Terraformを利用してAWS上でGitHub ActionsのOpenID Connect (OIDC)連携を実装する手順

- locals.tf
locals {
  # GitHubのユーザーネームを設定
  github_username      = "sample_name"
  # GitHubのリポジトリ名を設定
  github_repository    = "sample_repository"
  # GitHubのOIDCエンドポイントのURLを設定
  github_oidc_url      = "https://token.actions.githubusercontent.com"
}

// GitHub ActionsのOpenID Connect (OIDC) エンドポイントの設定を取得
data "http" "github_actions_oidc_config" {
  url = "${local.github_oidc_url}/.well-known/openid-configuration"
}

// GitHub ActionsのOIDCエンドポイントからTLS証明書の情報を取得
data "tls_certificate" "github_actions" {
  url = jsondecode(data.http.github_actions_oidc_config.response_body).jwks_uri
}

# GitHub ActionsのOIDC (OpenID Connect) エンドポイントをAWS IAM OpenID Connectプロバイダとして登録
# thumbprint_listは変更される可能性があるため、固定にしない
resource "aws_iam_openid_connect_provider" "github_actions" {
  url             = local.github_oidc_url
  client_id_list  = ["sts.amazonaws.com"]
  thumbprint_list = [data.tls_certificate.github_actions.certificates[0].sha1_fingerprint]
}

// GitHub ActionsがAmazon STSでのAssumeRoleWithWebIdentity操作を呼び出す際の許可ポリシーを定義
data "aws_iam_policy_document" "github_actions_assume_role" {

  statement {

    # アクションが許可される効果
    effect  = "Allow"

    # 許可されるアクションのリスト。ここではWeb IDを用いてのロールの取得を許可しています。
    actions = ["sts:AssumeRoleWithWebIdentity"]

    principals {
      # どのようなエンティティがこのポリシーのステートメントの許可を受けるかを定義します。

      # 連携する外部IDプロバイダ(この場合はGitHub Actions)のタイプを指定
      type        = "Federated"

      # 許可するエンティティのARN。この場合はGitHub ActionsのOIDCプロバイダのARNを指定
      identifiers = [aws_iam_openid_connect_provider.github_actions.arn]
    }

    # 以下はポリシーの条件部分

    condition {
      # 認証トークンのaudが期待される値と一致するかをチェックする条件

      # テストの種類を指定。この場合はStringEqualsを使用して文字列の完全一致をテスト
      test     = "StringEquals"

      # テスト対象の変数
      variable = "token.actions.githubusercontent.com:aud"

      # 期待される値
      values   = ["sts.amazonaws.com"]
    }

    condition {
      # 認証トークンのsubが特定のパターンと一致するかをチェックする条件

      # テストの種類を指定。この場合はStringLikeを使用して文字列の部分一致をテスト
      test     = "StringLike"

      # テスト対象の変数
      variable = "token.actions.githubusercontent.com:sub"

      # 期待される値のパターン。特定のGitHubリポジトリに関する情報を含む
      values   = ["repo:${local.github_username}/${local.github_repository}:ref:refs/heads/*"]
    }
  }
}