AWSアクセスキーの管理方法のベストプラクティスの勉強とGo SDK実装のコードリーディング

結論

アプリ実行用サーバにアクセスキーを持たせて、各AWSリソースにアクセスするやり方はできるだけ避ける。

代わりにIAM RoleやSTSを使って一時的な認証を行うことができるのでそちらでできるだけ代替する。

具体的には、以下の順に推奨されていた。

EC2のインスタンスプロファイルによってEC2内のアプリケーションに一時的な認証情報を付与する。

つまりインスタンスプロファイルに必要なアクセス権限を持たせたIAM Roleを紐づければいい。

AWS CDKとAWS CLIはこの認証情報をインスタンスプロファイルから自動的に取得してくれる。

認証情報を取得するのは以下のコード実行時らしい。


cfg, err := config.LoadDefaultConfig(context.TODO())
if err != nil {
  log.Fatalf("failed to load configuration, %v", err)
}

第１引数: context.TODO()
- context.Context型を引数にとるメソッドに渡したいcontextの実装がない or 決まっていない場合に暫定的にcontext.Contextを渡すためだけに使用している。（参照）
第2引数: config.WithRegion("us-west-2")
- LoadOptionsFunc型（…func(*LoadOptions) error）を引数に取る
  - １
  - config.LoadDefaultConfigは実行されると、LoadOptions構造体のfieldに関数の実装を差し込むLoadOptionsFunc型の関数を返す。（この時点で実行はまだされない）
  - その後、LoadOptionsFunc型の関数はloopによって空のLoadOptions構造体を引数に受け、「LoadOptions構造体のfieldに関数の実装を差し込む」が実行される。
  - 上記流れでLoadOptions構造体に関数がセットされる。
  - ２
  - LoadOptions構造体はConfigs型に埋め込まれる
  - 外部の設定値をConfigにロードする
  - ３
  - ConfigsはAWSResolverによってaws.Configに変換され、これが返り値となる。
あとは****imds**** packageにaws.Configを渡せばそのfield通りにEC2内のデータを取得できる。
- imds package内のIAMInfo構造体でinstance profileの値は受け取ってそう
- 時間があればこの先もそのうち調べてみる

どうやら以下順番で認証情報の読み込みを行うらしい（参照）