Terraformを実践的な使い方ーCloudFrontからS3へのアクセス制御をOACを使って正しく設定する編

# terraformバージョンを固定
terraform {
  required_version = "1.3.9"
}

# AWSプロバイダーの定義
terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 4.0"
    }
  }
}


#tfstateファイルを管理するS3バケットを定義
terraform {
  backend "s3" {
    bucket = "{tfstateファイルを管理するS3バケット名}"                #バケット名
    key    = "terraform-test/terraform.tfstate" #tfstateファイルごとに異なる任意の値
    region = "ap-northeast-1"
  }
}

locals {
  s3_bucket_name = {
    public = "{作成するバケット名}"
  }
}

# S3バケット作成
resource "aws_s3_bucket" "terraform_develop" {
  bucket = local.s3_bucket_name.public
  # 削除保護
  lifecycle {
    prevent_destroy = true
  }
}
# バケットポリシー
resource "aws_s3_bucket_policy" "terraform_develop" {
  bucket = aws_s3_bucket.terraform_develop.id
  policy = data.aws_iam_policy_document.s3_develop_policy.json
}

# CloudFrontからのアクセスのみを許可
data "aws_iam_policy_document" "s3_develop_policy" {
  statement {
    principals {
      type        = "Service"
      identifiers = ["cloudfront.amazonaws.com"]
    }
    actions   = ["s3:GetObject"]
    resources = ["${aws_s3_bucket.terraform_develop.arn}/*"]
    condition {
      test     = "StringEquals"
      variable = "aws:SourceArn"
      values   = [aws_cloudfront_distribution.terraform_develop.arn]
    }
  }
}

# OAC作成
resource "aws_cloudfront_origin_access_control" "terraform_develop" {
  name                              = "terraform_develop"
  origin_access_control_origin_type = "s3"
  signing_behavior                  = "always"
  signing_protocol                  = "sigv4"
}
# ディストリビューション作成
resource "aws_cloudfront_distribution" "terraform_develop" {
  enabled = true
  # オリジン設定
  origin {
    origin_id   = aws_s3_bucket.terraform_develop.id
    domain_name = aws_s3_bucket.terraform_develop.bucket_regional_domain_name
    // OACを設定
    origin_access_control_id = aws_cloudfront_origin_access_control.terraform_develop.id
  }
  # 削除保護
  lifecycle {
    prevent_destroy = true
  }
  # ビヘイビア設定
  default_cache_behavior {
    target_origin_id       = aws_s3_bucket.terraform_develop.id
    viewer_protocol_policy = "redirect-to-https"
    cached_methods         = ["GET", "HEAD"]
    allowed_methods        = ["GET", "HEAD"]
    forwarded_values {
      query_string = false
      headers      = []
      cookies {
        forward = "none"
      }
    }
  }
  restrictions {
    geo_restriction {
      restriction_type = "none"
    }
  }
  viewer_certificate {
    cloudfront_default_certificate = true
  }
}

// tfstateファイルを管理するS3バケット作成
aws s3 mb s3://{tfstateファイルを管理するS3バケット}

//ワークスペースを初期化する
terraform init

// コードフォーマット
terraform fmt

// バリデーション
terraform validate

// 不正なコードを検出
tflint

// 実行計画を確認
terraform plan

// リソース作成
terraform apply

terraform apply

terraform destroy