Github Actions on ゲンゾウ用ポストイット

OIDCを使ってGithub ActionsからAWSにアクセスする仕組みについて理解を整理してみた

Wed, 16 Aug 2023 17:47:45 +0900

はじめに

Github Actions から AWS クラウドリソースを操作するためにACCESS_KEY、SECRET_ACCESS_KEYを使う方法はもう古い、OIDCを使うのが一般的といわれましたが理解していなかったため整理しました。

検証環境

今回取り上げる CI/CD ( ビルド ) パイプライン は Github Actions に限定しています。

クラウドプロバイダー に関しても、 AWS に限定しています。

ただしアーキテクチャはCI/CDパイプラインがCircleCIやCloudBuild、クラウドプロバイダーがGCPやAzureに置き換えられたとしても適用可能なものと考えられます。

パスワードやアクセストークンを使ってGithub Actionsからクラウドへ認証する方法の問題点

Github ActionsのようなCI/CDパイプラインから、クラウド環境 ( AWS、Azure、GCP… ) にアクセスするケースは多いはずです。

ビルドされたソフトウェアやコンテナイメージはいずれデプロイされますし、デプロイ環境としてクラウド環境 ( ex: AWS ) が利用されることが多いからです。

Github Actionsがクラウド上のリソースにアクセスするために、事前にパスワードやアクセストークンといった認証情報を取得しておく必要があります。

これらの認証情報はGithubの secrets に保存することが多いでしょう。 Github Actionsワークフローは実行のたびに secrets から認証情報を取り出し、これを使ってクラウド環境へのアクセスを可能にします。

しかし、このような secrets を使う方法には問題があります。以下のような手間が発生します。

クラウド上のIAMサービスで認証情報を生成する
生成した認証情報をGithubのsecretsに登録する

つまり、認証情報が二重管理されることになります 。

OIDC ( OpenID Connect ) を使うメリット

そこで登場するのがOIDC ( OpenID Connect ) です。

OIDCを使うと、Github Actionsワークフローがクラウドプロバイダーに対して要求するアクセストークンは、有効期限の短いものとなります。

もちろんOIDC認証による認証をサポートされているクラウドプロバイダーでしか利用できない方式ではありますが、現在はほとんどのクラウドプロバイダー ( AWS、Azune、GCP、HashiCorp Vault… ) がOIDCをサポートしています。

Github Actions入門その5-式と関数

Sun, 07 May 2023 08:10:25 +0900

はじめに

以下のエントリに引き続き、Github Actions を学習して学んだことをまとめて見ました。

今回は Github Actions の学習シリーズの第 5 弾として、ワークフローの YAML 設定ファイル内で使用可能な式について解説します。その後、式の種類や使い方について説明していきます。

式について

環境変数の設定や実行中のワークフローの状態を取得するために「式」を利用できます。

式を使うと、以下のようなことができます。

リテラルの結合
実行中の環境情報の取得 ( 実行者、仮想マシン、等 )
関数呼び出し ( 値の加工等 )

算術計算のために演算子を使うこともできます。

式は if キーワードと一緒に利用されることが多いです。プログラミング言語のように、 if で指定した式の値が true となったときに、該当のステップが実行されます。

「文字列」ではなく「式」であると Github Actions に認識させるためには、以下の構文を使います。

1

${{ <式> }}

if キーワードの値として式を使用した場合は、 ${{ ... }} の構文を指定しないこともあります。というのも、Github Actions は if: 以降に指定した記述を「式」として評価・処理するためです。 if: 以降の記述に関しては、冗長かもしれませんが ${{ ... }} の形式で記述しておくのが間違いないでしょうし、チームメンバにとってもわかりやすいでしょう。

ローカルPC内でGithub Actionsを実行する - 'nekos/act'

Tue, 02 May 2023 08:34:34 +0900

はじめに

Github Actions の設定ファイルを記述した後、正しく動作するかを確認するために毎回リモートリポジトリにプッシュするのが面倒だなと思ったので良い方法が無いかと調べてみました。すると、ローカルで Github Actions の実行が可能なツールが見つかったので、検証してみました。

検証環境

1
2
3
4
5


$ uname -moi
arm64 unknown Darwin

$ bash -version | head -n 1
GNU bash, version 5.2.15(1)-release (aarch64-apple-darwin22.1.0)

見つけたツール : `nektos/act`

利用するツールは以下になります。

GitHub - nektos/act: Run your GitHub Actions locally ?

概要を見る限りは自分の目的にフィットしています。

`nektos/act` ってどんなツール？

Github Actions をローカルで実行するためのツールとのことです。

このツールを導入するメリットは以下となります。

.github/workflows ディレクトリ配下に設定ファイルを作成、変更した後、 commit/push しなくてもテストできるため開発効率が上がる
Makefile でタスクを管理することもできますが、 .github/worflows とタスクが重複し DRY ではなくなります。ローカルで実行できれば Makefile が不要となります。
- (この点については、 Github Actions から make を呼ぶことで回避できると思いますが公式ページのメリットとして書かれていました )

`nektos/act` って何をしてくれるに？

act コマンドが提供されます。

Github Actions入門その4-環境変数/スクリプト/Artifactsを使う

Sun, 30 Apr 2023 08:23:33 +0900

はじめに

以下のエントリに引き続き、Github Actions を学習して学んだことをまとめて見ました。

このエントリでは、カスタマイズのテクニックについて触れていきます。変数の使用方法、スクリプトの実行方法、ジョブとジョブの間をつなぐための方法により、カスタマイズが可能です。

ワークフローの中で変数を使う

Github Actions では、ワークフローが実行されるたびに割り当てられるデフォルトの環境変数があります。デフォルトの環境変数だけで不十分であれば、独自に環境変数を追加することも可能です。ワークフローの YAML 設定ファイルに定義することでこれを実現できます。

サンプルコードを見ていきましょう。以下のサンプルコードでは、 POSTGRES_HOST と POSTGRES_PORT という 2 つの環境変数を作成しています。環境変数は node client.js の中で参照可能です( Github Actions のなかでは、 Node.js はデフォルトで利用可能みたいです )。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


---
name: use-environment-variables
run-name: use-environment-variables
on:
 - push
jobs:
 use-environment-variables:
 runs-on: ubuntu-22.04
 steps:
 - uses: actions/checkout@v3
 - run: node .github/scripts/use_environment_variables.js
 env:
 POSTGRES_HOST: postgres_host
 POSTGRES_PORT: 5432

呼び出している JavaScript のコードは以下のようになっています。

Github Actions入門その3-アクションを探す・使う・自作する

Thu, 27 Apr 2023 10:44:39 +0900

はじめに

前々回、前回と Github Actions に登場する用語の整理した後、実際の YAML 設定ファイルの各項目と用語の対応を見てきました。

アクション ( Action ) は１つ以上のステップで構成されたブロックです。

ワークフローは、１つ以上のジョブを持ち、ジョブは１つ以上のステップを持ちます。 ( 詳細は以下を参照 )

Github Actions 入門その 1 ( 概要と用語の整理 ) | ゲンゾウ用ポストイット

ステップは独自のシェルコマンドを記述しても良いのですが、アクションを指定できます。アクションは Github で公開されているものを指定したり、自作したものを利用することもできます。

今回はアクションの探し方、使い方、自作方法について紹介します。

概要

ワークフローの中で利用するアクションは以下のいずれかの方法で提供されます。

ワークフローが実行される Github リポジトリ内(当然、 git commit && git push されています)
Github の公開リポジトリ
Docker Hub 上の公開 Docker イメージ

公開されているアクションの探し方

Github コミュニティで作成されたアクションを探す場合は、 Github Marketplace というサイトを利用するのが良いでしょう。キーワード検索もできますし、カテゴリ分類されているので役割の観点から探すこともできます。

Github Marketplace で見つけたアクションを追加

実際に Github Marketplace から検索したアクションを使ってみましょう。

Github Actions入門その2-簡単なワークフローを作成してみる

Wed, 26 Apr 2023 06:29:46 +0900

はじめに

前回は Github Actions の概要と用語の整理をしました。

Github Actions 入門その 1-概要と用語の整理 | ゲンゾウ用ポストイット

Github 上で実行できるワークフローを構築するためのサービスです。 Github 上でのソースコードの変更をトリガーにして、自動的にビルドやテストなどのワークフローを実行できます。 Unbutu、Windows、macOS などの環境で実行でき、必要なリソースを設定することで、ビルドなどのタスクを実行できます。

今回は、サンプルコードを触って Github Actions を実際に操作してみます。

簡単なワークフローを作成してみる

Github Actions では、ワークフローの設定を YAML 形式で記述します。

それぞれのワークフローは YAML 形式のファイル 1 つで表現されます。その YAML をワークフローを実行させたい Github リポジトリの .github/workflows というディレクトリに配置します。

ワークフローは、トリガーとなるイベント ( 例えば git push ) が発生したタイミングで実行されます。

ここからは実際にワークフロー設定ファイルを見ていきます。

以下のようなワークフローを作成してみます。

プッシュのタイミングで実行される
Node.js のツールである bats をインストールする
bats -v コマンドを実行する

まずはローカルに Git ワークスペースを作成します。

1
2
3
4
5


$ mkdir learning-github-actions

$ cd learning-github-actions

$ git init

対応する Git リモートリポジトリを作成します。ここでは Github CLI ( gh コマンド) を使って作成しますが、もちろんブラウザ経由で作成しても構いません。

Github Actions入門その1-概要と用語の整理

Sat, 22 Apr 2023 08:29:00 +0900

はじめに

今の組織で CICD のプラットフォームとして Github Actions メインに切り替えています。

今後更にこの流れが進みそうなので Github Actions について一から学びなおしてみようと思いました。

Github Actions とは

Github が提供している CI ( continuous integration ) と CD ( continuous delivery ) を実現するためのプラットフォームです。

CI/CD パイプラインとは

CI とはビルド、テスト、静的解析などの開発パイプラインを示します。過去には各作業者の PC 内で実行していましたが、環境差異による実行結果の違いや実行忘れなどの問題があることから、現在のほぼすべての開発組織で導入されている仕組みです。

CD とは CI に加えてアプリケーションのデプロイの流れまでを含めた用語となっています。

Github Actions が実行されるタイミング ( イベント )

実行のトリガは「Git ブランチに対して push されたタイミング」「プルリクが作成されたタイミング」「プルリクが main ブランチにマージされたタイミング」など任意のタイミングが指定できます。

具体的な例として、「誰かが Github リポジトリに新しい Issue を作成したタイミングで、ラベルを付与する」ことができます。

実行環境

Linxu、Windows、macOS の仮想マシンが用意されています。

Github 上のマネージド環境だけでなく、オンプレ環境や他のクラウドを実行環境とすることもできます。

また、仮想マシンではなくコンテナ環境を利用することもできます。

概要

Github Actions の構成要素について、概要を掴んでおきます。

「ワークフロー」と呼ばれるものを設定します。ワークフローは Github リポジトリの中で何らかの「イベント」が発生 ( トリガー ) したときに実行されます。例えば「プルリクエストの作成」や「Issue の作成」といったイベントがあります。

Github Actions on ゲンゾウ用ポストイット

OIDCを使ってGithub ActionsからAWSにアクセスする仕組みについて理解を整理してみた

はじめに

検証環境

パスワードやアクセストークンを使ってGithub Actionsからクラウドへ認証する方法の問題点

OIDC ( OpenID Connect ) を使うメリット

Github Actions入門その5-式と関数

はじめに

式について

ローカルPC内でGithub Actionsを実行する - 'nekos/act'

はじめに

検証環境

見つけたツール : nektos/act

nektos/act ってどんなツール？

nektos/act って何をしてくれるに？

Github Actions入門その4-環境変数/スクリプト/Artifactsを使う

はじめに

ワークフローの中で変数を使う

Github Actions入門その3-アクションを探す・使う・自作する

はじめに

概要

公開されているアクションの探し方

Github Marketplace で見つけたアクションを追加

Github Actions入門その2-簡単なワークフローを作成してみる

はじめに

簡単なワークフローを作成してみる

Github Actions入門その1-概要と用語の整理

はじめに

Github Actions とは

CI/CD パイプラインとは

Github Actions が実行されるタイミング ( イベント )

実行環境

概要

見つけたツール : `nektos/act`

`nektos/act` ってどんなツール？

`nektos/act` って何をしてくれるに？