CloudFormation CI/CD（CodePipeline）ハンズオン

S3 バケットと DynamoDB テーブルを定義した、無料枠内の安全なテンプレートです。

AWSTemplateFormatVersion: '2010-09-09'
Description: Handson IaC CI/CD sample stack (S3 + DynamoDB)

Resources:
  SampleBucket:
    Type: AWS::S3::Bucket
    Properties:
      VersioningConfiguration:
        Status: Enabled
      PublicAccessBlockConfiguration:
        BlockPublicAcls: true
        BlockPublicPolicy: true
        IgnorePublicAcls: true
        RestrictPublicBuckets: true

  SampleTable:
    Type: AWS::DynamoDB::Table
    Properties:
      BillingMode: PAY_PER_REQUEST
      AttributeDefinitions:
        - AttributeName: id
          AttributeType: S
      KeySchema:
        - AttributeName: id
          KeyType: HASH

Outputs:
  BucketName:
    Value: !Ref SampleBucket
  TableName:
    Value: !Ref SampleTable

テンプレートを validate-template と cfn-lint で検証し、成果物として次ステージへ渡します。

version: 0.2

phases:
  install:
    runtime-versions:
      python: 3.12
    commands:
      - pip install cfn-lint
  build:
    commands:
      - echo "Validating template..."
      - aws cloudformation validate-template --template-body file://template.yaml
      - cfn-lint template.yaml

artifacts:
  files:
    - template.yaml

2 ファイルを main ブランチに push しておきます。

CodePipeline コンソール → 左メニュー 「設定」→「接続」 →「接続を作成」。

「GitHub に接続」→ 「AWS Connector for GitHub」アプリのインストールを許可し、対象リポジトリを選択します。接続のステータスが 利用可能（Available） になれば完了です。

IAM → ロール → ロールを作成 → カスタム信頼ポリシー。CloudFormation サービスが引き受けられるようにします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "Service": "cloudformation.amazonaws.com" },
      "Action": "sts:AssumeRole"
    }
  ]
}

テンプレートが作る S3 と DynamoDB を操作できる権限を付与します（ハンズオンでは管理ポリシー、本番では最小権限を推奨）。

• AmazonS3FullAccess
• AmazonDynamoDBFullAccess

作成後、ロール ARN（arn:aws:iam::<account-id>:role/handson-iac-cfn-role）を控えます。

CodeBuild → ビルドプロジェクトを作成。

ソースは後で CodePipeline から渡されるため、ここでは「ソースなし／後で設定」でも構いません（パイプライン作成時に CodeBuild ステージとして組み込みます）。

Source プロバイダー：接続 handson-iac-connection → リポジトリ handson-iac → ブランチ main。出力アーティファクト名は SourceArtifact とします。

プロバイダー AWS CodeBuild → プロジェクト handson-iac-validate。入力 SourceArtifact、出力 BuildArtifact。

アクションプロバイダー AWS CloudFormation を追加し、次のように設定します。

同じ Deploy ステージに、変更セット作成アクションの後段として手動承認アクションを追加します。

（任意）SNS トピックを指定すると承認依頼を通知できます。

承認の後段に、もう 1 つ CloudFormation アクションを追加します。

パイプライン作成後、自動的に 1 回目が走ります。Source → Build と進み、CreateChangeSet で変更セットが作られると ReviewChangeSet で停止します。

CloudFormation コンソール → スタック handson-iac-stack →「変更セット」タブで handson-iac-changeset を開き、追加されるリソース（S3・DynamoDB）を確認します。問題なければ CodePipeline に戻り、「レビュー」→「承認」します。

リポジトリの template.yaml を編集して push し、変更セットに差分が出ることを確認します。例：DynamoDB にタグを追加。

  SampleTable:
    Type: AWS::DynamoDB::Table
    Properties:
      BillingMode: PAY_PER_REQUEST
      Tags:
        - Key: Project
          Value: handson-iac
      AttributeDefinitions:
        - AttributeName: id
          AttributeType: S
      KeySchema:
        - AttributeName: id
          KeyType: HASH

push 後、パイプラインが再実行され、変更セットに [~] Modify として差分が表示されます。承認すると適用されます。