メモとかメモのようなものとか（By ルーキーの中のひと）

ユーザ用ツール

サイト用ツール

トレース:
serverapps:configmgmt:terraform:acmcert

差分

このページの2つのバージョン間の差分を表示します。

この比較画面へのリンク

両方とも前のリビジョン前のリビジョン
次のリビジョン		前のリビジョン
serverapps:configmgmt:terraform:acmcert [2018/10/10 11:04] – hayashiserverapps:configmgmt:terraform:acmcert [2018/11/05 09:12] (現在) – hayashi
行 1: 行 1:
-====== AWS Certificate Manager(ACM)による証明書の取得とドメイン検証 ======+====== TerraformによるAWS Certificate Manager(ACM)からの証明書取得とドメイン検証 ======
  
-<code>+掲載したコードをみてくださいで終わっても良いのですが、まぁそれではあんまりだと言うことで。 
 +まぁ、Terraformの公式サイトと大差ありませんがコメントは入ってるよと言うくらいです。 
 + 
 +===== 前提 ===== 
 +  * ワイルドカードはやりません((万が一の場合、証明書を利用している全サービスに影響が及ぶので...)) 
 +  * SANの利用も同様にしません 
 +  * なので、対象はFQDN（サブドメイン付き）1つのみ 
 + 
 +===== 補足 ===== 
 + 
 +ワイルドカードの証明書は便利ですが、万が一の場合利用する全サービスに影響が及ぶことを考えれば利用すべきではないと思っています。 
 +特に、ACMのようにマネージドで自動的に更新されるのにワイルドカード証明書を使う必要はないと思います。 
 + 
 +セキュリティのために証明書を利用するのに、セキュリティを損ねる運用を採用するのは本末転倒だと思っています。 
 + 
 + 
 +===== 実際のスクリプト ===== 
 + 
 +<code json> 
 +# zone apex domain:サブドメインを含まないものを書く
 variable "aws_acm_domain_name" { variable "aws_acm_domain_name" {
   description = "Domain Name"   description = "Domain Name"
   default = "example.com"   default = "example.com"
 } }
 +# 取得対象のFQDN（サブドメイン付き）
 variable "aws_acm_sub_domain_name" { variable "aws_acm_sub_domain_name" {
   description = "Sub Domain Name"   description = "Sub Domain Name"
   default = "ex.example.com"   default = "ex.example.com"
 } }
 +# 検証方法（mailはterraform外部で手作業が必要なので非推奨）
 variable "aws_acm_validation_method" { variable "aws_acm_validation_method" {
   description = "validation method"   description = "validation method"
   default = "DNS"   default = "DNS"
 } }
 +# tagはお好みでどうぞ
 variable "aws_acm_env_tag" { variable "aws_acm_env_tag" {
   description = "enviroment tag"   description = "enviroment tag"
   default = "sample"   default = "sample"
 } }
 +# 証明書発行リクエスト
 resource "aws_acm_certificate" "cert" { resource "aws_acm_certificate" "cert" {
   domain_name       = "${var.aws_acm_sub_domain_name}"   domain_name       = "${var.aws_acm_sub_domain_name}"
行 28: 行 50:
  
   lifecycle {   lifecycle {
 +    # lifecycleにこれを入れておくのが推奨されています
     create_before_destroy = true     create_before_destroy = true
   }   }
 } }
  
 +# Route53で管理されているドメインの情報を持ってきます
 data "aws_route53_zone" "zone" { data "aws_route53_zone" "zone" {
   name = "${var.aws_acm_domain_name}"   name = "${var.aws_acm_domain_name}"
行 37: 行 61:
 } }
  
 +# DNSによる検証用レコードの登録
 resource "aws_route53_record" "cert_validation" { resource "aws_route53_record" "cert_validation" {
   name = "${aws_acm_certificate.cert.domain_validation_options.0.resource_record_name}"   name = "${aws_acm_certificate.cert.domain_validation_options.0.resource_record_name}"
行 45: 行 69:
   ttl = 60   ttl = 60
 } }
 +# 検証
 resource "aws_acm_certificate_validation" "cert" { resource "aws_acm_certificate_validation" "cert" {
   certificate_arn = "${aws_acm_certificate.cert.arn}"   certificate_arn = "${aws_acm_certificate.cert.arn}"
行 52: 行 76:
 </code> </code>
  
 +===== 利用 =====
 +certのarnを利用します
 +
 +  resource "aws_lb_listener" "alb" {
 +    # snip...
 +    certificate_arn   = "${aws_acm_certificate_validation.cert.certificate_arn}"
 +  }
  
serverapps/configmgmt/terraform/acmcert.1539169457.txt.gz · 最終更新: 2018/10/10 11:04 by hayashi