GitLab で AWS Secrets Manager を使用する

AWS Secrets Manager シークレットを作成する

GitLab ジョブで取得され、これらの認証情報をハードコードする必要がなくなる Secrets Manager シークレットが必要です。GitLab パイプラインを設定するときは、Secrets Manager シークレット ID が必要です。詳細については「AWS Secrets Manager シークレットを作成する」を参照してください。

IAM コンソールで GitLab を OIDC プロバイダーにします。

このステップでは、IAM コンソールで GitLab を OIDC プロバイダーにします。詳細については、OpenID Connect (OIDC) ID プロバイダーの作成」およびGitLab ドキュメント」を参照してください。

IAM コンソールで OIDC プロバイダーを作成するときは、次の設定を使用します。

1. provider URL を GitLab インスタンスに設定します。例えば、gitlab.example.com です。

2. audience または aud を sts.amazonaws.com に設定します。

IAM ポリシーとロールを作成する

IAM ロールとポリシーを作成する必要があります。このロールは AWS Security Token Service (STS) を使用する GitLab によって引き受けられます。詳細については、「カスタム信頼ポリシーを使用してロールを作成する」を参照してください。

1. IAM コンソールで、IAM ロールを作成するときに次の設定を使用します。

   • Trusted entity type を Web identity に設定します。

   • Group を your GitLab group に設定します。

   • ステップ 2 で使用したものと同じプロバイダー URL (GitLab インスタンス) に Identity provider を設定します。

   • ステップ 2 で使用したものと同じ対象者に Audienceを設定します。

2. 次に示すのは、GitLab がロールを引き受けることを許可する信頼ポリシーの例です。信頼ポリシーには、AWS アカウント、GitLab URL、およびプロジェクトパスがリストされている必要があります。

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/gitlab.example.com"
         },
         "Condition": {
           "StringEquals": {
             "gitlab.example.com:aud": [
               "sts.amazon.com"
             ]
           },
           "StringLike": {
             "gitlab.example.com:sub": [
               "project_path:mygroup/project-*:ref_type:branch-*:ref:main*"
             ]
           }
         }
       }
     ]
   }
   

3. また、GitLab に AWS Secrets Manager へのアクセスを許可する IAM ポリシーを作成する必要があります。このポリシーを信頼ポリシーに追加できます。詳細については、「IAM ポリシーを作成する」を参照してください。

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:your-secret"
       }
     ]
   }