View a markdown version of this page

AWS CDK アスペクトとエスケープハッチを使用してデフォルトのロール名をカスタマイズする - AWS 規範ガイダンス
概要前提条件と制限アーキテクチャツールベストプラクティスエピックトラブルシューティング関連リソース追加情報

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS CDK アスペクトとエスケープハッチを使用してデフォルトのロール名をカスタマイズする

Amazon Web Services、SANDEEP SINGH、James Jacob

概要

このパターンは、 AWS Cloud Development Kit (AWS CDK) コンストラクトによって作成されるロールのデフォルト名をカスタマイズする方法を示しています。組織の命名規則に基づいて特定の制約がある場合、多くの場面でロール名のカスタマイズが必要になります。たとえば、組織では、ロール名に特定のプレフィックスを必要とする AWS Identity and Access Management (IAM) アクセス許可の境界またはサービスコントロールポリシー (SCPs) を設定できます。このような場合、 AWS CDK コンストラクトによって生成されるデフォルトのロール名は、これらの規則を満たさない場合があり、変更する必要がある場合があります。このパターンは、 AWS CDKでエスケープハッチとアスペクトを使用して、これらの要件に対処します。エスケープハッチを使用してカスタムロール名を定義し、アスペクトを使用して、組織のポリシーと制約を確実に順守するために、すべてのロールにカスタム名を適用します。

前提条件と制限

前提条件

制限事項

  • アスペクトはリソースタイプに基づいてリソースをフィルタリングするため、すべてのロールが同じ接頭語を共有します。ロールごとに異なる接頭語が必要な場合は、他のプロパティに基づく追加のフィルタリングが必要です。たとえば、 AWS Lambda 関数に関連付けられたロールに異なるプレフィックスを割り当てるには、特定のロール属性またはタグでフィルタリングし、Lambda 関連のロールには 1 つのプレフィックスを、他のロールには別のプレフィックスを適用できます。

  • IAM ロール名の最大長は 64 文字であるため、この制限を満たすには、変更されたロール名を切り取る必要があります。

  • 一部の AWS のサービス は では使用できません AWS リージョン。利用可能なリージョンについては、「AWS のサービス (リージョン別)」を参照してください。特定のエンドポイントについては、「サービスエンドポイントとクォータ」ページを参照して、サービスのリンクを選択します。

アーキテクチャ

ターゲットテクノロジースタック

  • AWS CDK

  • AWS CloudFormation

ターゲット アーキテクチャ

エスケープハッチとアスペクトを使用して AWS CDK が割り当てたロール名をカスタマイズするためのアーキテクチャ。

  • AWS CDK アプリは 1 つ以上の CloudFormation スタックで構成され、 AWS リソースを管理するために合成およびデプロイされます。

  • レイヤー 2 (L2) コンストラクトによって公開されていない AWS CDKマネージドリソースのプロパティを変更するには、エスケープハッチを使用して基盤となる CloudFormation プロパティ (この場合はロール名) を上書きし、 の側面を使用して AWS CDK スタック合成プロセス中に AWS CDK アプリケーション内のすべてのリソースにロールを適用します。

ツール

AWS のサービス

  • AWS Cloud Development Kit (AWS CDK) は、コードで AWS クラウド インフラストラクチャを定義およびプロビジョニングするのに役立つソフトウェア開発フレームワークです。

  • AWS CDK コマンドラインインターフェイス (AWS CDK CLI) ( AWS CDK ツールキットとも呼ばれます) は、 AWS CDK アプリの操作に役立つコマンドラインクラウド開発キットです。CLI cdk コマンドは、 AWS CDK アプリを操作するための主要なツールです。アプリケーションを実行し、定義したアプリケーションモデルを調査し、 AWS CDKによって生成された CloudFormation テンプレートを作成して展開します。

  • CloudFormation は、 AWS リソースをセットアップし、迅速かつ一貫してプロビジョニングし、 AWS アカウント および リージョン全体のライフサイクルを通じてリソースを管理するのに役立ちます。

コードリポジトリ

このパターンのソースコードとテンプレートは GitHub 「CDK-Aspects-Override」リポジトリから入手可能です。

ベストプラクティス

AWS 規範ガイダンスウェブサイトのTypeScript AWS CDK で を使用して IaC プロジェクトを作成するためのベストプラクティス」を参照してください。

エピック

タスク説明必要なスキル

CLI AWS CDK をインストールします。

CLI AWS CDK をグローバルにインストールするには、 コマンドを実行します。

npm install -g aws-cdk
AWS DevOps

バージョンを確認します。

コマンドを実行します。

cdk --version

CLI のバージョン 2 AWS CDK を使用していることを確認します。

AWS DevOps

AWS CDK 環境をブートストラップします。

CloudFormation テンプレートをデプロイする前に、使用する アカウントと AWS リージョン を準備します。コマンドを実行します。

cdk bootstrap <account>/<Region>

詳細については、 AWS ドキュメントのAWS CDK 「ブートストラップ」を参照してください。

AWS DevOps
タスク説明必要なスキル

プロジェクトを準備する。

  1. このパターンの GitHub リポジトリをローカルコンピュータに複製します。

    git clone https://github.com/aws-samples/cdk-aspects-override

  2. ローカルコンピュータで、プロジェクトディレクトリに移動します。

  3. プロジェクトの依存関係をインストールします。

    npm ci
AWS DevOps

AWS CDKによって指定されたデフォルトのロール名を使用してスタックを展開する。

Lambda 関数とそれに関連するロールを含む 2 つの CloudFormation スタック (ExampleStack1 および ExampleStack2) を展開します。

npm run deploy:ExampleAppWithoutAspects

コードはロールプロパティを明示的に渡さないため、ロール名は AWS CDKによって作成されます。

出力の事例については、「追加情報」セクションを参照してください。

AWS DevOps

アスペクトでスタックを展開する。

このステップでは、 AWS CDK プロジェクトにデプロイされているすべての IAM ロールにプレフィックスを追加して、ロール名の規則を適用する側面を適用します。アスペクトは、lib/aspects.ts ファイルに定義されています。このアスペクトは、エスケープハッチを使用して、接頭語を追加してロール名をオーバーライドします。アスペクトは、bin/app-with-aspects.ts ファイル内のスタックに適用されます。この例では、ロール名の接頭語は dev-unicorn です。

  1. bin/app-with-aspects.ts ファイルを編集します。

  2. ファイルでは、ROLE_NAME_PREFIX 変数を dev-unicorn プレフィックスで更新します。

    const app = new cdk.App();

// Define a prefix for the role names
const ROLE_NAME_PREFIX = 'dev-unicorn';

// Instantiate the RoleNamingConventionAspect with the desired prefix
const roleNamingConventionAspect = new RoleNamingConventionAspect(ROLE_NAME_PREFIX);

  3. 以下の側面で AWS CDK アプリケーションをデプロイします。

    npm run deploy:ExampleAppWithAspects

出力の事例については、「追加情報」セクションを参照してください。

AWS DevOps
タスク説明必要なスキル

AWS CloudFormation スタックを削除します。

このパターンの使用が完了したら、次のコマンドを実行してリソースを削除し、追加コストが発生しないようにします。

cdk destroy --all -f && cdk --app npx ts-node bin/app-with-aspects.ts' destroy --all -f
AWS DevOps

トラブルシューティング

問題ソリューション

を使用して問題が発生する AWS CDK。

AWS CDK ドキュメントの「一般的なAWS CDK 問題のトラブルシューティング」を参照してください。

関連リソース

追加情報

側面 CloudFormation なしで によって作成されたロール名

Outputs:
ExampleStack1WithoutAspects.Function1RoleName = example-stack1-without-as-Function1LambdaFunctionSe-y7FYTY6FXJXA
ExampleStack1WithoutAspects.Function2RoleName = example-stack1-without-as-Function2LambdaFunctionSe-dDZV4rkWqWnI
...

Outputs:
ExampleStack2WithoutAspects.Function3RoleName = example-stack2-without-as-Function3LambdaFunctionSe-ygMv49iTyMq0

側面 CloudFormation を持つ によって作成されたロール名

Outputs:
ExampleStack1WithAspects.Function1RoleName = dev-unicorn-Function1LambdaFunctionServiceRole783660DC
ExampleStack1WithAspects.Function2RoleName = dev-unicorn-Function2LambdaFunctionServiceRole2C391181
...

Outputs:
ExampleStack2WithAspects.Function3RoleName = dev-unicorn-Function3LambdaFunctionServiceRole4CAA721C