[IaC] Terraform Module로 AWS IAM과 Security Group 생성

GitHub - 5a6io/OliveSafety: Cloud Wave 3기 프로젝트 olivesafety

Cloud Wave에서 프로젝트를 수행했을 때 콘솔로 작업해 Terraform 코드로 작성해보려고 한다. 먼저 Network와 관련된 모듈을 생성해보겠다.

📌모듈 구성에 필요한 리소스

• IAM: aws_iam_role, aws_iam_role_policy_attachment
• Security Group: aws_security_gruop

---

⚙️IAM 모듈

main.tf

# EKS Cluster
resource "aws_iam_role" "cluster" {
  name = "${var.project_name}-cluster-role"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
        {
            Action = [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
            Effect = "Allow"
            Principal = {
                Service = "eks.amazonaws.com"
            }
        },
    ]
  })

  tags = merge(var.common_tags, {
    Name = "${var.project_name}-cluster-role"
  })
}

# EKS Node Group
resource "aws_iam_role_policy_attachment" "AmazonEKSClusterPolicy" {
  policy_arn = "arn:aws:iam::aws:policy/AmazonEKSClusterPolicy"
  role = aws_iam_role.cluster.name
}

resource "aws_iam_role" "node" {
  name = "${var.project_name}-node-role"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
            Service = "ec2.amazonaws.com"
        }
    }]
  })

  tags = merge(var.common_tags, {
    Name = "${var.project_name}-node-role"
  })
}

resource "aws_iam_role_policy_attachment" "AmazonEKSWorkerNodePolicy" {
  policy_arn = "arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy"
  role = aws_iam_role.node.name
}

resource "aws_iam_role_policy_attachment" "AmazonEKS_CNI_Policy" {
  policy_arn = "arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy"
  role = aws_iam_role.node.name
}

resource "aws_iam_role_policy_attachment" "AmazonEC2ContainerRegistryReadOnly" {
  policy_arn = "arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly"
  role       = aws_iam_role.example.name
}

variables.tf

variable "project_name" {
  type = string
}

variable "common_tags" {
  type = map(string)
  default = {}
}

위에서는 role만 만들었지만 이외에도 user나 group도 가능하다. 그렇지만 나는 리소스에 대한 role만 필요하기 때문에 role을 작성했다.우선 EKS 클러스터와 노드 관련 Role만 정리해두었다. 추후에 더 필요한 role이 있다면 추가할 예정이다. 그리고 outputs.tf도 필요하다면 추가할 예정이다.

⚙️Security Group 모듈

main.tf

# EKS
resource "aws_security_group" "sg_eks" {
    name = "${var.project_name}-sg-eks"
    vpc_id = var.vpc_id

    tags = merge(var.common_tags, {
        name = "${var.project_name}-sg-eks"
    })
}

resource "aws_vpc_security_group_ingress_rule" "eks_ingress" {
    security_group_id = aws_security_group.sg_eks.id
    from_port = "포트 번호"
    ip_protocol = "tcp"
    to_port = "포트 번호"
    tags = merge(var.common_tags, {
        Name = "${var.project_name}-eks-ingress"
    })
}

# RDS
resource "aws_security_group" "sg_rds" {
    name = "${var.project_name}-sg-rds"
    vpc_id = var.vpc_id
    tags = merge(var.common_tags, {
        Name = "${var.project_name}-sg-rds"
    })
}

resource "aws_vpc_security_group_ingress_rule" "rds_ingress" {
    security_group_id = aws_security_group.sg_rds.id
    from_port = "포트 번호"
    ip_protocol = "tcp"
    to_port = "포트 번호"
    tags = merge(var.common_tags, {
    Name = "${var.project_name}-rds-ingress"
  })
}

outputs.tf

output "sg_eks" {
  value = aws_security_group.sg_eks.id
}

output "sg_rds" {
  value = aws_security_group.sg_rds.id
}

variables.tf

variable "project_name" {
  type = string
}

variable "common_tags" {
  type = map(string)
  default = {}
}

variable "vpc_id" {
  type = string
}

---

📌모듈 생성

02-security.tf

module "iam" {
  source = "../modules/security/iam"
  project_name = var.project_name
  common_tags = var.common_tags
}

module "sg" {
  source = "../modules/security/security-group"
  project_name = var.project_name
  common_tags = var.common_tags
  vpc_id = module.vpc.vpc_id
}

이렇게 사용하고자 하는 모듈을 호출하면 된다. 그리고 다른 모듈에서 사용할 때 modules.iam이나 modules.sg로 호출하면 된다.

---

다음에는 EKS와 ECS에 대해서 작성하고자 한다. EKS는 Cloud Wave 프로젝트에서 한 내용을 기반으로 작성하겠다. 그리고 ECS는 최근 Softbank Hackathon에서 수행한 내용을 기반으로 하겠다.

작성한 코드는 아래 깃허브에서 볼 수 있습니다.

GitHub - 5a6io/Cloud-Wave-Project-Terraform: Cloud Wave 3기 프로젝트 Terraform 코드