私の環境はMac M1を利用しており、tfenvを用いてTerraformを利用していましたが、GW明けに利用しようとすると、急に”terraformはPCに影響を与えます。ゴミ箱に移動してください”のようなエラーが出てきました。

原因

　HashiCorp社側で秘密鍵の更新がMacOSだと4/24に行われたようです。

HCSEC-2023-01 - HashiCorp Response to CircleCI Security Alert

HashiCorp has finished analysis of the subset of repositories that were integrated with CircleCI and have created and ex...

discuss.hashicorp.com

解決方法

　再インストールすることで解決します(以下は私が利用している1.3.4での例です)

tfenv uninstall 1.3.4
tfenv install 1.3.4
tfenv use 1.3.4

今回は接続するサーバーや環境によって、グローバルIP制限が掛けられていることが多々あるかと思います。そのようなときにLambdaから固定IPを振る必要があるため、Terraformでどのようにresouceを作っていけばよいか解説します。

全体の構成としては以下のような形になり、VPC配下にパブリックサブネットとプライベートサブネットを作成します。その後パブリックサブネットのルートにはIGW(インターネットゲートウェイ)を入れ、プライベートサブネットのルートにNATゲートウェイを入れます。そしてNATゲートウェイにEIPを付与すればLambdaが固定IPでインターネットに出られるようになります。
※今回VPCはデフォルトで作成されているものを利用することとします。

EIPとIGWとNATゲートウェイの作成

まずEIPを作成します。適宜リソース名などは必要に応じて変更してください。

resource "aws_eip" "eip" {
  vpc = true

  tags = {
    Name = "EIP"
  }
}

続いてIGWを作成します。

resource "aws_internet_gateway" "gw" {
  vpc_id = "vpc-id" //利用するvpcのidを入力する

  tags = {
    Name = "gw"
  }
} 

続いてNATゲートウェイを作成します。subnet_idの部分は後ほどプライベートサブネットを作成します。

resource "aws_nat_gateway" "nat_gateway" {
  allocation_id     = aws_eip.eip.id
  subnet_id         = aws_subnet.private_subnet.id
  connectivity_type = "public"

  tags = {
    Name = "Nat Gateway"
  }
}

サブネットを作成する

まずパブリックサブネットを作成し、ルートテーブルにIGWを紐付けます。

resource "aws_subnet" "public_subnet" {
  availability_zone = "ap-northeast-1a"
  vpc_id            = "vpc-id" //利用するvpcのidを入力する
  cidr_block        = "172.31.16.0/20" // VPCのCidrによって変更してください

  tags = {
    Name = "Public Subnet"
  }
}

resource "aws_route_table" "public_subnet_route_table" {
  vpc_id = "vpc-id" //利用するvpcのidを入力する

  route {
    cidr_block = "0.0.0.0/0"
    gateway_id = aws_internet_gateway.gw.id
  }

  tags = {
    Name = " Public Subnet Route Table"
  }
}

resource "aws_route_table_association" "public_subnet_route_table_association" {
  subnet_id      = aws_subnet.public_subnet.id
  route_table_id = aws_route_table.public_subnet_route_table.id
}

続いてプライベートサブネットを作成し、NATゲートウェイをルートテーブルに入れます。

resource "aws_subnet" "private_subnet" {
  availability_zone = "ap-northeast-1a"
  vpc_id            = "vpc-id" //利用するvpcのidを入力する
  cidr_block        = "172.31.32.0/20" // VPCのCidrによって変更してください

  tags = {
    Name = "Private Subnet"
  }
}

resource "aws_route_table" "private_subnet_route_table" {
  vpc_id = "vpc-id" //利用するvpcのidを入力する

  route {
    cidr_block     = "0.0.0.0/0"
    nat_gateway_id = aws_nat_gateway.nat_gateway.id
  }

  tags = {
    Name = "Private Subnet Route Table"
  }
}

resource "aws_route_table_association" "private_subnet_route_table_association" {
  subnet_id      = aws_subnet.private_subnet.id
  route_table_id = aws_route_table.private_subnet_route_table.id
}

Lambdaへの紐付け

まずセキュリティグループを作成します。今回は全ての通信を許可しておきます。

resource "aws_security_group" "security_group" {
  name        = "SecurityGroup"
  description = " security group"
  vpc_id      = "vpc-id" //利用するvpcのidを入力する
  ingress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]

  }

  tags = {
    Name = " Security Group"
  }
}

そして最後にLambdaをプライベートサブネット内に配置します。aws_lambda_functionのresouce内に以下を記載してください。

  vpc_config {
    security_group_ids = [aws_security_group.security_group.id]
    subnet_ids         = [aws_subnet.private_subnet.id]
  }

終わりに

これでLambdaへ固定IPを振ることができたと思います。Terraformは日々アップデートが入り書き方が変わっていく可能性もあるので、上手く行かなかったら公式サイトを読んでみてください。

Terraform Registry

registry.terraform.io

　ローカルPCにAWSの設定を入れます。(AWSマネジメントコンソール上でアクセスキーを取得しているものとします。
　ターミナル上でaws configureと入力し、取得済みのID、Keyを入力します。リージョンは利用したいもので問題ありません(東京ならap-northeast-1)。フォーマットはjsonが良いでしょう。

$ aws configure
(※下記については右のコマンドで確認可「$ cat ~/.aws/credentials」)
AWS Access Key ID [None]: AWSアカウントで発行したアクセスキー IDを入力
AWS Secret Access Key [None]: AWSアカウントで発行したシークレットアクセスキーを入力
(※下記については右のコマンドで確認可「$ cat ~/.aws/credentials」)
Default region name [None]: ap-northeast-1など利用したいリージョン名を入力
Default output format [None]: jsonを入力

tfstateを管理するためのS3を準備

まずtfstateを管理するためのS3バケットを作成します。適当にmain.tfなどの名前をつけたtfファイルを用意して、下記コードをコピペして後、tfstateを管理するバケットの名前を変更してください。

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 4.0"
    }
  }
}

provider "aws" {
  profile = "default"
  region  = "ap-northeast-1"
}

resource "aws_s3_bucket" "terraform_state" {
  bucket = "terraform-state" #適当なユニークの名前に変えてください
}

resource "aws_s3_bucket_versioning" "versioning_example" {
  bucket = aws_s3_bucket.terraform_state.id
  versioning_configuration {
    status = "Enabled"
  }
}

次にterraformを初期化します

$ terraform init

次に上記を反映させるためにplanとapplyをします

$ terraform plan

planでは作成(変更/削除も含む)されるリソースが表示されるので、S3のバケットが作成されることを確認してください。問題なければapplyを実行します。

$ terraform apply

ここで「Do you want to perform these actions? Terraform will perform the actions described above. Only ‘yes’ will be accepted to approve.」と聞かれるので「yes」入力してEnterを押しましょう。

すると「Apply complete! Resources: 2 added, 0 changed, 0 destroyed」となると思いますので一旦完了です。

tfstateの管理を作成したS3バケットにする

現状ではtfstateの管理はローカルになっていて、tfstate用にS3バケットが作成されただけなので、今後はS3に管理してもらうようにします。以下のようにbackendの部分を追加し、tfstate用のバケット名に変更しましょう。

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 4.0"
    }
  }

  backend "s3" {
    bucket  = "" #作成したtfstate用のS3バケット名を入力
    region  = "ap-northeast-1"
    key     = "terraform.tfstate"
    encrypt = true
  }
}

続いてもう一度初期化を実行します

$ terraform init

ここでtfstateの管理対象がS3に切り替わりました。

複数人でteffaformを変更する際のTips

複数人でterraformを利用するときは、1つのS3バケットを利用していると同時に変更を走らせてしまったときなどにコンフリクトしてしまったり不用意に削除してしまったりすることがあるので、backendにDynamoDBを利用して状態をロックするような仕組みを用います。

まずDynamoDBのテーブルを作成します。main.tfなどのtfファイルに以下を追加しましょう。

resource "aws_dynamodb_table" "terraform_state_lock" {
  name = "terraform_state_lock"
  read_capacity = 1
  write_capacity = 1
  hash_key = "LockID"

  attribute {
    name = "LockID"
    type = "S"
  }
}

そして、planとapplyを同様に実行しましょう。

backendにDynamoDBを追加する

最初に追加したコードのbackend部分にDynamoDBを追加します。

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 3.27"
    }
  }

  required_version = ">= 0.14.9"

  backend "s3" {
    bucket  = ""
    region  = "ap-northeast-1"
    key     = "terraform.tfstate"
    encrypt = true
    dynamodb_table = "terraform_state_lock" #追加した部分
  }
}

そしてbackendが変更されたので、terraformを初期化するのですが、現在のsteteとバッティングして怒られので今回はmigrateを実行します。

$ terraform init -migrate-state

こうすることで複数人で開発ができるようになりました。以上になります。