GitHub ActionsからAWSへ安全にデプロイする OIDCフェデレーションで長期キーを廃止

DOPでは、CI・CDからAWSへの認証を安全に行う設計が出ます。パイプラインにIAMユーザーのアクセスキーを保存するのは避け、OIDCによる一時認証情報を使うのが現在の標準です。

覚え方：3つの観点

• 信頼：IAMにIdPとしてGitHubを登録
• 制限：リポジトリとブランチで引き受け条件を絞る
• 権限：デプロイに必要な最小権限のみ

仕組みと設定

ワークフローが実行時にGitHubからOIDCトークンを受け取り、AWS STSのAssumeRoleWithWebIdentityでIAMロールを引き受けて、短期の一時認証情報を得ます。ワークフローにはid-tokenの書き込み権限を付与し、aws-actions/configure-aws-credentialsアクションでロールを指定します。

IAM側では、プロバイダーにtoken.actions.githubusercontent.comを登録し、対象（audience）をsts.amazonaws.comにします。ロールの信頼ポリシーでは、subジェクト条件に対象リポジトリとブランチを指定します。これにより、他のリポジトリがこのロールを引き受けることを防げます。

チェックリスト

• OIDCでSTSから一時認証情報を得る流れを説明できる
• 信頼ポリシーのsubとaudの役割を言える
• ワークフローに必要な権限設定を知っている
• 長期アクセスキーを避ける理由を言える

まとめ

外部のCI・CDには一時認証情報と最小権限を原則にしましょう。 理解度はクイズで確認し、最新の出題範囲はAWS認定 公式ページで確認しましょう。