NRIネットコム Blog

NRIネットコム社員が様々な視点で、日々の気づきやナレッジを発信するメディアです

読者です 読者をやめる 読者になる 読者になる
トップ > Technology > AWS CDKで別リージョンにスタックをデプロイしてパラメータをリージョン間で受け渡す方法 －AWS CDKカスタムリソースの実装例

AWS CDKで別リージョンにスタックをデプロイしてパラメータをリージョン間で受け渡す方法 －AWS CDKカスタムリソースの実装例

Technology AWS CDK DevOps コーディング・実装

小西秀和です。
これまで、次の記事のようなAWSの静的ウェブサイトホスティングをテーマにAWS CloudformationやAWS Amplifyの使用例を紹介してきました。

今回からはAWS Cloud Development Kit(AWS CDK)でこれまでの静的ウェブサイトホスティングと同様の構成を作成する方法について見ていきたいと思います。
これまでの記事で扱ったAWS CloudformationではAWS Lambdaカスタムリソースを使用してマルチリージョンにスタックをデプロイする方法を試してきました。
参考：AWS LambdaカスタムリソースでAWS Cloudformationスタックを別リージョンにデプロイする

一方、AWS CDKを使用するとマルチリージョンへのスタックのデプロイは簡単に指定できるようになっています。
また、AWS CDKで用意されているカスタムリソース(AwsCustomResource)ではAWS SDK呼び出しが簡単に記述できるため、リージョン間のパラメータの受け渡しにリージョンを指定したAWS CDKカスタムリソースを使用することが可能です。今回はこれらの実装例を紹介します。

なお、AWS CDK V1ではJavaScript、TypeScript、Python、Java、C#のプログラミング言語がサポートされています。
このうち、技術情報が多く、テストツールなど最新の機能の取り込みも充実して一般的に広く使われているのはTypeScriptです。
ただ、Pythonにも一定のニーズがある一方でコード例などの技術情報が少ないため、自主研究ベースの私の記事では敢えてPythonを使ってみたいと思います。

※本記事および当執筆者のその他の記事で掲載されているソースコードは自主研究活動の一貫として作成したものであり、動作を保証するものではありません。使用する場合は自己責任でお願い致します。また、予告なく修正することもありますのでご了承ください。

AWS CDKプロジェクトのスタック毎にリージョンを指定する

AWS CDKではプロジェクトでスタックをリージョン指定で作成することができます。
AWS CDKプロジェクト内のapp.pyでスタックにリージョンを指定した例を記載します。

■app.py

  1. #!/usr/bin/env python3
  2. import os
  3. from aws_cdk import core as cdk
  4. from aws_cdk import core
  6. from s3cf_acm_edge_s3sec.certificate_stack import CertificateStack
  7. from s3cf_acm_edge_s3sec.lambda_edge_stack import LambdaEdgeStack
  8. from s3cf_acm_edge_s3sec.s3secondary_stack import S3secondaryStack
  9. from s3cf_acm_edge_s3sec.s3cloudfront_stack import S3CloudfrontStack
  11. app = core.App()
  12. certificate_stk = CertificateStack(app, "CdkS3CfAllCertificateStack", env=core.Environment(region='us-east-1'))
  13. lambda_edge_stk = LambdaEdgeStack(app, "CdkS3CfAllLambdaEdgeStack", env=core.Environment(region='us-east-1'))
  14. s3secondary_stk = S3secondaryStack(app, "CdkS3CfAllS3secondaryStack", env=core.Environment(region='us-east-1'))
  15. s3cloudfront_stk = S3CloudfrontStack(app, "CdkS3CfAllS3CloudfrontStack", env=core.Environment(region='ap-northeast-1'))
  17. s3cloudfront_stk.add_dependency(certificate_stk)
  18. s3cloudfront_stk.add_dependency(s3secondary_stk)
  19. s3cloudfront_stk.add_dependency(lambda_edge_stk)
  21. app.synth()

この例ではS3CloudfrontStackをap-northeast-1リージョンで作成し、その他のスタックをus-east-1で作成しています。
別リージョンで作成するスタックもadd_dependencyで依存関係を指定して、作成順序を指定することが可能です。

このようにAWS CDKでは簡単にスタックを作成するリージョンを指定できますが、スタック間でパラメータをやり取りするためにはAWS CDKカスタムリソースを使用するなど工夫が必要になります。

スタック間のパラメータの受け渡しはリージョン指定のAWS CDKカスタムリソースを使用する

スタック間のパラメータの受け渡しはAWS CDKのカスタムリソースでAWS SDK呼び出しをリージョンを指定して実行し、ストレージサービスなどにデータを保存するといった方法で実現できます。

今回はAWS Systems ManagerパラメータストアとAWS Secrets Managerに対してパラメータの保存と取得をする機能をAWS CDKカスタムリソース用のConstructを継承したクラスとしてまとめた例を記載します。

■x_region_param.py

  1. from aws_cdk import (
  2.     core,
  3.     custom_resources as cr
  4. )
  6. class XRegionParam(core.Construct):
  7.     def __init__(self, scope: core.Construct, id: str, region, service, action, key, val, description, **kwargs):
  8.         super().__init__(scope, id, **kwargs)
  10.         stack = core.Stack.of(self);
  11.         param_region = region
  12.         #リージョン指定がない場合は呼出元スタックのリージョンを使用する
  13.         if not param_region:
  14.             param_region = stack.region
  16.         param_service = str(service).upper()
  17.         param_action = str(action).upper()
  19.         if param_service == 'SSM': 
  20.             if param_action == 'GET':
  21.                 act = 'SsmGet'
  22.                 res = self.ssm_get_parameter(action + id, param_region, key)
  23.             elif param_action == 'PUT':
  24.                 act = 'SsmPut'
  25.                 res = self.ssm_put_parameter(action + id, param_region, key, val, description)
  26.             else:
  27.                 act = None
  28.                 res = None
  29.         elif param_service == 'ASM' or param_service == 'SECRETSMANAGER': 
  30.             if param_action == 'GET':
  31.                 act = 'AsmGet'
  32.                 res = self.asm_get_secret_string(action + id, param_region, key)
  33.             elif param_action == 'PUT':
  34.                 act = 'AsmPut'
  35.                 res = self.asm_put_secret_string(action + id, param_region, key, val, description)
  36.             else:
  37.                 act = None
  38.                 res = None
  39.         else:
  40.             act = None
  41.             res = None
  43.         self.action = act
  44.         self.result = res
  45.         
  46.     def get_result(self):
  47.         return {'action': self.action, 'result': self.result}
  48.         
  49.     #AWS Systems Managerパラメータストアからリージョン名、パラメータ名を指定してパラメータを取得する
  50.     def ssm_get_parameter(self, id_name, region, parameter_name):
  51.         stack = core.Stack.of(self);
  52.         param_region = region
  53.         #リージョン指定がない場合は呼出元スタックのリージョンを使用する
  54.         if not param_region:
  55.             param_region = stack.region
  57.         #AWS CDKカスタムリソース内でAWS SDK呼出を実行してパラメータを取得する
  58.         result_params = cr.AwsCustomResource(self, id_name, 
  59.             policy=cr.AwsCustomResourcePolicy.from_sdk_calls(
  60.                 resources=cr.AwsCustomResourcePolicy.ANY_RESOURCE
  61.             ), 
  62.             on_update=cr.AwsSdkCall(
  63.                 service='SSM',
  64.                 action='getParameter',
  65.                 parameters={
  66.                     'Name': parameter_name
  67.                 },
  68.                 region=param_region,
  69.                 physical_resource_id=cr.PhysicalResourceId.of(id_name)
  70.             )
  71.         )
  72.         #レスポンス内の要素を指定して取得する：{"Parameter":{"Value":"＜取得するパラメータ＞"}}
  73.         result = result_params.get_response_field('Parameter.Value')
  74.         
  75.         return result
  76.         
  77.     #AWS Systems Managerパラメータストアにリージョン名、パラメータ名を指定してパラメータを作成・更新・削除する
  78.     def ssm_put_parameter(self, id_name, region, parameter_name, string_value, description):
  79.         stack = core.Stack.of(self);
  80.         param_region = region
  81.         #リージョン指定がない場合は呼出元スタックのリージョンを使用する
  82.         if not param_region:
  83.             param_region = stack.region
  85.         #AWS CDKカスタムリソース内でAWS SDK呼出を実行してパラメータを作成・更新する
  86.         result = cr.AwsCustomResource(self, id_name, 
  87.             policy=cr.AwsCustomResourcePolicy.from_sdk_calls(
  88.                 resources=cr.AwsCustomResourcePolicy.ANY_RESOURCE
  89.             ), 
  90.             on_update=cr.AwsSdkCall(
  91.                 service='SSM',
  92.                 action='putParameter',
  93.                 parameters={
  94.                     'Name': parameter_name,
  95.                     'Value': string_value,
  96.                     'Description': description, 
  97.                     'Type': 'String',
  98.                     'Overwrite': True
  99.                 },
  100.                 region=param_region,
  101.                 physical_resource_id=cr.PhysicalResourceId.of(id_name)
  102.             ),
  103.             on_delete=cr.AwsSdkCall(
  104.                 service='SSM',
  105.                 action='deleteParameter',
  106.                 parameters={
  107.                     'Name': parameter_name
  108.                 },
  109.                 region=param_region,
  110.                 physical_resource_id=cr.PhysicalResourceId.of(id_name)
  111.             )
  112.         )
  114.         return result
  116.     #AWS Systems Managerパラメータストアからリージョン名、パラメータ名を指定してパラメータを取得する
  117.     def asm_get_secret_string(self, id_name, region, secret_name):
  118.         stack = core.Stack.of(self);
  119.         param_region = region
  120.         #リージョン指定がない場合は呼出元スタックのリージョンを使用する
  121.         if not param_region:
  122.             param_region = stack.region
  124.         #リソースポリシーのリソースに「cr.AwsCustomResourcePolicy.ANY_RESOURCE」を指定するとactionに対してすべてのリソースのアクセス許可をする
  125.         #AWS CDKカスタムリソース内でAWS SDK呼出を実行してシークレットを取得する
  126.         result_params = cr.AwsCustomResource(self, id_name, 
  127.             policy=cr.AwsCustomResourcePolicy.from_sdk_calls(
  128.                 resources=cr.AwsCustomResourcePolicy.ANY_RESOURCE
  129.             ), 
  130.             on_update=cr.AwsSdkCall(
  131.                 service='SecretsManager',
  132.                 action='getSecretValue',
  133.                 parameters={
  134.                     'SecretId': secret_name
  135.                 },
  136.                 region=param_region,
  137.                 physical_resource_id=cr.PhysicalResourceId.of(id_name)
  138.             )
  139.         )
  140.         #レスポンス内の要素を指定して取得する：{"SecretString":"＜取得するパラメータ＞"}
  141.         result = result_params.get_response_field('SecretString')
  142.         
  143.         return result
  144.         
  145.     #AWS Systems Managerパラメータストアにリージョン名、パラメータ名を指定してパラメータを作成・更新・削除する
  146.     def asm_put_secret_string(self, id_name, region, secret_name, secret_string, description):
  147.         stack = core.Stack.of(self);
  148.         param_region = region
  149.         #リージョン指定がない場合は呼出元スタックのリージョンを使用する
  150.         if not param_region:
  151.             param_region = stack.region
  153.         #AWS CDKカスタムリソース内でAWS SDK呼出を実行してパラメータを更新する
  154.         result = cr.AwsCustomResource(self, id_name, 
  155.             policy=cr.AwsCustomResourcePolicy.from_sdk_calls(
  156.                 resources=cr.AwsCustomResourcePolicy.ANY_RESOURCE
  157.             ), 
  158.             on_create=cr.AwsSdkCall(
  159.                 service='SecretsManager',
  160.                 action='createSecret',
  161.                 parameters={
  162.                     'Name': secret_name,
  163.                     'SecretString': secret_string,
  164.                     'Description': description
  165.                 },
  166.                 region=param_region,
  167.                 physical_resource_id=cr.PhysicalResourceId.of(id_name)
  168.             ), 
  169.             on_update=cr.AwsSdkCall(
  170.                 service='SecretsManager',
  171.                 action='updateSecret',
  172.                 parameters={
  173.                     'SecretId': secret_name,
  174.                     'SecretString': secret_string,
  175.                     'Description': description
  176.                 },
  177.                 region=param_region,
  178.                 physical_resource_id=cr.PhysicalResourceId.of(id_name)
  179.             ),
  180.             on_delete=cr.AwsSdkCall(
  181.                 service='SecretsManager',
  182.                 action='deleteSecret',
  183.                 parameters={
  184.                     'SecretId': secret_name,
  185.                     'RecoveryWindowInDays': 7
  186.                 },
  187.                 region=param_region,
  188.                 physical_resource_id=cr.PhysicalResourceId.of(id_name)
  189.             )
  190.         )
  191.         
  192.         return result

■x_region_param.pyの呼び出し例

  1. from aws_cdk import core as cdk
  2. from x_region_param import XRegionParam
  3. from aws_cdk import (
  4.     core
  5. )
  7. class SampleCdkStack(cdk.Stack):
  9.     def __init__(self, scope: cdk.Construct, construct_id: str, **kwargs) -> None:
  10.         super().__init__(scope, construct_id, **kwargs)
  12.         #AWS Systems Managerパラメータストアのパラメータの作成・更新
  13.         resut_put_param = XRegionParam(self, 'SsmPut', 
  14.             region='us-east-1', 
  15.             service='SSM', 
  16.             action='PUT', 
  17.             key='parameter_name', 
  18.             val='Nobody', 
  19.             description='SSM Param for Sample'
  20.         )
  22.         #AWS Secrets Managerシークレットの作成・更新
  23.         resut_put_secret = XRegionParam(self, 'AsmPut', 
  24.             region='us-east-1', 
  25.             service='ASM', 
  26.             action='PUT', 
  27.             key='Sample/Secret/Value', 
  28.             val='{"Password":"Nobody"}', 
  29.             description='ASM Param for Sample'
  30.         )
  32.         #AWS Systems Managerパラメータストアのパラメータの取得
  33.         resut_get_param = XRegionParam(self, 'SsmPut', 
  34.             region='us-east-1', 
  35.             service='SSM', 
  36.             action='GET', 
  37.             key='parameter_name', 
  38.             val='', 
  39.             description=''
  40.         )
  41.         ssm_parameter = resut_get_param.get_result()['result']
  43.         #AWS Secrets Managerシークレットの取得
  44.         resut_get_secret = XRegionParam(self, 'AsmPut', 
  45.             region='us-east-1', 
  46.             service='ASM', 
  47.             action='GET', 
  48.              key='Sample/Secret/Value', 
  49.             val='', 
  50.             description=''
  51.         )
  52.         asm_parameter = resut_get_secret.get_result()['result']

AWS CDKのカスタムリソースの特徴

AWS CDKのカスタムリソースはAWS CloudFormationのAWS Lambdaカスタムリソースのように一から開発する必要なく、AWS CDKのコードをCloudFormationに変換してデプロイするコマンドであるaws cdk deployを実行した際に自動的にAWS SDK呼び出しの内容を実行するAWS Lambda関数を作成してくれます。
ただ、開発が少なく済む一方で柔軟な細かい内部処理やエラーハンドリングができないことに配慮が必要です。

AWS CDKのカスタムリソースはaws cdk deployを実行すると各スタック毎にAWS Lambda関数が作成され、そのAWS Lambda関数内でAwsCustomResourceに記述した内容が実行されます。そのため、スタック毎に用意されたAWS Lambda関数にスタックで使用する各カスタムリソースのアクションやリソースポリシーのアクセス権限が追加されていくことを知っておいたほうが良いでしょう。
これを概念図にすると次のようになります。

AWS CDKカスタムリソース用AWS Lambda関数とスタックの関係
AWS CDKカスタムリソース用AWS Lambda関数とスタックの関係

例えば、あるスタックで前述のConstructを継承したクラスのssm_get_parameterでパラメータ取得、asm_put_secret_stringでシークレット作成・更新をする場合は、「AwsCustomResourcePolicy.ANY_RESOURCE」のリソースポリシーの指定によってSSMのgetParameterアクションに対するすべてのリソースへのアクセス権限、SecretsManagerのupdateSecret・createSecretアクションに対するすべてのリソースへのアクセス権限が、そのスタックのために用意されたカスタムリソースのAWS Lambda関数に付与されます。
「AwsCustomResourcePolicy.ANY_RESOURCE」を使用せずにリソース毎に細かく権限を指定する場合は、その内容がカスタムリソースのAWS Lambda関数に適用されているIAMロールのインラインポリシーへリソース毎に追加されていくため、扱うリソース数が多数の場合はその点も知っておいたほうがよいでしょう。

aws cdk deployによってAWS CloudFormationのCreate、Update、Deleteのイベントが発生すると、AWS CDKのカスタムリソースではそれに対応してon_create、on_update、on_deleteが実行されます(on_createの指定がない場合はCreateイベント発生時にon_updateが実行される)。
前述のConstructを継承したクラスでは各処理に対応するようにAWS CDKカスタムリソースが実行されるように記載しています。

AWS CDKのカスタムリソースの詳細な仕様については次のドキュメントで確認できます。
class AwsCustomResource (construct) · AWS CDK

また、AwsCustomResource内で使用するAwsSdkCallのサービス、アクション、パラメータの記述の仕様は次のAWS SDK for JavaScriptのドキュメントで確認できます。
AWS SDK for JavaScript


参考：
What is the AWS CDK? - AWS Cloud Development Kit (AWS CDK) v1
What is the AWS CDK? - AWS Cloud Development Kit (AWS CDK) v2
Tech Blog with related articles referenced

まとめ

今回はAWS CDKでスタックを複数のリージョンを指定してデプロイし、AWS CDKカスタムリソースのAWS SDK呼び出しでパラメータをリージョン間で受け渡す方法について記載しました。
次回からはこれらの方法を使用して「AWS LambdaカスタムリソースでSSL証明書・基本認証・CloudFrontオリジンフェイルオーバーを作成するAWS Cloudformationスタックを別リージョンにデプロイする」で紹介したようなAmazon S3＋Amazon CluodFrontの静的ウェブサイトホスティングに別リージョンで作成したACM証明書、基本認証用Lambda@Edge、Amazon CloudFrontオリジンフェイルオーバーを追加する構成をAWS CDKで作成するとどのようになるかについて見ていきたいと思います。

Written by Hidekazu Konishi
Hidekazu Konishi (小西秀和), a Japan AWS Top Engineer and a Japan AWS All Certifications Engineer

執筆者小西秀和

Japan AWS Top Engineer, Japan AWS All Certifications Engineer(AWS認定全冠)として、知識と実践的な経験を活かし、AWSの活用に取り組んでいます。
NRIネットコムBlog: 小西 秀和: 記事一覧
Amazon.co.jp: 小西 秀和: books, biography, latest update
Personal Tech Blog | [B! Bookmark]