TerraformでAWS VPCとEC2を構築する方法｜HCL記法とterraformコマンドの実践

この記事のポイント

・terraform aws vpcはHCLのresourceブロックで宣言的に定義する
・VPC→サブネット→IGW→ルートテーブルの順に依存関係を組む
・terraform plan で差分確認、apply で実際にAWSリソースが作成される
・tfstateはS3+DynamoDBでチーム共有するのが本番運用の鉄則

# HashiCorp の GPG キーとリポジトリを追加
sudo dnf install -y dnf-plugins-core
sudo dnf config-manager --add-repo https://rpm.releases.hashicorp.com/RHEL/hashicorp.repo

# Terraform をインストール
sudo dnf install -y terraform

# バージョン確認
terraform version
# Terraform v1.8.5
# on linux_amd64

# GPG キーとリポジトリを追加
wget -O- https://apt.releases.hashicorp.com/gpg | sudo gpg --dearmor -o /usr/share/keyrings/hashicorp-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/hashicorp-archive-keyring.gpg] https://apt.releases.hashicorp.com $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/hashicorp.list
sudo apt update && sudo apt install terraform

# バージョン確認
terraform version

# AWS CLI v2 のインストール（Linux x86_64）
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install

# バージョン確認
aws --version
# aws-cli/2.17.x Python/3.11.x Linux/6.1.x

# 認証情報を設定（アクセスキー・シークレットキーを入力）
aws configure
# AWS Access Key ID [None]: AKIA...
# AWS Secret Access Key [None]: xxxxxxxx
# Default region name [None]: ap-northeast-1
# Default output format [None]: json

# 作業ディレクトリを作成
mkdir ~/terraform-aws-vpc && cd ~/terraform-aws-vpc

# versions.tf
terraform {
  required_version = ">= 1.5.0"

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

# main.tf — プロバイダー設定
provider "aws" {
  region = "ap-northeast-1"  # 東京リージョン
}

# リソースブロックの基本形
resource "リソースタイプ" "ローカル名" {
  引数名 = 値
  引数名 = 値
}

# 例: VPCを作るリソースブロック
resource "aws_vpc" "main" {
  cidr_block = "10.0.0.0/16"
  tags = {
    Name = "main-vpc"
  }
}

# main.tf — VPC の定義
resource "aws_vpc" "main" {
  cidr_block           = "10.0.0.0/16"
  enable_dns_support   = true
  enable_dns_hostnames = true

  tags = {
    Name        = "main-vpc"
    Environment = "dev"
  }
}

# main.tf — パブリックサブネット
resource "aws_subnet" "public" {
  vpc_id                  = aws_vpc.main.id
  cidr_block              = "10.0.1.0/24"
  availability_zone       = "ap-northeast-1a"
  map_public_ip_on_launch = true

  tags = {
    Name = "public-subnet"
  }
}

# main.tf — インターネットゲートウェイ
resource "aws_internet_gateway" "main" {
  vpc_id = aws_vpc.main.id

  tags = {
    Name = "main-igw"
  }
}

# main.tf — ルートテーブル
resource "aws_route_table" "public" {
  vpc_id = aws_vpc.main.id

  route {
    cidr_block = "0.0.0.0/0"
    gateway_id = aws_internet_gateway.main.id
  }

  tags = {
    Name = "public-rt"
  }
}

# ルートテーブルとサブネットのアソシエーション
resource "aws_route_table_association" "public" {
  subnet_id      = aws_subnet.public.id
  route_table_id = aws_route_table.public.id
}

# main.tf — セキュリティグループ
resource "aws_security_group" "web" {
  name        = "web-sg"
  description = "Allow SSH and HTTP"
  vpc_id      = aws_vpc.main.id

  # インバウンド: SSH を許可（実務では自分のIPのみに制限すること）
  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]  # 本番では要注意: 自分のIPに制限すること
  }

  # インバウンド: HTTP を許可
  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  # アウトバウンド: すべて許可
  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }

  tags = {
    Name = "web-sg"
  }
}

# 自分のPC上でSSHキーペアを作成
ssh-keygen -t ed25519 -C "terraform-key" -f ~/.ssh/terraform-key
# ~/.ssh/terraform-key（秘密鍵）
# ~/.ssh/terraform-key.pub（公開鍵）

# main.tf — キーペアをAWSに登録
resource "aws_key_pair" "main" {
  key_name   = "terraform-key"
  public_key = file("~/.ssh/terraform-key.pub")
}

# Amazon Linux 2023 の最新 AMI ID を確認
aws ec2 describe-images \
  --owners amazon \
  --filters "Name=name,Values=al2023-ami-*-x86_64" \
            "Name=state,Values=available" \
  --query 'sort_by(Images, &CreationDate)[-1].ImageId' \
  --output text
# ami-0d4f40b5677cdf27c  （実際のIDは定期的に変わります）

# main.tf — data ブロックで最新 Amazon Linux 2023 AMI を動的取得
data "aws_ami" "amazon_linux_2023" {
  most_recent = true
  owners      = ["amazon"]

  filter {
    name   = "name"
    values = ["al2023-ami-*-x86_64"]
  }

  filter {
    name   = "virtualization-type"
    values = ["hvm"]
  }
}

resource "aws_instance" "web" {
  ami                    = data.aws_ami.amazon_linux_2023.id
  instance_type          = "t3.micro"
  key_name               = aws_key_pair.main.key_name
  subnet_id              = aws_subnet.public.id
  vpc_security_group_ids = [aws_security_group.web.id]

  # EBS ルートボリューム設定
  root_block_device {
    volume_size = 20
    volume_type = "gp3"
    encrypted   = true
  }

  tags = {
    Name        = "web-server"
    Environment = "dev"
  }
}

# outputs.tf
output "vpc_id" {
  description = "作成したVPCのID"
  value       = aws_vpc.main.id
}

output "public_subnet_id" {
  description = "パブリックサブネットのID"
  value       = aws_subnet.public.id
}

output "ec2_public_ip" {
  description = "EC2インスタンスのパブリックIP"
  value       = aws_instance.web.public_ip
}

# 作業ディレクトリで初期化
cd ~/terraform-aws-vpc
terraform init

# 実際の出力例:
# Initializing the backend...
# Initializing provider plugins...
# - Finding hashicorp/aws versions matching "~> 5.0"...
# - Installing hashicorp/aws v5.55.0...
# - Installed hashicorp/aws v5.55.0 (signed by HashiCorp)
#
# Terraform has been successfully initialized!

terraform plan

# 実際の出力例（一部）:
# Terraform will perform the following actions:
#
#   # aws_instance.web will be created
#   + resource "aws_instance" "web" {
#       + ami           = "ami-0d4f40b5677cdf27c"
#       + instance_type = "t3.micro"
#       ...
#     }
#
#   # aws_vpc.main will be created
#   + resource "aws_vpc" "main" {
#       + cidr_block = "10.0.0.0/16"
#       ...
#     }
#
# Plan: 8 to add, 0 to change, 0 to destroy.

# 実行計画をファイルに保存（推奨）
terraform plan -out=tfplan

# 保存した計画を適用
terraform apply tfplan

terraform apply

# 確認プロンプトが出る
# Do you want to perform these actions?
#   Enter a value: yes

# 適用後の実際の出力例:
# Apply complete! Resources: 8 added, 0 changed, 0 destroyed.
#
# Outputs:
#
# ec2_public_ip = "54.249.xxx.xxx"
# public_subnet_id = "subnet-0abc12345def67890"
# vpc_id = "vpc-0123456789abcdef0"

# SSH 接続確認（applyで表示されたIPを使用）
ssh -i ~/.ssh/terraform-key ec2-user@54.249.xxx.xxx

# 実際の接続成功例:
#    ,     #_
#    ~\_  ####_        Amazon Linux 2023
#   ~~  \_#####\
#   ~~     \###|
#   ~~       \#/ ___   https://aws.amazon.com/linux/amazon-linux-2023
# [ec2-user@ip-10-0-1-xxx ~]$

terraform destroy
# Do you really want to destroy all resources?
#   Enter a value: yes
#
# Destroy complete! Resources: 8 destroyed.

# versions.tf に backend の設定を追加
terraform {
  required_version = ">= 1.5.0"

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }

  backend "s3" {
    bucket         = "my-terraform-state-bucket"  # 事前に作成したS3バケット名
    key            = "vpc-ec2/terraform.tfstate"
    region         = "ap-northeast-1"
    dynamodb_table = "terraform-state-lock"       # DynamoDBテーブル名（LockID属性が必要）
    encrypt        = true
  }
}

# S3 バケット作成（バージョニング有効化を推奨）
aws s3api create-bucket \
  --bucket my-terraform-state-bucket \
  --region ap-northeast-1 \
  --create-bucket-configuration LocationConstraint=ap-northeast-1

# バージョニングを有効化（tfstateの誤削除・上書きを防ぐ）
aws s3api put-bucket-versioning \
  --bucket my-terraform-state-bucket \
  --versioning-configuration Status=Enabled

# DynamoDB テーブル作成（排他ロック用）
aws dynamodb create-table \
  --table-name terraform-state-lock \
  --attribute-definitions AttributeName=LockID,AttributeType=S \
  --key-schema AttributeName=LockID,KeyType=HASH \
  --billing-mode PAY_PER_REQUEST \
  --region ap-northeast-1

# .gitignore の設定内容
.terraform/
terraform.tfstate
terraform.tfstate.backup
*.tfvars        # 機密情報を含む変数ファイル
# 注意: .terraform.lock.hcl は commit すること（Providerバージョン固定のため）

# エラー例
Error: creating VPC: UnauthorizedOperation: You are not authorized to perform this operation.
        status code: 403

# エラー例
Error: Error acquiring the state lock
Error message: ConditionalCheckFailedException
Lock Info:
  ID:        xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  Operation: OperationTypeApply
  Who:       user@hostname

# ロックを強制解除
terraform force-unlock xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# エラー例
Error: InvalidAMIID.NotFound: The image id 'ami-xxxxxxxxxxxxxxxxx' does not exist

# エラー例
Error: creating VPC: InvalidVpc.Conflict: The CIDR '10.0.0.0/16' conflicts
with another VPC in the same region.

# エラー例
Error: waiting for EC2 Instance (i-xxxxxxxxxxxxxxxxx) create: timeout while waiting
for state to become 'running'