OIDC

はじめに こんにちは！ACS事業部の谷合です。 Azure App ServiceへのCDを行う場合、皆さんはどのようにやってますでしょうか? 以下の2つが候補に挙げられるのではないでしょうか? デプロイセンターで自動でPipeline定義生成 自前でPipelineを書く デプロイセンターを使う場合は基本認証という、デフォルトの認証情報を使い、CDでAzure App Serviceに接続し、デプロイを行います。 基本認証は発行プロファイルを使用して認証を行いますが、発行プロファイルはAzure Portalからファイルとしてダウンロード可能であり、認証情報を抜こうと思えば、簡単に抜くことで…

Keycloakの使用方法はある程度確認したので、今度はAWSのCognitoを自分への夏休みの宿題としてちょっとだけ調査してみました。 実際にCognitoを触ってみて、Keycloakとどこが違うのかを軽く確認したのでその内容を感想レベルで記述していこうと思います。

本日のお題 CD/CDなどでGitHub Actionからcdk deployコマンドを実施する際に、OIDCを使用して(IAM Userのアクセスキー＆シークレットアクセスキーではなく)IAM RoleでAWSと認証を行う方法 上記をAWS CDKで実装する方法 上記を実施する際に必要な手順 IAM OIDC IDプロバイダーを作成する 認証用のIAM Roleを作成する 上記IAM Roleに必要なポリシーをアタッチする GitHub Actionsにてconfigure-aws-credentialsを使用してAWSと認証する AWS CDKのコード 今回は、いきなりAWS CDKのコー…

タダです. ALB のリスナーに OIDC 認証の証明書を設定して運用している中で証明書の有効期限が切れる前に更新する作業がありました.その際に,以前の証明書の更新方法と異なっていたので備忘録でこの記事でまとめます. 以前の証明書の更新方法 以前は下記の画像のようにリスナー管理画面から 既存のクライアントシークレットを使用する のチェックボックスを外せば更新ができました.ところが,2023年7月時点ではクライアントシークレットの項目がグレーアウトされていて更新ができなくなっています. 以前のリスナー管理画面 2023年7月時点のリスナー管理画面 現在の証明書の更新方法 現在の更新方法は対象の …

最近ちょっとCircleCIを触ることがあって、久しぶりに設定していたらaws-cliというOrbsがOIDCに対応していました。よくよく見てみるともう1年くらい前に対応してたみたいなんですが、全然キャッチアップできておらず…。せっかくなので最近の設定を試してみます。 Orbsが対応していなかった時のconfig.yml circleci.com OrbsがまだOIDCに対応していなかった時は、aws sts assume-role-with-web-identityを実行して、シークレットやトークンを取得していました。以下のコードを自分で実装してた感じですね。 github.com 最近の設…

はじめに 今回やるのはこれ 実装 GitHubAppの登録 Rubyの開発環境整え コマンドで1.2.3.のファイルを準備 手動でDockerfileとdocker-compose.yamlを作成 app.rb (アプリ自体のファイル) を作成 起動 OIDCの設定を進める ログインボタンを設置 Callbackを設定 sinatraでCallbackURLを設定 Githubに設定 やってみる access_tokenを受け取る access_tokenを使って、REST APIを叩く。 Githubの設定変更 app.rbの修正 はじめに GithubのOIDCを実装したかったんだけど、ち…

GitHub ActionsとAWSをOIDCで接続する記事は以前に書きました。 devops-blog.virtualtech.jp この時は手で設定していたのですが、今回はTerraformを使って設定してみます。 今回つかうファイルの説明 コードはこちら github.com リポジトリの中身はこんな感じ . ├── .github │ └── workflows │ └── actions.yaml ├── .terraform.lock.hcl ├── .tool-versions ├── README.md ├── main.tf ├── outputs.tf └── versio…