages]

エラーになる例

Stages:
  -
    Name: Source
    Actions:
      - 
        Name: SourceAction
        ActionTypeId:
          Category: Source
          Owner: ThirdParty
          Provider: GitHub
          Version: 1
        Configuration:
          Owner: !Ref GithubOwner
          Repo: !Ref GithubRepository
          Branch: !Ref GithubBranch
          # ★ここ★
          OAuthToken: {{resolve:ssm-secure:GithubAccessToken}}

原因

リソース「AWS::CodePipeline::Pipeline」では、
SSM Secure String パラメータをサポートしていないため

解決案

SSM Secure String パラメータではなく
Secrets Manager のシークレットで管理するように置き換える

https://eoins.medium.com/securing-github-tokens-in-a-serverless-codepipeline-dc3a24ddc356

【３】Secrets Manager のシークレット

*  AWS Secrets Manager に保存されている
　シークレットの値を取得する

１）構文

{{resolve:secretsmanager:<secret-id>:<secret-string>:<json-key>:<version-stage>:<version-id>}}

パラメータの説明

* secret-id
　=> シークレットの一意の識別子（必須）
* secret-string
　=> 現在、サポートされている値は SecretString のみ（任意）
　=> デフォルトも「SecretString」
* json-key
　=> 値を取得するキーと値のペアのキー名を指定（任意）
　=> json-key を指定しない場合、シークレットテキスト全体を取得
* version-stage
　=> シークレットのバージョン（任意）
　=> 使用する場合は、version-id を指定できない
* version-id
　=> シークレットのバージョンの固有 ID （任意）

２）サンプル

  MyRDSInstance:
    Type: 'AWS::RDS::DBInstance'
    Properties:
      DBName: MyRDSInstance
      AllocatedStorage: '20'
      DBInstanceClass: db.t2.micro
      Engine: mysql
      MasterUsername: '{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}'
      MasterUserPassword: '{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}'

参考文献

https://techblog.nhn-techorus.com/archives/17674

プログラムの超個人的なメモ

Memo for Programming.

【AWS】CloudFormation ～認証情報の扱い～

■ はじめに

目次

【０】認証情報について

１）認証情報の扱い

２）AWS内の動的なリファレンス

【１】SSM パラメータ

１）構文

２）サンプル

【２】SSM Secure String パラメータ

１）構文

２）サンプル

３）使用上の注意

４）補足：実際にあったトラブル

【３】Secrets Manager のシークレット

１）構文

２）サンプル

参考文献

関連記事