AWS †
SNSメッセージをSlackへ通知 †
- LambdaのDEBUGログ等は、CloudWatch logs > ロググループ > /aws/lambda/sns-to-slack のストリームに出力される。
- lambda_function.py の中にテスト用jsonが埋め込まれている。
- sns_event_template の ['Records'][0]['Sns']['Message'] 部分。「DEBUG EVENT:」はこの部分が出力される。
- slackへ送信される部分は DEBUG PAYLOAD: としてCloudWatch logsへ記録される
Lambda †
CloudFront †
WAF †
policy jsonの代わりに aws_iam_policy_document を使う †
terraformのドキュメントの例には「policy = <json>」のように書いてある部分もあるが、毎回差分が出る不具合があるので、aws_iam_policy_documentを使うと良さそう。
- s3の場合、policyを書けるresourceが2つある。どちらか1箇所に書く。基本的に変更単位が最小になる方を使えば良い。
- s3.tf: exampleバケットに対して、Webhosting用のPublic Read、IP制限をする場合
resource "aws_s3_bucket_policy" "example" {
bucket = "${aws_s3_bucket.example.id}"
policy = "${data.aws_iam_policy_document.s3_example_public_read.json}"
}
data "aws_iam_policy_document" "s3_example_public_read" {
statement {
sid = "IPAllow"
effect = "Allow"
principals {
type = "*"
identifiers = ["*"]
}
actions = [
"s3:GetObject",
]
resources = [
"arn:aws:s3:::example/*",
]
condition {
test = "IpAddress"
variable = "aws:SourceIp"
values = [
"192.0.2.0/24", # TEST-NET-1
"198.51.100.0/24",# TEST-NET-2
"203.0.113.0/24", # TEST-NET-3
]
}
}
}
既存EC2にIAM roleを付けたい †
セキュリティグループルールはaws_security_group_ruleを使う †
ルールの追加は「aws_security_group_rule」推奨。
aws_security_groupに書くとplan時に順番が変わって、diffとして表示されてしまう。
No valid credential sources found for AWS Provider. †
tfファイル内で複数AWSアカウント、複数リージョンを扱う †
VPC Peering †
- 異なるAWSアカウント間で、VPC peeringを設定する
- アクセプタ側でVPC > ピア接続 > 選択 > アクション > 許可する
- 手動で許可する場合、terraform applyが必ず失敗する(auto_accept = false でも)。許可した後、もう一度実行が必要
- iam.tf
output "aws_iam_role.vpc_peering.arn" { value = "${aws_iam_role.vpc_peering.arn}" }
resource "aws_iam_role" "vpc_peering" {
name = "main-vpcpeering"
assume_role_policy = "${data.aws_iam_policy_document.sts-assumerole.json}"
}
# AWS console上だとIAM > ロール > ロール名 > 信頼関係タブの部分
data "aws_iam_policy_document" "sts-assumerole" {
statement {
actions = [
"sts:AssumeRole",
]
effect = "Allow"
principals = {
type = "AWS"
identifiers = [
"arn:aws:iam::${var.peer_aws_account_id}:root",
]
}
}
}
# AWS console上だとIAM > ロール > ロール名 > アクセス許可タブ > インラインポリシーの部分
resource "aws_iam_role_policy" "vpc_peering" {
name = "main-vpcpeering"
role = "${aws_iam_role.vpc_peering.id}"
policy = "${data.template_file.vpc_peering.rendered}"
}
data "template_file" "vpc_peering" {
template = "${file("./policy/vpc-peering-connection.tpl")}"
vars {
aws_region = "${var.aws_region}"
main_aws_account_id = "${data.aws_caller_identity.main.account_id}"
main_aws_vpc_id = "${var.main_aws_vpc_id}"
peer_aws_account_id = "${var.peer_aws_account_id}"
peer_aws_vpc_id = "${var.peer_vpc_id}"
}
}
- ./policy/vpc-peering-connection.tpl
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":"ec2:AcceptVpcPeeringConnection",
"Resource":"arn:aws:ec2:${aws_region}:${main_aws_account_id}:vpc-peering-connection/*",
"Condition":{
"ArnEquals":{
"ec2:RequesterVpc":"arn:aws:ec2:${aws_region}:${peer_aws_account_id}:vpc/${peer_aws_vpc_id}"
}
}
},
{
"Effect":"Allow",
"Action":"ec2:AcceptVpcPeeringConnection",
"Resource":"arn:aws:ec2:${aws_region}:${main_aws_account_id}:vpc/${main_aws_vpc_id}"
}
]
}
AWS account_id/arn/user_idの取得 †
// "${data.aws_caller_identity.main.account_id}" として参照できる
data "aws_caller_identity" "main" {}
EC2起動時にuser_dataを渡す †
セキュリティグループを後から変更しようとするとEC2を作り直してしまう †
- VPCの場合、security_groups ではなく vpc_security_group_ids を使う
aws_nat_gateway †
- subnet毎にnat-gatewayを作成
- terraform v0.10.0
variable aws_subnets {
type = "list"
default = [
"subnet-aaaa", # AZ: ap-northeast-1a
"subnet-cccc", # AZ: ap-northeast-1c
]
}
resource "aws_nat_gateway" "gw" {
allocation_id = "${aws_eip.gw.*.id[count.index]}"
subnet_id = "${var.aws_subnets[count.index]}"
count = "${length(var.aws_subnets)}"
}
resource "aws_eip" "gw" {
vpc = true
count = "${length(var.aws_subnets)}"
}
複数リソースの指定 †
- EC2の数がsubnet数を超えても、AZが正しく振られるようにする
variable "ec2_subnets" { default = ["subnet-xxxx","subnet-xxxx","subnet-xxxx"] }
resource "aws_instance" "web" {
...
count = 4
subnet_id = "${var.ec2_subnets[count.index % length(var.ec2_subnets)]}"
}
- 変数と配列を指定 v0.10.2
variable "cidr_common" { default = "192.168.2.1/32" }
variable "cidr_example" { default = ["192.168.1.0/24", "10.5.1.0/24"] }
resource "aws_security_group" "common" {
...
cidr_blocks = [
"${var.cidr_common}",
"${var.cidr_example}"
]
- EC2インスタンスにEIPを付ける v0.10.2
variable "instance_count_web" { default = 1 }
# aws_elbは複数リソースがそのまま指定できる
resource "aws_elb" "frontend" {
instances = ["${aws_instance.web.*.id}"]
}
# aws_eipは一つのリソースしか指定できないので変換して渡す
resource "aws_eip" "web" {
count = "${var.instance_count_web}"
instance = "${element(aws_instance.web.*.id, count.index)}"
vpc = true
}
- Resource '〜' not found for variable '〜.1.id': 「.0.id」はアクセスできるが、「.1.id」がエラーになった。terraformの不具合か分からないが、以下の様に明示的に指定できる
"${element(aws_instance.web.*.id, 1)}"
RDS †
AWS: aws_db_instance - Terraform by HashiCorp
- classic network上にRDSを作る場合にsubnetのエラーが出る。v0.8.6で確認
- 「publicly_accessible = true」が必要
![[PukiWiki]](image/owl.png "[PukiWiki]")
