CloudFormation CI/CD（GitHub Actions）ハンズオン

📋 概要

このハンズオンでは、GitHub Actions だけで CloudFormation テンプレート（IaC）の CI/CD を実装します。OIDC によりアクセスキーを保存せずに AWS へ認証し、cfn-lint で検証、変更セットで差分を作成、GitHub Environments の承認を経てデプロイします。AWS ネイティブの CodePipeline 版と対になる構成です。

🏗️ アーキテクチャ

作成するリソース

✅ 前提条件

• GitHub アカウントとリポジトリ作成権限があること
• AWS アカウントで IAM（OIDC プロバイダ / ロール）・CloudFormation を操作できること
• 承認ゲート（Required reviewers）には GitHub の Organization、または Pro/Team 以上のプランが必要です（個人 Free プランの Private リポジトリでは Environments の保護ルールが使えない場合があります。その場合は Public リポジトリにするか承認ステップを省略）
• 作業リージョンを ap-northeast-1（東京） に固定すること

📁 ステップ 1 ― リポジトリとテンプレートの準備

GitHub に handson-iac を作成し、template.yaml を置きます（CodePipeline 版と同じ内容）。

AWSTemplateFormatVersion: '2010-09-09'
Description: Handson IaC CI/CD sample stack (S3 + DynamoDB)

Resources:
  SampleBucket:
    Type: AWS::S3::Bucket
    Properties:
      VersioningConfiguration:
        Status: Enabled
      PublicAccessBlockConfiguration:
        BlockPublicAcls: true
        BlockPublicPolicy: true
        IgnorePublicAcls: true
        RestrictPublicBuckets: true

  SampleTable:
    Type: AWS::DynamoDB::Table
    Properties:
      BillingMode: PAY_PER_REQUEST
      AttributeDefinitions:
        - AttributeName: id
          AttributeType: S
      KeySchema:
        - AttributeName: id
          KeyType: HASH

Outputs:
  BucketName:
    Value: !Ref SampleBucket
  TableName:
    Value: !Ref SampleTable

🔑 ステップ 2 ― IAM OIDC プロバイダの作成

🔐 ステップ 3 ― GitHub Actions 用 IAM ロール

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::<account-id>:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
        },
        "StringLike": {
          "token.actions.githubusercontent.com:sub": "repo:<your-org>/handson-iac:*"
        }
      }
    }
  ]
}

🛡️ ステップ 4 ― 承認ゲート（GitHub Environments）

⚙️ ステップ 5 ― ワークフローの作成

リポジトリに .github/workflows/deploy.yml を作成します。<account-id> は自分の AWS アカウント ID に置き換えてください。

name: Deploy CloudFormation (IaC CI/CD)

on:
  push:
    branches: [ main ]

permissions:
  id-token: write   # OIDC に必須
  contents: read

env:
  AWS_REGION: ap-northeast-1
  STACK_NAME: handson-iac-stack
  ROLE_ARN: arn:aws:iam::<account-id>:role/handson-iac-gha-role

jobs:
  validate:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: pip install cfn-lint
      - run: cfn-lint template.yaml

  plan:
    needs: validate
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ env.ROLE_ARN }}
          aws-region: ${{ env.AWS_REGION }}
      - name: Create change set (preview)
        run: |
          aws cloudformation deploy \
            --template-file template.yaml \
            --stack-name "$STACK_NAME" \
            --no-execute-changeset \
            --no-fail-on-empty-changeset

  deploy:
    needs: plan
    runs-on: ubuntu-latest
    environment: production   # ← 承認ゲート（Required reviewers）
    steps:
      - uses: actions/checkout@v4
      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ env.ROLE_ARN }}
          aws-region: ${{ env.AWS_REGION }}
      - name: Deploy stack
        run: |
          aws cloudformation deploy \
            --template-file template.yaml \
            --stack-name "$STACK_NAME" \
            --no-fail-on-empty-changeset

✅ ステップ 6 ― 動作確認

      Tags:
        - Key: Project
          Value: handson-iac

🧹 クリーンアップ

1. デプロイ対象スタックを削除：CloudFormation → handson-iac-stack（S3 にオブジェクトがあれば先に空にする）
2. IAM ロールを削除：handson-iac-gha-role
3. IAM OIDC プロバイダを削除：他で使っていなければ token.actions.githubusercontent.com を削除
4. GitHub の Environment / リポジトリ：不要なら production 環境やリポジトリを削除

学習のまとめ