【IAM】IDプロバイダでGitHubと連携！初心者向け簡単設定手順

はじめに

IDプロバイダーは外部サービスとセキュアに連携することができるサービスです。

以下の方におすすめの内容になっています。

AWSリソースをセキュアに使用したい
GitHubとの連携をセキュアにしたい

この記事では、AWS IAMのIDプロバイダを使ってGitHubと連携する方法を初心者向けに解説します。

AWSとGitHubの連携手順

準備するもの

次のものを準備しておきましょう。

GitHubアカウント
AWSのアカウント

手順

GitHubでクライアントIDとOpenID Connect URLを確認
IAMでIDプロバイダーの作成
IAMロールの作成と条件付きアクセスの設定
ロールとアクセス管理

GitHubでクライアントIDとプロバイダURLを確認

GitHubでクライアントIDを確認するにはgitHubActionsに表示させる必要があります。

.github/workflows/deploy.ymlを作成して、以下のコードを記述します。

name: WorkFlow_ver1.2

on:
  push:
    branches:
      - main

permissions:
  id-token: write
  contents: read

jobs:
  build:
    runs-on: ubuntu-latest

    steps:
      - name: Checkout code
        uses: actions/checkout@v3

      - name: Request OIDC Token
        id: oidc-token
        run: |
          echo "Requesting OIDC Token..."
          OIDC_TOKEN=$(curl -X POST -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" "$ACTIONS_ID_TOKEN_REQUEST_URL")
          echo $OIDC_TOKEN > oidc_token.txt

      - name: Debug OIDC Token
        run: |
          echo "Debugging OIDC Token..."
          cat oidc_token.txt

      - name: Clean OIDC Token
        run: |
          echo "Cleaning OIDC Token..."
          tr -d '\n' < oidc_token.txt > clean_oidc_token.txt

      - name: Decode OIDC Token
        run: |
          echo "Decoding OIDC Token..."
          TOKEN_CONTENT=$(cat clean_oidc_token.txt | cut -d "." -f2 | base64 --decode || base64 -d)
          echo $TOKEN_CONTENT > decoded_token.json
          echo "Decoded token has been saved to 'decoded_token.json'."

      - name: Upload OIDC Token and Decoded JSON
        uses: actions/upload-artifact@v3
        with:
          name: oidc-files
          path: |
            oidc_token.txt
            clean_oidc_token.txt
            decoded_token.json

gitで上記の内容をプッシュしたら、Actionsのタブにビルド後の項目が緑色になって追加されます。

ビルドを失敗すると、赤くなるのでエラーの内容を確認して修正してください。

ビルド完了後の項目をクリックするとoidc-filesという項目ができているので、クリックしてダウンロードしましょう。

ダウンロード後にdecoded_token.jsonのデータを確認して、クライアントIDを確認します。

クライアントIDはaudという部分になります。

jsonの整形がされていない場合は、以下のようなツールを使用してください。

JSON整形＆構文チェック：jsonデータ、jsonファイルをフォーマットする | ラッコツールズ

プロバイダURLに記述する必要があるissのURLを確認します。

IDプロバイダの作成

IAMでIDプロバイダーを作成していきましょう。

先ほど確認したプロバイダURLとクライアントIDを記述します。

IAMロールの作成とS3への設定

まずは、IAMポリシーを作成します。ポリシー名は「s3-github-upload-policy」にします。
IAMポリシーについて知りたい場合は以下を参考にしてください。

AWS IAMポリシーとは？初心者向けの説明と設定手順やカスタムポリシーの設定についてご紹介！

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::kamecloud.site/*"
		}
	]
}

GitHubがS3にアップロードできるようにロールを作成します。

特定のリポジトリやブランチのみにアクセスを許可するよう設定します。
ロールはウェブアイデンティティで以下の項目を記述しましょう。

アイデンティティプロバイダー：先ほど作成したIDプロバイダ
Audience：aud
GitHub 組織：repository_owner
GitHub リポジトリ：連携したリポジトリ名
GitHub ブランチ：連携したいブランチ

信頼ポリシーで以下のようになっていたら設定はOKです。
ロール名を記述して、IAMロールを作成します。ロール名は「s3-github-upload-role」にします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::<アカウントID>:oidc-provider/token.actions.githubusercontent.com"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "token.actions.githubusercontent.com:aud": "https://github.com/<リポジトリオーナー>",
                    "token.actions.githubusercontent.com:sub": "repo:<リポジトリオーナー>/<リポジトリ名>:ref:refs/heads/<ブランチ名>"
                }
            }
        }
    ]
}

GitHub Actionsで動作確認

設定ができたら、GitHub Actionsでビルドが完了したら、S3にアップロードを行い、動作確認をしていきます。

.github/workflows/s3_upload.ymlを作成して、以下のコードを記述します。

name: S3 Upload Test

on:
  workflow_dispatch: # 手動実行をトリガー

permissions:
  id-token: write # OIDCトークンの発行を有効化
  contents: read

jobs:
  upload:
    runs-on: ubuntu-latest

    steps:
      - name: Checkout code
        uses: actions/checkout@v3

      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v2
        with:
          role-to-assume: arn:aws:iam::<アカウントID>:role/<ロール名>
          aws-region: <リージョン名>
          audience: 

      - name: Upload file to S3
        run: |
          echo "This is KameCloudInfra test" > upload_test.txt
          aws s3 cp upload_test.txt s3:///

gitHubでビルドが完了したことを確認して、以下のように「upload_test.txt」がアップロードされるとIDプロバイダの設定ができています。