GitHub ActionsをOIDCでAWS認証してTerraformを実行する

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{アカウントID}:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringLike": {
          "token.actions.githubusercontent.com:sub": "repo:akashikaikyouohasi/GitHubActionsTestByOIDC:*"
        }
      }
    }
  ]
}

$ mkdir GitHubActionsTestByOIDC
$ cd GitHubActionsTestByOIDC/
$ git init
$ echo "# GitHubActionsTestByOIDC" >> README.md
$ git add README.md
$ git commit -m "first commit"
$ git branch -M main
$ git remote add origin git@github.com:akashikaikyouohasi/GitHubActionsTestByOIDC.git

$ ssh-keygen
(質問事項は全てEnterでも構いません)
$ ls ~/.ssh/id_rsa.pub 
/home/ec2-user/.ssh/id_rsa.pub

$ git push -u origin main

$ mkdir -p .github/workflows/
$ cd .github/workflows/
$ touch terraform.yml
$ ls terraform.yml 
terraform.yml

name: terraform apply test by OIDC

on: 
  pull_request:
    branches:
      - main
    types: [closed]

permissions:
  id-token: write
  contents: read # actions/checkout のために必要

jobs:
  get-caller-identity:
    name: OIDC test
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@v2

      - name: Configure AWS credentials from test account
        uses: aws-actions/configure-aws-credentials@v1
        with:
          role-to-assume: ${{ secrets.AWS_ROLE_ARN }}
          aws-region: ap-northeast-1
      
      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v1
        with:
          terraform_version: 1.1.4

      - name: Terraform fmt
        id: fmt
        working-directory: ./terraform
        run: terraform fmt -check
        continue-on-error: true

      - name: Terraform Init
        id: init
        working-directory: ./terraform
        run: terraform init

      - name: Terraform Validate
        id: validate
        working-directory: ./terraform
        run: terraform validate -no-color

      - name: Terraform Plan
        id: plan
        working-directory: ./terraform
        run: terraform plan -no-color
        continue-on-error: true

      - name: Terraform Apply
        id: apply
        working-directory: ./terraform
        run: terraform apply -auto-approve

$ git add .
$ git commit -m "OIDCを利用してTerraformを実行するワークフローを追加"
$ git push 

name: terraform apply test by OIDC

on: 
  pull_request: # プルリクエストで
    branches: # ブランチが
      - main # mainに対して
    types: [closed] # Closeされた時に実行

permissions:
  id-token: write # OIDCを利用する際に必須
  contents: read # actions/checkout のために必要

jobs:
  get-caller-identity: # ただの名前
    name: OIDC test # このJobの名前。ログに出ます
    runs-on: ubuntu-latest # 使用する環境。
    steps:
      - name: Checkout
        uses: actions/checkout@v2 # リポジトリをチェックアウトして取得します

      - name: Configure AWS credentials from test account
        uses: aws-actions/configure-aws-credentials@v1 # GitHubのOIDCプロバイダーからJWTを受け取り、AWSにアクセストークンを要求します
        with:
          role-to-assume: ${{ secrets.AWS_ROLE_ARN }} # 作成したIAMロール。ただし、リポジトリのsecretsに設定しています。
          aws-region: ap-northeast-1 # 操作対象のリージョンを設定

      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v1 # Terraformのインストール
        with:
          terraform_version: 1.1.4 # Terraformのバージョン指定

      - name: Terraform fmt
        id: fmt
        working-directory: ./terraform # terraformディレクトリ内で実行
        run: terraform fmt -check # fmtをチェックし、フォーマット漏れがあれば失敗となります
        continue-on-error: true # エラーが出てもジョブが失敗にならないようにし、次に進む。

      - name: Terraform Init
        id: init
        working-directory: ./terraform
        run: terraform init # initを実行してTerraformを実行できるようにします。

      - name: Terraform Validate
        id: validate
        working-directory: ./terraform 
        run: terraform validate -no-color # 事前にvalidate確認を実施します。-no-colorを指定しないとログの出力がおかしくなるようです。

      - name: Terraform Plan
        id: plan
        working-directory: ./terraform
        run: terraform plan -no-color # 実行内容を確認します。
        continue-on-error: true

      - name: Terraform Apply
        id: apply
        working-directory: ./terraform
        run: terraform apply -auto-approve # applyします。-auto-approveで実行確認の入力が不要となる

$ pwd
/home/ec2-user/environment/GitHubActionsTestByOIDC
$ mkdir terraform
$ cd terraform/ 

terraform {
  # 使用するAWSプロバイダーのバージョン指定（結構更新が速い）
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~>3.72"
    }
  }
}

# 明示的にAWSプロバイダを定義（暗黙的に理解してくれるけど）
provider "aws" {
  profile = "default"
  region  = "ap-northeast-1"

  # 作成する全リソースに自動的に付与するタグ設定
  default_tags {
    tags = {
      env = "GitHubActionsTestByOIDC"
    }
  }
}

# -----------------------------------
# S3の作成
# -----------------------------------
### バケット作成 ###
resource "aws_s3_bucket" "terraform_test" {
  # S3のバケット名
  bucket = "test-bucket-20220202-githubactionstestbyoidc" ###要変更###
  # アクセス管理
  acl = "private"
  # バージョニングの有効化
  versioning {
    enabled = true
  }

  server_side_encryption_configuration {
    rule {
      apply_server_side_encryption_by_default {
        sse_algorithm = "AES256"
      }
    }
  }
}

resource "aws_s3_bucket_public_access_block" "terraform_test" {
  # 対象のバケット
  bucket = aws_s3_bucket.terraform_test.id
  # パブリックのアクセスをブロック
  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
  restrict_public_buckets = true
}

$ git add .
$ git commit -m "テスト用のTerraformのリソース定義ファイル作成"
$ git push 

$ pwd
/home/ec2-user/environment/GitHubActionsTestByOIDC
$ git checkout -b github_test
Switched to a new branch 'github_test'
$ echo "GitHub workflow test." >> README.md 
$ git add .
$ git commit -m "GitHubワークフローのテスト用コミット"
$ git push -u origin github_test