[register-on-premises-instance] コマンド (IAM セッション ARN) を使用してオンプレミスインスタンスを登録

オンプレミスインスタンスの認証と登録を最大限にコントロールするには、register-on-premises-instance コマンド、および、AWS Security Token Service (AWS STS)を用いて定期的に更新される一時的な認証情報を使用できます。インスタンスの静的 IAM ロールは、CodeDeploy デプロイオペレーションを実行するための、これらの更新された AWS STS の認証情報のロールを想定しています。

多数のインスタンスを登録する必要がある場合は、このメソッドが最も役に立ちます。これにより、CodeDeploy での登録処理を自動化できます。自分の ID と認証システムを使用して、オンプレミスインスタンスを認証でき、CodeDeploy で使用するためにインスタンス IAM セッション認証情報をサービスからインスタンスへ配布できます。

以下のトピックにある情報を参照し、AWS STS で生成された一時的なセキュリティ認証情報を使用してオンプレミスインスタンスを設定します。

IAM セッション ARN 登録前提条件

オンプレミスインスタンスを設定するための前提条件 にリストされている前提条件に加えて、次の追加の要件を満たす必要があります。

IAM アクセス許可

オンプレミスインスタンスを登録するのに使用する IAM 識別子には、CodeDeploy オペレーションを実行するためのアクセス権限が付与される必要があります。AWSCodeDeployFullAccess 管理ポリシーが IAM ID に添付されていることを確認します。詳細については、 IAM ユーザーガイドの AWS マネージドポリシー を参照してください。

一時的な認証情報を更新するシステム

IAM セッション ARN を使用してオンプレミスインスタンスを登録する場合、一時的な認証情報を定期的に更新する適切なシステムが必要です。一時的な認証情報は 1 時間後、または認証情報が生成されたときより短い時間が指定されていればそれより早く期限切れになります。認証情報を更新するためのメソッドは 2 つあります。

AWS STS の認証情報を用いての作成および使用の詳細については、AWS Security Token Service API Reference および Using temporary security credentials to request access to AWS resources を参照してください。

ステップ 1: オンプレミスインスタンスが引き受ける IAM ロールを作成

AWS CLI または IAM コンソールを使用して、CodeDeploy との認証および操作を行うためのオンプレミスインスタンスによって使われる IAM ロールを作成できます。

単一の IAM ロールのみを作成する必要があります。各オンプレミスインスタンスは、このロールに付与されたアクセス権限を提供する一時認証情報を取得するためにこのロールを引き受けることができます。

作成するロールは、CodeDeploy エージェントをインストールするのに必要なファイルにアクセスするために、次の権限が必要です。

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

このポリシーを、オンプレミスインスタンスがアクセスする必要のある Amazon S3 バケットにのみ制限することをお勧めします。このポリシーを制限する場合、CodeDeploy エージェントを含む Amazon S3 バケットへのアクセスを許可することを確認します。そうしない場合、CodeDeploy エージェントがオンプレミスインスタンスにインストールされる、または更新されるたびに、エラーが発生する可能性があります。Amazon S3 リソースへのアクセスコントロールの詳細については、Managing access permissions to your Amazon S3 resources を参照してください。

ステップ 2: AWS STS を使用して各インスタンスに一時認証情報を生成

オンプレミスインスタンスの登録に使用する一時認証情報を生成する前に、一時認証情報を生成する IAM ID (ユーザーまたはロール) を作成または選択する必要があります。sts:AssumeRole アクセス権限は、この IAM ID のポリシーの設定に含める必要があります。

IAM アイデンティティへの sts:AssumeRole の権限の付与の詳細については、Creating a role to delegate permissions to an AWS service および AssumeRole を参照してください。

一時認証情報を生成するには、2 とおりの方法があります。

続ける前に、定期的に一時認証情報を更新するために使用するシステムを確認します。一時認証情報が更新されていない場合、オンプレミスインスタンスへのデプロイは失敗します。詳細については、IAM セッション ARN 登録前提条件 にある「一時認証情報を更新するシステム」を参照してください。

ステップ 3: オンプレミスインスタンスに設定ファイルを追加

ルートまたは管理者権限を使用して、オンプレミスインスタンスに設定ファイルを追加します。この設定ファイルは、IAM の認証情報、および CodeDeploy のために使われる AWS のリージョンを宣言するために使用されます。ファイルは、オンプレミスインスタンスの指定の場所に追加する必要があります。ファイルには、IAM の一時セッション ARN、そのシークレットキー ID とシークレットアクセスキー、および、ターゲットの AWS のリージョンが含まれている必要があります。

ステップ 4:CodeDeploy デプロイのためオンプレミスインスタンスを準備します。

のインストールと設定AWS CLI

オンプレミスインスタンスに AWS CLI をインストールして設定します。(AWS CLI は、CodeDeploy エージェントをダウンロードしてオンプレミスインスタンス上にインストールするために使用されます。)

AWS_REGION 環境変数を設定する (Ubuntu Server および RHEL のみ)

Ubuntu サーバーまたは RHEL をオンプレミスインスタンスで実行していない場合は、このステップをスキップして「CodeDeploy エージェントをインストールする」へ進んでください。

Ubuntu サーバーまたは RHEL オンプレミスインスタンスに CodeDeploy エージェントをインストールし、新しいバージョンが使用可能になったらいつでも CodeDeploy エージェントを更新するようにインスタンスを有効にします。これを行うには、インスタンス上の AWS_REGION の環境変数を、CodeDeploy がサポートしているリージョンのうちの １ つの識別子に設定します。CodeDeploy アプリケーション、デプロイグループ、およびアプリケーションリビジョンのある (us-west-2 など)リージョンの値に設定することをお勧めします 。リージョンのリストについては、「AWS 全般のリファレンス」の「リージョンエンドポイント」を参照してください。

環境変数を設定するには、端末から以下を呼び出します。

export AWS_REGION=supported-region

supported-region がリージョンの識別子である場所 (例:us-west-2)。

CodeDeploy エージェントをインストール

ステップ 5: CodeDeploy でオンプレミスインスタンスを登録します。

このステップの手順では、オンプレミスインスタンス自体からオンプレミスインスタンスを登録していることを想定します。オンプレミスインスタンスを、AWS CLI がインストールされ設定してある別のデバイスまたはインスタンスから登録できます。

AWS CLI を使用して、CodeDeploy を用いてンプレミスインスタンスを登録し、デプロイで使用できるようにします。

AWS CLI を使用するには、「ステップ 3: オンプレミスインスタンスに設定ファイルを追加」で作成した一時セッション認証情報の ARN が必要です。例えば、AssetTag12010298EX と指定したインスタンスの場合:

arn:sts:iam::123456789012:assumed-role/CodeDeployInstanceRole/AssetTag12010298EX

register-on-premises-instance コマンドを呼び出し、以下を指定します。

例:

aws deploy register-on-premises-instance --instance-name name-of-instance --iam-session-arn arn:aws:sts::account-id:assumed-role/role-to-assume/session-name

コードの説明は以下のとおりです。

ステップ 6: オンプレミスインスタンスにタグ付け

オンプレミスインスタンスにタグ付けするには、次の AWS CLI または CodeDeploy コンソールのいずれかを使用できます。(CodeDeploy はオンプレミスインスタンスタグを使用してデプロイ中にデプロイターゲットを識別します。)

ステップ 7: アプリケーションリビジョンをオンプレミスインスタンスにデプロイ

登録され、タグ付けされたオンプレミスインスタンスにアプリケーションリビジョンをデプロイする準備ができました。

Amazon EC2 インスタンスにアプリケーションリビジョンをデプロイするのと同様の方法でオンプレミスインスタンスにアプリケーションリビジョンをデプロイします。手順については、「CodeDeploy でデプロイを作成する」を参照してください。これらの指示には、アプリケーションの作成、開発グループの作成、およびアプリケーションリビジョンの準備を含む前提条件へのリンクが含まれています。シンプルなサンプルアプリケーションリビジョンをデプロイすることが必要な場合は、ステップ 2: サンプルのアプリケーションリビジョンを作成する の チュートリアル: CodeDeploy (Windows サーバー、Ubuntu サーバー、または Red Hat エンタープライズ Linux) を使用してオンプレミスインスタンスにアプリケーションをデプロイします。 で説明してあるものを作成できます。

ステップ 8: オンプレミスインスタンスへのデプロイを追跡

登録されタグ付けされたオンプレミスインスタンスへアプリケーションリビジョンをデプロイした後、デプロイの進行状況を追跡できます。

Amazon EC2 インスタンスへのデプロイの追跡と同様の方法でオンプレミスインスタンスへのデプロイの追跡をします。手順については、「CodeDeploy デプロイの詳細を表示する 」を参照してください。