CloudFormationを使用してアカウント間でのリソース移行をしてみた

2022年10月4日

1. CloudFormationとは
2. 今回の目標
- 2.1. 構成図
3. S3+CloudFrontのテンプレート作成
4. API Gateway+Lambdaのテンプレート作成
- 4.1. 解説① DefinitionBody
- 4.2. 開発② CodeUri
5. テンプレートの読込
6. 動作確認
7. さいごに

こんにちは、中根です。

コンソール画面から手動で構築したリソースを、複製したり別アカウントへ移行したいということもあるかと思います。
その際に、同じ設定のリソースを手動で構築するのは手間がかかりますし、ミスにも繋がります。

そこで今回は、CloudFormationというサービスを使用して、リソースをテンプレートとして管理し、別アカウントに移行するという方法を紹介します！

CloudFormationとは

CloudFormationは、JSONまたはYAML形式のテキストファイルを使用して、AWSリソースを自動構築するサービスです。
AWSリソースの設定をテンプレート化できるため、同じ環境を何度でも自動で構築することが可能となります。

CloudFormation自体は無料で使用できますが、CloudFormationで構築された各リソースは通常通り課金の対象となります。

今回の目標

今回は、CloudFront・S3・API Gateway・Lambdaを使用したサービスを別アカウントに複製していきます。
以下が移行するサービスの画面となります。

「Lambda実行」のボタンを押すと、Lambdaが「Hello World!」を返すものとなっています。
Lambdaのソースコードは以下のようなシンプルなものです。

exports.handler = async (event) => {
    console.log('Lambda Start');
    const response = {
        statusCode: 200,
        body: 'Hello World!',
    };
    return response;
};

構成図

別アカウントに移行するサービスの構成図は以下のようになっています。

S3+CloudFrontのテンプレート作成

はじめにS3とCloudFrontの部分のテンプレートをYAML形式で作成しました。
テンプレートは以下のような設定で作成しています。

AWSTemplateFormatVersion: '2010-09-09'
Transform: 'AWS::Serverless-2016-10-31'
Globals:
  Api:
    OpenApiVersion: 3.0.2

Resources:
  #S3バケット
  S3Bucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName: S3BucketName
      PublicAccessBlockConfiguration: #パブリックアクセスブロックを有効化
        BlockPublicAcls: true
        BlockPublicPolicy: true
        IgnorePublicAcls: true
        RestrictPublicBuckets: true
　#バケットポリシー
  BucketPolicy:
    Type: AWS::S3::BucketPolicy
    Properties:
      Bucket: !Ref S3Bucket
      PolicyDocument:
        Id: MyPolicy
        Version: 2012-10-17
        Statement: #OAIからのみのアクセスに制限
            - Sid: '1'
              Effect: Allow
              Action: s3:GetObject
              Resource: arn:aws:s3:::S3BucketName/*
              Principal:
                OriginAccessIdentity: !Sub 'origin-access-identity/cloudfront/${CloudFrontOriginAccessIdentity}'

　#CloudFront
  CloudFrontDistribution:
    Type: AWS::CloudFront::Distribution
　　Properties:
      DistributionConfig:
        Origins:
　　　　　- Id: S3Origin
　　　　　　DomainName: !GetAtt S3Bucket.DomainName
　　　　　　S3OriginConfig:
              OriginAccessIdentity: !Sub 'origin-access-identity/cloudfront/{CloudFrontOriginAccessIdentity}'　#OAIを紐づけ
        Enabled: true #ディストリビューションを有効化
         DefaultRootObject: index.html
         DefaultCacheBehavior:
           AllowedMethods: #許可された HTTP メソッド
             - GET
             - HEAD
           TargetOriginId: S3Origin
           ForwardedValues:
             QueryString: false
           ViewerProtocolPolicy: https-only #ビューワープロトコルポリシー
   CloudFrontOriginAccessIdentity:
     Type: AWS::CloudFront::CloudFrontOriginAccessIdentity
     Properties:
       CloudFrontOriginAccessIdentityConfig: #OAIを作成
         Comment: !Ref AWS::StackName

API Gateway+Lambdaのテンプレート作成

先ほどのテンプレートの続きに、API GatewayとLambdaの設定を記述していきます。

#API Gateway
  APIGateway: #論理ID
    Type: AWS::Serverless::Api
    Properties:
      StageName: dev #ステージ名
      Name: api-blog-test
      DefinitionBody: #解説①
        Fn::Transform:
          Name: AWS::Include
          Parameters:
　　　　　　#API構成ファイルのパス
            Location: s3://×××××/××××××××-swagger-apigateway.yaml

  #Lambda
  LambdaFunction: #論理ID
    Type: 'AWS::Serverless::Function'
    Properties:
      Handler: index.handler
      Runtime: nodejs16.x
      #解説②
      CodeUri: s3://×××××/××××××××××.zip
      Description: ''
      MemorySize: 128
      Timeout: 3
      Role: 'arn:aws:iam::××××:role/lambdaRole' #実行ロール（IAMロールが無い場合は事前に作成する必要がある）
      Events: #API Gatewayを紐づけ
        Api:
          Type: Api
          Properties:
            Path: /
            Method: GET
            RestApiId: !Ref APIGateway