GitHub ActionsでTerraformのCI/CDパイプラインを構築する方法｜plan自動実行からapply承認フローまで

この記事のポイント

・PR作成時にterraform planを自動実行してレビュアーが差分を確認できる
・GitHub Environmentsで本番applyに承認フローを挟み誤操作を防ぐ
・OIDCを使いアクセスキー不要でAWSへ安全に認証する方法
・initの失敗・plan差分なし・OIDC認証エラーの典型的なトラブル対処法

# GitHubのOIDCプロバイダーURLとフィンガープリントを使って登録
aws iam create-open-id-connect-provider \
  --url https://token.actions.githubusercontent.com \
  --client-id-list sts.amazonaws.com \
  --thumbprint-list 6938fd4d98bab03faadb97b34396831e3780aea1

# 作成されたARNを確認する
aws iam list-open-id-connect-providers

# trust-policy.json の内容
# your-org/your-repo の部分を実際のリポジトリに変更する
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::123456789012:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
        },
        "StringLike": {
          "token.actions.githubusercontent.com:sub": "repo:your-org/your-repo:*"
        }
      }
    }
  ]
}

# IAMロールを作成
aws iam create-role \
  --role-name TerraformCIRole \
  --assume-role-policy-document file://trust-policy.json

# Terraformに必要な権限ポリシーをアタッチ（例: AdministratorAccess）
# 実際の運用では最小権限のカスタムポリシーを作成することを推奨
aws iam attach-role-policy \
  --role-name TerraformCIRole \
  --policy-arn arn:aws:iam::aws:policy/AdministratorAccess

# .github/workflows/terraform-plan.yml

name: Terraform Plan

on:
  pull_request:
    branches:
      - main
    paths:
      - '**.tf'
      - '**.tfvars'

permissions:
  contents: read
  id-token: write        # OIDCトークン取得に必要
  pull-requests: write   # PRコメントの投稿に必要

jobs:
  plan:
    name: Terraform Plan
    runs-on: ubuntu-latest

    defaults:
      run:
        working-directory: ./terraform  # tfファイルのあるディレクトリ

    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Configure AWS Credentials via OIDC
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::123456789012:role/TerraformCIRole
          aws-region: ap-northeast-1

      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: 1.8.5

      - name: Terraform Init
        id: init
        run: terraform init

      - name: Terraform Format Check
        id: fmt
        run: terraform fmt -check
        continue-on-error: true

      - name: Terraform Validate
        id: validate
        run: terraform validate

      - name: Terraform Plan
        id: plan
        run: terraform plan -no-color -out=tfplan 2>&1 | tee plan_output.txt
        continue-on-error: true

      # planの結果をPRコメントに投稿する
      - name: Post Plan Result to PR
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const planOutput = fs.readFileSync('./terraform/plan_output.txt', 'utf8');
            const truncated = planOutput.length > 60000
              ? planOutput.substring(0, 60000) + '\n... (出力が長すぎるため省略)'
              : planOutput;

            const body = `## Terraform Plan 結果

            #### Format: \`${{ steps.fmt.outcome }}\`
            #### Validate: \`${{ steps.validate.outcome }}\`
            #### Plan: \`${{ steps.plan.outcome }}\`

            
Plan の詳細を見る

            \`\`\`
            ${truncated}
            \`\`\`

            
`;

            github.rest.issues.createComment({
              issue_number: context.issue.number,
              owner: context.repo.owner,
              repo: context.repo.repo,
              body: body
            });

# .github/workflows/terraform-apply.yml

name: Terraform Apply

on:
  push:
    branches:
      - main
    paths:
      - '**.tf'
      - '**.tfvars'

permissions:
  contents: read
  id-token: write

jobs:
  apply:
    name: Terraform Apply
    runs-on: ubuntu-latest
    # GitHub Environmentsの「production」環境を指定
    # Required reviewersを設定することで承認フローが有効になる
    environment: production

    defaults:
      run:
        working-directory: ./terraform

    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Configure AWS Credentials via OIDC
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::123456789012:role/TerraformCIRole
          aws-region: ap-northeast-1

      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: 1.8.5

      - name: Terraform Init
        run: terraform init

      - name: Terraform Apply
        run: terraform apply -auto-approve -input=false

# initに必要なS3・DynamoDB操作権限の確認
# S3バケット: GetObject, PutObject, DeleteObject, ListBucket
# DynamoDB: GetItem, PutItem, DeleteItem（stateロック用）

# IAMポリシーのシミュレーションで確認する
aws iam simulate-principal-policy \
  --policy-source-arn arn:aws:iam::123456789012:role/TerraformCIRole \
  --action-names s3:GetObject s3:PutObject dynamodb:GetItem \
  --resource-arns arn:aws:s3:::your-tfstate-bucket/*

# 変数ファイルを明示して指定する
terraform plan -var-file="environments/prod.tfvars" -out=tfplan

# GitHub Secretsに格納したセンシティブ変数を渡す場合
terraform plan \
  -var="db_password=${{ secrets.DB_PASSWORD }}" \
  -out=tfplan

# 実際に受け取っているsub値を確認するには、ワークフローに以下を追加してログ確認する
- name: Debug OIDC Token Sub
  run: |
    echo "ACTIONS_ID_TOKEN_REQUEST_URL: $ACTIONS_ID_TOKEN_REQUEST_URL"
    TOKEN=$(curl -H "Authorization: bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
      "$ACTIONS_ID_TOKEN_REQUEST_URL" | jq -r .value)
    echo $TOKEN | cut -d '.' -f2 | base64 -d 2>/dev/null | jq .sub