GitHub Actions × AWS OIDC連携で実現する次世代CI/CDセキュリティ

はじめに：なぜOIDC連携が必要なのか
OIDC連携のアーキテクチャ
実装手順：AWS側設定
実装手順：GitHub Actions設定
高度なセキュリティ最適化
運用監視とトラブルシューティング
パフォーマンス最適化戦略
まとめ：次世代インフラ管理の実現

はじめに：なぜOIDC連携が必要なのか

従来のCI/CDパイプラインでは、AWSアクセスキーをGitHub Secretsに保存し、それを使ってAWSリソースにアクセスしていました。しかし、この方法には深刻な課題があります。

従来手法の問題点

長期間有効なアクセスキーが漏洩リスクを抱える
定期的なローテーションが運用負荷を増加させる
権限の細分化が困難で、過剰な権限付与になりがち
監査証跡の追跡が限定的

OIDC連携による革新 本記事では、OpenID Connect（OIDC）を活用した新しいセキュリティモデルを解説します。この手法により、一時的な認証情報のみを使用し、長期的なシークレットを完全に排除したCI/CDパイプラインが実現できます。

OIDC連携のアーキテクチャ

技術的基盤

OIDC連携は、以下の信頼関係に基づいて動作します：

graph TB
    A[GitHub Actions] -->|1. IDトークン要求| B[GitHub OIDC Provider]
    B -->|2. JWTトークン発行| A
    A -->|3. AssumeRole要求| C[AWS STS]
    C -->|4. トークン検証| D[IAM OIDC Provider]
    D -->|5. 信頼関係確認| E[Trust Policy]
    E -->|6. 承認| C
    C -->|7. 一時認証情報| A
    A -->|8. AWSサービス呼び出し| F[AWS Resources]

セキュリティの核心

短時間有効性: 一時認証情報は1時間で自動失効
細粒度制御: リポジトリ・ブランチ単位での厳密な制限
最小権限原則: 必要最小限の権限のみを動的に付与
完全な監査証跡: すべてのアクセスがCloudTrailに記録

実装手順：AWS側設定

ステップ1: IAM OIDCプロバイダーの作成

AWS Management Console経由

IAMコンソールで「IDプロバイダー」に移動
「プロバイダーを追加」をクリック
以下の情報を入力：
- プロバイダーのタイプ: OpenID Connect
- プロバイダーのURL: https://token.actions.githubusercontent.com
- 対象者: sts.amazonaws.com

AWS CLI経由（自動化推奨）

aws iam create-open-id-connect-provider \
    --url https://token.actions.githubusercontent.com \
    --thumbprint-list 6938fd4d98bab03faadb97b34396831e3780aea1 \
    --thumbprint-list 1c58a3a8518e8759bf075b76b750d4f2df264fcd \
    --client-id-list sts.amazonaws.com

ステップ2: 戦略的IAMロール設計

Trust Policy（信頼関係の定義）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::YOUR_ACCOUNT_ID:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
        },
        "StringLike": {
          "token.actions.githubusercontent.com:sub": [
            "repo:YOUR_GITHUB_ORG/YOUR_REPO_NAME:ref:refs/heads/main",
            "repo:YOUR_GITHUB_ORG/YOUR_REPO_NAME:ref:refs/heads/develop"
          ]
        }
      }
    }
  ]
}

権限ポリシー（SAMデプロイ用最適化版）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudFormationAccess",
      "Effect": "Allow",
      "Action": [
        "cloudformation:CreateStack",
        "cloudformation:UpdateStack",
        "cloudformation:DeleteStack",
        "cloudformation:DescribeStacks",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStackResources",
        "cloudformation:GetTemplate"
      ],
      "Resource": "arn:aws:cloudformation:*:*:stack/sam-*/*"
    },
    {
      "Sid": "S3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::aws-sam-cli-managed-default-*/*",
        "arn:aws:s3:::aws-sam-cli-managed-default-*"
      ]
    },
    {
      "Sid": "LambdaAccess",
      "Effect": "Allow",
      "Action": [
        "lambda:CreateFunction",
        "lambda:UpdateFunctionCode",
        "lambda:UpdateFunctionConfiguration",
        "lambda:DeleteFunction",
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration",
        "lambda:AddPermission",
        "lambda:RemovePermission"
      ],
      "Resource": "arn:aws:lambda:*:*:function:*"
    },
    {
      "Sid": "IAMRoleAccess",
      "Effect": "Allow",
      "Action": [
        "iam:CreateRole",
        "iam:DeleteRole",
        "iam:GetRole",
        "iam:AttachRolePolicy",
        "iam:DetachRolePolicy",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::*:role/*"
    }
  ]
}

実装手順：GitHub Actions設定

戦略的ワークフロー設計

.github/workflows/deploy.yml

name: SAM Application Deployment Pipeline

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

# OIDC連携に必要な権限設定
permissions:
  id-token: write      # OIDCトークン取得権限
  contents: read       # リポジトリ読み取り権限
  pull-requests: write # PR コメント権限（オプション）

env:
  AWS_REGION: ap-northeast-1

jobs:
  deploy:
    runs-on: ubuntu-latest
    
    # 環境別デプロイ戦略
    strategy:
      matrix:
        include:
          - environment: development
            branch: develop
            role-suffix: Dev
          - environment: production
            branch: main
            role-suffix: Prod
    
    # ブランチベース条件分岐
    if: |
      (github.ref == 'refs/heads/main' && matrix.environment == 'production') ||
      (github.ref == 'refs/heads/develop' && matrix.environment == 'development')
    
    environment: ${{ matrix.environment }}
    
    steps:
      - name: Checkout Repository
        uses: actions/checkout@v4
        
      - name: Setup Python Environment
        uses: actions/setup-python@v5
        with:
          python-version: '3.11'
          cache: 'pip'
          
      - name: Install SAM CLI
        uses: aws-actions/setup-sam@v2
        with:
          use-installer: true
          
      # OIDC認証の核心部分
      - name: Configure AWS Credentials via OIDC
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::${{ secrets.AWS_ACCOUNT_ID }}:role/GitHub-Actions-SAM-${{ matrix.role-suffix }}
          role-session-name: GitHubActions-${{ github.run_id }}-${{ matrix.environment }}
          aws-region: ${{ env.AWS_REGION }}
          mask-aws-account-id: false
          
      # デプロイメント実行
      - name: Build SAM Application
        run: |
          sam build --use-container
          
      - name: Deploy to AWS
        run: |
          sam deploy \
            --stack-name sam-app-${{ matrix.environment }} \
            --parameter-overrides Environment=${{ matrix.environment }} \
            --capabilities CAPABILITY_IAM \
            --region ${{ env.AWS_REGION }} \
            --no-fail-on-empty-changeset \
            --no-confirm-changeset
            
      # デプロイ結果の検証
      - name: Validate Deployment
        run: |
          aws cloudformation describe-stacks \
            --stack-name sam-app-${{ matrix.environment }} \
            --region ${{ env.AWS_REGION }} \
            --query 'Stacks[0].StackStatus'

高度なセキュリティ最適化

環境別権限分離戦略

# GitHub Environment設定例
environments:
  production:
    protection_rules:
      - type: required_reviewers
        required_reviewers: 2
    secrets:
      AWS_ACCOUNT_ID: "123456789012"
  development:
    secrets:
      AWS_ACCOUNT_ID: "123456789012"

条件付きアクセス制御

{
  "Condition": {
    "StringEquals": {
      "token.actions.githubusercontent.com:aud": "sts.amazonaws.com",
      "token.actions.githubusercontent.com:actor": ["trusted-user-1", "trusted-user-2"]
    },
    "StringLike": {
      "token.actions.githubusercontent.com:sub": "repo:org/repo:*"
    },
    "DateGreaterThan": {
      "aws:CurrentTime": "2024-01-01T00:00:00Z"
    },
    "IpAddress": {
      "aws:SourceIp": ["GitHubActions-IP-Range"]
    }
  }
}

運用監視とトラブルシューティング

CloudTrailによる監査体制

# OIDC連携アクセスの監視クエリ
aws logs filter-log-events \
  --log-group-name CloudTrail \
  --start-time $(date -d '1 hour ago' +%s)000 \
  --filter-pattern '{ $.eventName = "AssumeRoleWithWebIdentity" && $.userIdentity.type = "WebIdentityUser" }' \
  --query 'events[*].{
    Time:eventTime,
    User:userIdentity.userName,
    SourceIP:sourceIPAddress,
    UserAgent:userAgent,
    Role:responseElements.assumedRoleUser.arn
  }'

よくあるエラーと対処法

エラー1: AssumeRoleWithWebIdentity failed

# 原因: Trust Policy の条件不一致
# 対処: sub クレームとブランチ名を確認
echo "Current branch: ${{ github.ref }}"
echo "Expected format: repo:org/repo:ref:refs/heads/main"

エラー2: Token has expired

# 対処: ワークフロー最適化で実行時間短縮
- name: Optimize Build Cache
  uses: actions/cache@v4
  with:
    path: ~/.sam/build
    key: sam-build-${{ hashFiles('**/requirements.txt') }}

パフォーマンス最適化戦略

並列デプロイメント設計

jobs:
  test:
    runs-on: ubuntu-latest
    outputs:
      test-passed: ${{ steps.test.outputs.passed }}
    
  deploy-infrastructure:
    needs: test
    if: needs.test.outputs.test-passed == 'true'
    runs-on: ubuntu-latest
    
  deploy-application:
    needs: [test, deploy-infrastructure]
    runs-on: ubuntu-latest

キャッシュ最適化

- name: Cache SAM Dependencies
  uses: actions/cache@v4
  with:
    path: |
      ~/.sam
      ~/.aws-sam
    key: sam-${{ runner.os }}-${{ hashFiles('**/template.yaml') }}
    restore-keys: sam-${{ runner.os }}-