cfn-signalの認証とネットワーク

2024/08/16

AWS CloudFormationヘルパースクリプトのcfn-signalがCloudFormationへシグナルを送信する際の、認証とネットワークについてご質問がありましたので調べてみました。

結論

認証は必要ありません。
CloudFormationのAPIエンドポイントへ到達できるネットワークが必要です。
プライベートサブネットのEC2インスタンスからは、NAT Gateway→Internet Gatewayか、CloudFormationのVPCエンドポイントが必要です。

cfn-signalのユーザーガイドにも「cfn-signal は認証情報を必要としない」と記載があるのですが、一応試してみました。

検証した構成

テンプレート

共通のテンプレートを使用し、スタック作成時に指定するサブネットをパブリックサブネットとプライベートサブネットで分けました。
オートスケーリンググループのCreationPolicyでシグナルを1つ待っています。
EC2インスタンスのユーザーデータでcfn-signalを実行しています。
EC2インスタンスにはIAMロールを設定していませんので、認証情報は与えていません。

AWSTemplateFormatVersion: 2010-09-09

Parameters:
  LatestAmiId:
    Description: The latest AMI
    Type: String
    Default: ami-0427090fd1714168b
  Subnets:
    Type: 'List<AWS::EC2::Subnet::Id>'
    Description: At least two public subnets in different Availability Zones in the selected VPC
  VPC:
    Type: 'AWS::EC2::VPC::Id'
    Description: A virtual private cloud (VPC) that enables resources in public subnets to connect to the internet

Resources:
  EC2SecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: EC2 Security Group
      VpcId: !Ref VPC
  LaunchTemplate:
    Type: AWS::EC2::LaunchTemplate
    Properties: 
      LaunchTemplateName: !Sub ${AWS::StackName}-launch-template
      LaunchTemplateData:
        ImageId: !Ref LatestAmiId
        InstanceType: t3.micro
        SecurityGroupIds: 
          - !Ref EC2SecurityGroup
        UserData:
            "Fn::Base64":
                !Sub |
                #!/bin/bash -xe
                yum update -y aws-cfn-bootstrap
                /opt/aws/bin/cfn-signal -e $? --stack ${AWS::StackName} --resource WebServerGroup --region ${AWS::Region}
  WebServerGroup:
    Type: AWS::AutoScaling::AutoScalingGroup
    Properties:
      LaunchTemplate:
        LaunchTemplateId: !Ref LaunchTemplate
        Version: !GetAtt LaunchTemplate.LatestVersionNumber
      MaxSize: '4'
      MinSize: '1'
      VPCZoneIdentifier: !Ref Subnets
    CreationPolicy:
        ResourceSignal:
            Count: '1'
            Timeout: PT10M

AWSTemplateFormatVersion: 2010-09-09

Parameters:

LatestAmiId:

Description: The latest AMI

Type: String

Default: ami-0427090fd1714168b

Subnets:

Type: 'List<AWS::EC2::Subnet::Id>'

Description: At least two public subnets in different Availability Zones in the selected VPC

VPC:

Type: 'AWS::EC2::VPC::Id'

Description: A virtual private cloud (VPC) that enables resources in public subnets to connect to the internet

Resources:

EC2SecurityGroup:

Type: AWS::EC2::SecurityGroup

Properties:

GroupDescription: EC2 Security Group

VpcId: !Ref VPC

LaunchTemplate:

Type: AWS::EC2::LaunchTemplate

Properties:

LaunchTemplateName: !Sub ${AWS::StackName}-launch-template

LaunchTemplateData:

ImageId: !Ref LatestAmiId

InstanceType: t3.micro

SecurityGroupIds:

- !Ref EC2SecurityGroup

UserData:

"Fn::Base64":

!Sub |

#!/bin/bash -xe

yum update -y aws-cfn-bootstrap

/opt/aws/bin/cfn-signal -e $? --stack ${AWS::StackName} --resource WebServerGroup --region ${AWS::Region}

WebServerGroup:

Type: AWS::AutoScaling::AutoScalingGroup

Properties:

LaunchTemplate:

LaunchTemplateId: !Ref LaunchTemplate

Version: !GetAtt LaunchTemplate.LatestVersionNumber

MaxSize: '4'

MinSize: '1'

VPCZoneIdentifier: !Ref Subnets

CreationPolicy:

ResourceSignal:

Count: '1'

Timeout: PT10M

結果

パブリックサブネットを指定して作成したスタックは無事作成が完了しました。

プライベートサブネットを指定して作成したスタックは、タイムアウト10分後に次のエラーでオートスケーリンググループの作成がCREATE_FAILEDになりロールバックしました。
Received 0 SUCCESS signal(s) out of 1. Unable to satisfy 100% MinSuccessfulInstancesPercent requirement

結局のところ認証は？

CloudTrailで該当のログを見てみました。

eventname: SignalResource
sourceipaddress: EC2のパブリックIPアドレス
useragent: CfnTools/2.0-30 (Linux-6.1.97-104.177.amzn2023.x86_64-x86_64-with-glibc2.34) python/3.9.16
userIdentity: {type=Unknown, principalid=, arn=null, accountid=123456789012, invokedby=null, accesskeyid=null, username=, sessioncontext=null}
{“stackName”:”PublicTest”,”logicalResourceId”:”WebServerGroup”,”uniqueId”:”i-059e89e7746dd04c7″,”status”:”SUCCESS”}

アカウントは指定していますが、匿名ユーザーとしてSignalResourceアクションを許可しているようですね。

最後までお読みいただきましてありがとうございました！

「AWS認定資格試験テキスト＆問題集　AWS認定ソリューションアーキテクト - プロフェッショナル改訂第2版」という本を書きました。