AWS CloudFormation ハンズオン手順書

1. CloudFormationとは（概念の整理）

IaC（Infrastructure as Code）とは

インフラの構成をコード（テキストファイル）として記述し、そのコードを実行することでAWSリソースを自動的に作成・変更・削除する仕組みです。

CloudFormationの主要概念

今回のハンズオンで学ぶこと

作成するインフラ構成

合計 12個 のリソースをテンプレート1つで一括作成します。

2. テンプレート構造の解説

テンプレートの骨格（YAML）

主要な組み込み関数（Intrinsic Functions）

リソースタイプの命名規則

リソースタイプは AWS::サービス名::リソース種別 の形式です。

今回使用するテンプレートのポイント解説

# AMI IDをハードコードせず、SSM Parameter StoreからAmazon Linux 2023の最新AMIを取得
ImageId: '{{resolve:ssm:/aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64}}'

UserData:
  Fn::Base64: !Sub |
    #!/bin/bash
    dnf update -y
    dnf install -y nginx
    systemctl enable nginx
    systemctl start nginx
    echo "<h1>${EnvironmentName} - WebServer 1</h1>" \
      > /usr/share/nginx/html/index.html

PublicRoute:
  Type: AWS::EC2::Route
  DependsOn: IGWAttachment  # IGWがVPCにアタッチされてからルート作成
  Properties:
    RouteTableId: !Ref PublicRouteTable
    DestinationCidrBlock: 0.0.0.0/0
    GatewayId: !Ref InternetGateway

3. 前提条件・事前準備

4. ハンズオン① スタックの作成

4-1. テンプレートファイルの準備

本手順書と同梱の cfn-handson.yaml をローカルPC上に保存します。テンプレートの全内容は以下のとおりです（コピー＆貼り付けも可能です）：

AWSTemplateFormatVersion: '2010-09-09'
Description: 'CFn Handson v1 - VPC + Public Subnets + EC2 x2 (Nginx)'

Parameters:
  EnvironmentName:
    Type: String
    Default: handson
    Description: リソース名のプレフィックス

  InstanceType:
    Type: String
    Default: t2.micro
    AllowedValues:
      - t2.micro
      - t2.small
      - t3.micro

Resources:

  # VPC
  VPC:
    Type: AWS::EC2::VPC
    Properties:
      CidrBlock: 10.0.0.0/16
      EnableDnsHostnames: true
      EnableDnsSupport: true
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-vpc

  # Internet Gateway
  InternetGateway:
    Type: AWS::EC2::InternetGateway
    Properties:
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-igw

  IGWAttachment:
    Type: AWS::EC2::VPCGatewayAttachment
    Properties:
      VpcId: !Ref VPC
      InternetGatewayId: !Ref InternetGateway

  # Subnets
  PublicSubnet1a:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId: !Ref VPC
      CidrBlock: 10.0.1.0/24
      AvailabilityZone: ap-northeast-1a
      MapPublicIpOnLaunch: true
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-subnet-public-1a

  PublicSubnet1c:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId: !Ref VPC
      CidrBlock: 10.0.2.0/24
      AvailabilityZone: ap-northeast-1c
      MapPublicIpOnLaunch: true
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-subnet-public-1c

  # Route Table
  PublicRouteTable:
    Type: AWS::EC2::RouteTable
    Properties:
      VpcId: !Ref VPC
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-rt-public

  PublicRoute:
    Type: AWS::EC2::Route
    DependsOn: IGWAttachment
    Properties:
      RouteTableId: !Ref PublicRouteTable
      DestinationCidrBlock: 0.0.0.0/0
      GatewayId: !Ref InternetGateway

  Subnet1aRouteAssoc:
    Type: AWS::EC2::SubnetRouteTableAssociation
    Properties:
      SubnetId: !Ref PublicSubnet1a
      RouteTableId: !Ref PublicRouteTable

  Subnet1cRouteAssoc:
    Type: AWS::EC2::SubnetRouteTableAssociation
    Properties:
      SubnetId: !Ref PublicSubnet1c
      RouteTableId: !Ref PublicRouteTable

  # Security Group
  WebServerSG:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: Web server security group
      VpcId: !Ref VPC
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 80
          ToPort: 80
          CidrIp: 0.0.0.0/0
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-sg-web

  # IAM Role (Session Manager)
  EC2SSMRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: !Sub ${EnvironmentName}-ec2-ssm-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

  EC2InstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Roles:
        - !Ref EC2SSMRole

  # EC2 Instance 1 (1a)
  WebServer1:
    Type: AWS::EC2::Instance
    Properties:
      ImageId: '{{resolve:ssm:/aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64}}'
      InstanceType: !Ref InstanceType
      SubnetId: !Ref PublicSubnet1a
      SecurityGroupIds:
        - !Ref WebServerSG
      IamInstanceProfile: !Ref EC2InstanceProfile
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-web-1a
        - Key: Version
          Value: v1
      UserData:
        Fn::Base64: !Sub |
          #!/bin/bash
          dnf update -y
          dnf install -y nginx
          systemctl enable nginx
          systemctl start nginx
          echo "<h1>${EnvironmentName} - WebServer 1 (1a) - v1</h1>" \
            > /usr/share/nginx/html/index.html

  # EC2 Instance 2 (1c)
  WebServer2:
    Type: AWS::EC2::Instance
    Properties:
      ImageId: '{{resolve:ssm:/aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64}}'
      InstanceType: !Ref InstanceType
      SubnetId: !Ref PublicSubnet1c
      SecurityGroupIds:
        - !Ref WebServerSG
      IamInstanceProfile: !Ref EC2InstanceProfile
      Tags:
        - Key: Name
          Value: !Sub ${EnvironmentName}-web-1c
        - Key: Version
          Value: v1
      UserData:
        Fn::Base64: !Sub |
          #!/bin/bash
          dnf update -y
          dnf install -y nginx
          systemctl enable nginx
          systemctl start nginx
          echo "<h1>${EnvironmentName} - WebServer 2 (1c) - v1</h1>" \
            > /usr/share/nginx/html/index.html

Outputs:
  VPCId:
    Description: 作成されたVPCのID
    Value: !Ref VPC
    Export:
      Name: !Sub ${EnvironmentName}-VpcId

  WebServer1IP:
    Description: WebServer1のパブリックIP
    Value: !GetAtt WebServer1.PublicIp

  WebServer2IP:
    Description: WebServer2のパブリックIP
    Value: !GetAtt WebServer2.PublicIp

  WebServer1URL:
    Description: WebServer1のURL
    Value: !Sub http://${WebServer1.PublicIp}

  WebServer2URL:
    Description: WebServer2のURL
    Value: !Sub http://${WebServer2.PublicIp}

4-2. コンソールでスタックを作成

4-3. イベントでスタック進捗を確認

4-4. 作成されたリソースを確認

4-5. OutputsでURLを確認・動作確認

5. ハンズオン② スタックの更新（変更セット）

テンプレートを修正してスタックを更新します。変更セット（Change Set） を使うことで、実際に更新を適用する前に「何が変わるか」を安全に確認できます。

5-1. v2テンプレートの変更点を確認

同梱の cfn-handson-v2.yaml では以下の3箇所を変更しています：

5-2. 変更セットの作成・確認・実行

6. ハンズオン③ スタックの削除

CFnの最大の利点のひとつ：スタックを削除するだけで作成したすべてのリソースが自動的に削除されます。

ドリフト検出（オプション：削除前に試してみよう）

スタック削除前に、わざとEC2のタグを手動で変更した後にドリフト検出を実行することで、CFnとAWSの実態のズレを検出できます。

7. 完了チェックリスト

概念の理解

• IaC（Infrastructure as Code）の概念を理解した
• テンプレート・スタック・リソース・パラメーター・アウトプットの意味を理解した
• !Ref / !Sub / !GetAtt / DependsOn の使い方を理解した
• 変更セットの目的と使い方を理解した
• インプレース更新と置き換え（Replacement）の違いを理解した

ハンズオン①：スタック作成

• cfn-handson.yaml をコンソールからアップロードした
• スタック名 cfn-handson-stack でスタックを作成した
• IAM承認のチェックボックスを入れた
• 「イベント」タブでリソースが順次 CREATE_COMPLETE になることを確認した
• 「リソース」タブで12個のリソースが一覧表示されることを確認した
• 「出力」タブの WebServer1URL / WebServer2URL を確認した
• ブラウザでEC2のURLにアクセスしNginxのページが表示されることを確認した

ハンズオン②：スタック更新

• cfn-handson-v2.yaml の変更点（SGルール追加・タグ変更・Output追加）を確認した
• 変更セット cfn-handson-changeset-v2 を作成した
• 変更セットの「置き換え: False」を確認してから実行した
• 「出力」タブに StackVersion: v2 が追加されたことを確認した

ハンズオン③：スタック削除

• （任意）ドリフト検出を実行しMODIFIEDが検出されることを確認した
• スタック削除を実行した
• スタックが DELETE_COMPLETE になりリストから消えることを確認した
• EC2・VPCが削除されていることを各コンソールで確認した