DEVOCEAN

Terraform & Assume Role?

Terraform은 많이 알고 계시는 것처럼, AWS와 같은 다양한 Infrastructure Provider들을 코드로 프로비저닝 하는 대표적인 IaC 도구입니다.

지난 번 포스팅에서는 boto3에서 assume role을 사용하여 python 코드에서 AWS의 Multi Account에 API 호출하는 방법을 공유 드렸는데요, Terraform에서도 assume role 활용이 가능합니다.

이번 포스팅에서는 Terraform에서 assume role을 사용하여 AWS의 Multi Account로 리소스를 프로비저닝하고 컨트롤하는 부분을 공유 드리겠습니다.

.

.

1. Terraform Cloud variable 설정 (variable.tf)

-> 저는 편하게 Terraform Cloud를 사용했으나, 일반 terraform을 사용하신다면 variable.tf에 설정하시면 됩니다.

-> Access Key와 Secret Access Key는 'A' Account의 Credential을 넣어줍니다.

-> account 변수에는 리소스를 배포할 'B' Account Number을 넣어줍니다. (변수로 설정했기 때문에 'C', 'D' Account를 유동적으로 설정할 수도 있습니다.)

.

.

2. Terraform provider.tf 설정

(as-is)

(to-be)

-> account 변수는 위 1번에서 입력한 'B' Account가 설정되어 assume_role을 부여 받게 됩니다.

(해당 'B' Account의 Role은 'A' Account와 Trust Relationship이 맺어져 있어야 합니다. 자세한 내용은 지난번 포스팅 참고해 주시기 바랍니다.)

.

.

3. 테스트

1. 웹에서 변수값을 입력하고 Terraform API를 호출합니다.

   
   

   -> 현재는 service와 vpc_cidr 변수만 수정하도록 개발되어 기본값인 'B' Account에만 배포되지만, account 변수도 입력받은 값으로 수정하여 'C', 'D' Account로도 배포할 수 있습니다.

   .

2. Terraform Cloud가 Assume Role을 통해 'A' Account의 Credential을 가지고, 'B' Account로 프로비저닝을 수행합니다.

   
   

   .

3. 'B' Account 내에 입력한 변수 정보로 리소스가 구성되었습니다.