WindowでAWS CDKを使ってPythonでInfra as codeを試してみる（その２）

前回の続きでAWS CDKで実際にコードを書いていきます。やっと本番です。

本記事の内容

AWS CDKでコード書く前に
- 要件
- 必要なモジュールをインストールする
AWS CDKでコード書く
AWS CDK実行
スタックの確認
まとめ
Pythonのオススメ勉強方法

AWS CDKでコード書く前に

要件

それでは実際にコード書いてみますが、まず要件を確認して作成するAWSリソースについて整理します。

目的：Gitlabのバックアップを取得するためのS3 BucketとIAMユーザ(+Policy)を作成する
・空のS3 Bucketを作成
・バックアップ用のIAMユーザを作成して、S3へアップロードできる権限(Policy)を追加
・10日間で自動的に削除されるようにバケットポリシーを設定する

必要なモジュールをインストールする

はじめにAWS CDKからS3とIAMを操作するためのモジュールをインストールします。

> pip install aws_s3
> pip install aws_iam

AWS CDKでコード書く

次に実際のCDKのコードについてになります。
Pythonを使ったことがある方ならばCloudFormationに比べて読みやすいコードではないでしょうか。

PythonのCDKのサンプルはまだ少ないので、もし変な部分があった指摘いただければと思います。

今回はS3BucketやIAMユーザ、ポリシーはCDKで作成しますが、IAMユーザのAPIキーだけは手動で作成します。

※S3バケットは世界でユニークになる必要があるので変更してください。

from aws_cdk import (
    aws_s3 as s3,
    aws_iam as iam,
    core
)

class AwsGitlabBkStack(core.Stack):

    def __init__(self, scope: core.Construct, construct_id: str,
                 **kwargs) -> None:
        super().__init__(scope, construct_id, **kwargs)

        # Create s3 bucket for gitlab backup
        s3_bucket = s3.Bucket(self, 'syachiku-gitlab-bk',
                                bucket_name = "syachiku-gitlab-bk",
                                block_public_access = 
                                    s3.BlockPublicAccess(
                                        block_public_acls=True,
                                        block_public_policy=True,
                                        ignore_public_acls=True,
                                        restrict_public_buckets=True
                                    ),
                                lifecycle_rules = [{ "expiration": core.Duration.days(10),}],
                                removal_policy = core.RemovalPolicy.DESTROY
        )
        backup_user = iam.User(self, "gitlab-bk-user",
                user_name="gitlab-bk-user"
        )
        # Create IAM role for gitlab backup

        backup_policy_statement  = iam.PolicyStatement(
                                    actions = [
                                        "s3:PutObject",
                                        "s3:PutObjectAcl",
                                        "s3:GetObject",
                                        "s3:GetObjectAcl",
                                        "s3:DeleteObject"
                                     ],
                                    resources = [ s3_bucket.bucket_arn+"/*" ]
        )

        backup_policy = iam.Policy(self, "gitlab-bk-policy",
                                    policy_name = "gitlab-bk-polic",
                                    statements = [
                                        backup_policy_statement
                                    ],
                                    users = [
                                        backup_user
                                    ]
        )