AnsibleでEC2インスタンスを自動作成・管理するPlaybook設計入門｜amazon.awsコレクションとec2_instanceモジュールの使い方

この記事のポイント

・amazon.aws.ec2_instanceモジュール1つでEC2を冪等に作成・管理できる
・VPC・サブネット・SGもAnsibleで構築しIDをregister変数で受け渡せる
・IAM認証はIAMロール・環境変数・Vaultから選択——Playbookに認証情報を書かない
・add_hostでプロビジョニング直後から設定Playbookを続けて流せる
・aws_ec2プラグインの動的インベントリで既存EC2を自動管理できる
・本番適用前に--checkオプションでドライランし変更内容を事前確認する
・pre_tasks/post_tasksでEC2作成の前後確認を構造化できる
・roleとして実装するとEC2プロビジョニングを複数プロジェクトで再利用できる

# boto3・botocoreをインストールする
pip install boto3 botocore

# amazon.awsコレクションをインストールする（バージョン8.x系）
ansible-galaxy collection install amazon.aws

# インストール確認
ansible-galaxy collection list | grep amazon.aws

# collections/requirements.yml — チームでバージョンを統一する
---
collections:
  - name: amazon.aws
    version: ">=8.0.0,<9.0.0"

# インストールコマンド
ansible-galaxy collection install -r collections/requirements.yml

# 環境変数で認証する場合（.envファイルなどで管理する）
export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
export AWS_DEFAULT_REGION=ap-northeast-1

# credentialsファイルのプロファイルを切り替える場合
export AWS_PROFILE=myproject-prod

# Ansible Vaultで暗号化する場合（group_vars/all/vault.yml）
# ansible-vault encrypt group_vars/all/vault.yml で暗号化してからコミットする
aws_access_key_id: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          ...（暗号化された値）...
aws_secret_access_key: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          ...（暗号化された値）...
aws_region: ap-northeast-1

# 認証情報の疎通確認（AnsibleもbotocoreのSDKを使うため同じ結果になる）
$ aws sts get-caller-identity
{
    "UserId": "AIDAXXXXXXXXXXXXXXXX",
    "Account": "123456789012",
    "Arn": "arn:aws:iam::123456789012:role/ansible-ec2-role"
}

// IAMポリシーJSON例（EC2プロビジョニング用最小権限）
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:RunInstances",
        "ec2:DescribeInstances",
        "ec2:StopInstances",
        "ec2:StartInstances",
        "ec2:TerminateInstances",
        "ec2:CreateTags",
        "ec2:DescribeVpcs",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups",
        "ec2:CreateVpc",
        "ec2:CreateSubnet",
        "ec2:CreateSecurityGroup",
        "ec2:DescribeInternetGateways",
        "ec2:CreateInternetGateway",
        "ec2:AttachInternetGateway",
        "ec2:CreateRouteTable",
        "ec2:CreateRoute",
        "ec2:AssociateRouteTable"
      ],
      "Resource": "*"
    }
  ]
}

# playbooks/create_network.yml
---
- name: VPC・サブネット・セキュリティグループを作成する
  hosts: localhost
  connection: local
  gather_facts: false

  vars:
    aws_region: ap-northeast-1
    env_name: production
    vpc_cidr: "10.0.0.0/16"
    public_subnet_cidr: "10.0.1.0/24"
    private_subnet_cidr: "10.0.2.0/24"

  tasks:
    - name: VPCを作成する
      amazon.aws.ec2_vpc_net:
        name: "{{ env_name }}-vpc"
        cidr_block: "{{ vpc_cidr }}"
        region: "{{ aws_region }}"
        tags:
          Environment: "{{ env_name }}"
          ManagedBy: ansible
        state: present
      register: vpc_result

    - name: パブリックサブネットを作成する
      amazon.aws.ec2_vpc_subnet:
        vpc_id: "{{ vpc_result.vpc.id }}"
        cidr: "{{ public_subnet_cidr }}"
        az: "{{ aws_region }}a"
        map_public_ip_on_launch: true
        tags:
          Name: "{{ env_name }}-public-1a"
          Tier: public
        state: present
      register: public_subnet_result

    - name: プライベートサブネットを作成する
      amazon.aws.ec2_vpc_subnet:
        vpc_id: "{{ vpc_result.vpc.id }}"
        cidr: "{{ private_subnet_cidr }}"
        az: "{{ aws_region }}a"
        map_public_ip_on_launch: false
        tags:
          Name: "{{ env_name }}-private-1a"
          Tier: private
        state: present
      register: private_subnet_result

    # インターネットゲートウェイを作成してVPCにアタッチする
    - name: インターネットゲートウェイを作成する
      amazon.aws.ec2_vpc_igw:
        vpc_id: "{{ vpc_result.vpc.id }}"
        region: "{{ aws_region }}"
        tags:
          Name: "{{ env_name }}-igw"
          Environment: "{{ env_name }}"
        state: present
      register: igw_result

    # パブリックサブネット用のルートテーブルを作成する
    - name: パブリックルートテーブルを作成する
      amazon.aws.ec2_vpc_route_table:
        vpc_id: "{{ vpc_result.vpc.id }}"
        region: "{{ aws_region }}"
        subnets:
          - "{{ public_subnet_result.subnet.id }}"
        routes:
          - dest: "0.0.0.0/0"
            gateway_id: "{{ igw_result.gateway_id }}"
        tags:
          Name: "{{ env_name }}-public-rtb"
          Environment: "{{ env_name }}"
        state: present

    # Webサーバー用SG（HTTP/HTTPSを全許可）
    - name: Webサーバー用セキュリティグループを作成する
      amazon.aws.ec2_security_group:
        name: "{{ env_name }}-web-sg"
        description: "Web servers (HTTP/HTTPS inbound)"
        vpc_id: "{{ vpc_result.vpc.id }}"
        rules:
          - proto: tcp
            from_port: 80
            to_port: 80
            cidr_ip: "0.0.0.0/0"
          - proto: tcp
            from_port: 443
            to_port: 443
            cidr_ip: "0.0.0.0/0"
        rules_egress:
          - proto: all
            cidr_ip: "0.0.0.0/0"
        tags:
          Name: "{{ env_name }}-web-sg"
          Environment: "{{ env_name }}"
        state: present
      register: web_sg_result

    # DBサーバー用SG（Webサーバーからのみ3306を許可）
    - name: DBサーバー用セキュリティグループを作成する
      amazon.aws.ec2_security_group:
        name: "{{ env_name }}-db-sg"
        description: "Database (MySQL from web-sg only)"
        vpc_id: "{{ vpc_result.vpc.id }}"
        rules:
          - proto: tcp
            from_port: 3306
            to_port: 3306
            # IPアドレスではなくWebサーバーSGのIDを参照する
            group_id: "{{ web_sg_result.group_id }}"
        rules_egress:
          - proto: all
            cidr_ip: "0.0.0.0/0"
        tags:
          Name: "{{ env_name }}-db-sg"
          Environment: "{{ env_name }}"
        state: present

# playbooks/provision_ec2.yml
---
- name: EC2インスタンスを1台起動する（動作確認用）
  hosts: localhost
  connection: local
  gather_facts: false

  tasks:
    - name: Webサーバー用EC2インスタンスを作成・起動する
      amazon.aws.ec2_instance:
        name: "web-test-01"
        image_id: "ami-0a0000000000aaaaa"    # Amazon Linux 2023 ap-northeast-1
        instance_type: "t3.micro"
        key_name: "my-ec2-keypair"
        security_groups:
          - "default"
        vpc_subnet_id: "subnet-0abc12345678"
        state: present
        region: ap-northeast-1
        tags:
          Environment: test
          Role: webserver
      register: ec2_result

    - name: 起動結果のIPアドレスを表示する
      ansible.builtin.debug:
        msg: "インスタンスID: {{ ec2_result.instances[0].instance_id }}  プライベートIP: {{ ec2_result.instances[0].private_ip_address }}"

$ ansible-playbook playbooks/provision_ec2.yml

PLAY [EC2インスタンスを1台起動する（動作確認用）] ***

TASK [Webサーバー用EC2インスタンスを作成・起動する] ***
changed: [localhost]

TASK [起動結果のIPアドレスを表示する] ***
ok: [localhost] => {
    "msg": "インスタンスID: i-0abc12345678abcde  プライベートIP: 10.0.1.50"
}

PLAY RECAP ***
localhost                  : ok=2    changed=1

# ディレクトリ構成
provision/
├── playbooks/
│   └── provision_ec2.yml
├── group_vars/
│   ├── all.yml          # 共通設定（AMI ID、リージョン、キーペア名）
│   ├── development.yml  # dev環境: t3.micro、devサブネット
│   └── production.yml   # prod環境: t3.medium、prodサブネット
└── inventory/
    └── localhost.yml

# group_vars/all.yml
aws_region: ap-northeast-1
ec2_ami_id: "ami-0a0000000000aaaaa"   # Amazon Linux 2023
ec2_key_name: "my-ec2-keypair"
ec2_security_groups:
  - "web-sg"

# group_vars/development.yml
env_name: development
ec2_instance_type: t3.micro
ec2_subnet_id: "subnet-0dev123456789"
ec2_allow_terminate: true     # 開発環境は誤削除ガードなし

# group_vars/production.yml
env_name: production
ec2_instance_type: t3.medium
ec2_subnet_id: "subnet-0prod12345678"
ec2_allow_terminate: false    # 本番環境は削除タスクをガードする

# playbooks/provision_ec2.yml
---
- name: EC2インスタンスを環境別にプロビジョニングする
  hosts: localhost
  connection: local
  gather_facts: false

  # 実行時に -e "env=development" または -e "env=production" で切り替える
  vars:
    env: "{{ lookup('env', 'TARGET_ENV') | default('development') }}"

  tasks:
    - name: 環境別のgroup_varsを読み込む
      ansible.builtin.include_vars:
        file: "group_vars/{{ env }}.yml"

    - name: Webサーバー用EC2インスタンスを作成する
      amazon.aws.ec2_instance:
        name: "web-{{ env_name }}-01"
        image_id: "{{ ec2_ami_id }}"
        instance_type: "{{ ec2_instance_type }}"
        key_name: "{{ ec2_key_name }}"
        security_groups: "{{ ec2_security_groups }}"
        vpc_subnet_id: "{{ ec2_subnet_id }}"
        state: present
        region: "{{ aws_region }}"
        tags:
          Environment: "{{ env_name }}"
          Role: webserver
          ManagedBy: ansible
      register: ec2_result

    - name: インスタンス情報を変数に保持する
      ansible.builtin.set_fact:
        provisioned_private_ip: "{{ ec2_result.instances[0].private_ip_address }}"
        provisioned_instance_id: "{{ ec2_result.instances[0].instance_id }}"

    - name: 起動結果を表示する
      ansible.builtin.debug:
        msg:
          - "環境: {{ env_name }}"
          - "インスタンスID: {{ provisioned_instance_id }}"
          - "プライベートIP: {{ provisioned_private_ip }}"

# 開発環境のEC2を起動する
ansible-playbook playbooks/provision_ec2.yml -e "env=development"

# 本番環境のEC2を起動する
ansible-playbook playbooks/provision_ec2.yml -e "env=production"

# 本番環境のEC2を停止する（stateをstopped に変更）
ansible-playbook playbooks/provision_ec2.yml -e "env=production" -e "ec2_state=stopped"

# STEP1: --checkでドライランを実行して変更内容を確認する
$ ansible-playbook playbooks/provision_ec2.yml -e "env=production" --check

PLAY [EC2インスタンスを環境別にプロビジョニングする] ***

TASK [Webサーバー用EC2インスタンスを作成する] ***
changed: [localhost]       # 変更が発生する予定（まだ何もしていない）

PLAY RECAP ***
localhost  : ok=2  changed=1  unreachable=0  failed=0  skipped=0

# STEP2: 内容を確認してから本番適用する
$ ansible-playbook playbooks/provision_ec2.yml -e "env=production"

# 削除タスクに条件ガードをつける
- name: EC2インスタンスを削除する（本番では実行されない）
  amazon.aws.ec2_instance:
    name: "web-{{ env_name }}-01"
    region: "{{ aws_region }}"
    state: terminated
  when: ec2_allow_terminate | bool

# 本番環境で削除しようとするとスキップされる
# TASK [EC2インスタンスを削除する（本番では実行されない）] ***
# skipping: [localhost]  ← ec2_allow_terminate: false で保護される

# pre_tasks・post_tasksを組み込んだEC2プロビジョニングPlaybook例
---
- name: EC2インスタンスを前後確認付きで作成する
  hosts: localhost
  connection: local
  gather_facts: false

  pre_tasks:
    # 必須変数が空でないことを確認する（変数が未設定のまま本番を実行しないための安全装置）
    - name: 必須変数の存在を確認する
      ansible.builtin.assert:
        that:
          - ec2_ami_id is defined and ec2_ami_id | length > 0
          - ec2_subnet_id is defined and ec2_subnet_id | length > 0
          - ec2_key_name is defined and ec2_key_name | length > 0
        fail_msg: "必須変数 ec2_ami_id / ec2_subnet_id / ec2_key_name が未設定です"
        success_msg: "必須変数OK: AMI={{ ec2_ami_id }}, Subnet={{ ec2_subnet_id }}"

    # 対象リージョンをログに残す（意図しないリージョンへの誤実行防止）
    - name: 実行対象リージョン・環境を表示する
      ansible.builtin.debug:
        msg: "実行リージョン: {{ aws_region }} / 環境: {{ env_name }}"

  tasks:
    - name: EC2インスタンスを作成する
      amazon.aws.ec2_instance:
        name: "web-{{ env_name }}-01"
        image_id: "{{ ec2_ami_id }}"
        instance_type: "{{ ec2_instance_type }}"
        key_name: "{{ ec2_key_name }}"
        security_groups: "{{ ec2_security_groups }}"
        vpc_subnet_id: "{{ ec2_subnet_id }}"
        state: present
        region: "{{ aws_region }}"
        tags:
          Environment: "{{ env_name }}"
          ManagedBy: ansible
      register: ec2_result

  post_tasks:
    # EC2が running になるまで待つ
    - name: EC2が起動完了するまで待つ
      amazon.aws.ec2_instance_info:
        instance_ids: "{{ ec2_result.instances[0].instance_id }}"
        region: "{{ aws_region }}"
      register: instance_info
      until: instance_info.instances[0].state.name == 'running'
      retries: 10
      delay: 15

    # SSHポートの疎通確認（running になってもSSHデーモン起動まで数秒かかる）
    - name: SSHポートの疎通を確認する
      ansible.builtin.wait_for:
        host: "{{ ec2_result.instances[0].private_ip_address }}"
        port: 22
        timeout: 60
        delay: 5

    # プロビジョニング完了の情報を表示する
    - name: プロビジョニング完了情報を表示する
      ansible.builtin.debug:
        msg:
          - "インスタンスID: {{ ec2_result.instances[0].instance_id }}"
          - "プライベートIP: {{ ec2_result.instances[0].private_ip_address }}"
          - "状態: {{ instance_info.instances[0].state.name }}"

# roleを使ったディレクトリ構成
provision/
├── roles/
│   └── aws_ec2/
│       ├── tasks/
│       │   └── main.yml        # EC2プロビジョニングの実処理
│       └── defaults/
│           └── main.yml        # 基底値（変数の最低優先順位）
├── group_vars/
│   ├── all.yml                 # 共通設定（リージョン・キーペア名）
│   ├── development.yml         # dev環境の上書き値
│   └── production.yml          # prod環境の上書き値
└── site.yml                    # role を呼び出すPlaybook

# roles/aws_ec2/defaults/main.yml — 基底値（全環境共通のデフォルト）
---
ec2_instance_type: "t3.micro"
ec2_ami_id: "ami-0a0000000000aaaaa"   # Amazon Linux 2023 ap-northeast-1
ec2_key_name: "my-ec2-keypair"
ec2_security_groups:
  - "web-sg"
ec2_state: present
ec2_allow_terminate: false            # 基底値は削除禁止（安全側）
aws_region: "ap-northeast-1"

# group_vars/production.yml — prod環境だけ差分を上書く
---
env_name: production
ec2_instance_type: "t3.medium"        # prod環境はt3.mediumに上書く
ec2_subnet_id: "subnet-0prod12345678"
ec2_allow_terminate: false            # 明示的に削除禁止

# group_vars/development.yml — dev環境の差分
---
env_name: development
ec2_instance_type: "t3.micro"         # defaultsと同じでも明示する
ec2_subnet_id: "subnet-0dev123456789"
ec2_allow_terminate: true             # dev環境のみ削除を許可

# site.yml — roleを呼び出すPlaybook
---
- name: EC2プロビジョニング
  hosts: localhost
  connection: local
  gather_facts: false
  roles:
    - role: aws_ec2
      tags: ec2

# 実行例：prod環境のEC2をドライランで確認
$ ansible-playbook -i inventory/ site.yml -l production --tags ec2 --check

# 実行例：dev環境のEC2を起動
$ ansible-playbook -i inventory/ site.yml -l development --tags ec2

AnsibleでAWS構築を体系的に学びたい方へ

Playbookの書き方・Role設計・Vault暗号化・CI/CD連携まで、実機環境で手を動かしながら習得できます。
独学でつまずいている方は、現役エンジニアが指導するハンズオンセミナーで一気に理解を深めましょう。
＞＞ Ansible実践セミナーの詳細・申込はこちら

# EC2プロビジョニング → 初期設定まで1本で流すPlaybook例
---
- name: フェーズ1：EC2インスタンスを作成する
  hosts: localhost
  connection: local
  gather_facts: false

  tasks:
    - name: EC2を起動する
      amazon.aws.ec2_instance:
        name: "web-prod-01"
        image_id: "ami-0a0000000000aaaaa"
        instance_type: t3.medium
        key_name: my-ec2-keypair
        security_groups:
          - web-sg
        vpc_subnet_id: subnet-0prod12345678
        state: present
        region: ap-northeast-1
        tags:
          Environment: production
      register: ec2_result

    - name: EC2が起動完了するまで待つ
      amazon.aws.ec2_instance_info:
        instance_ids: "{{ ec2_result.instances[0].instance_id }}"
        region: ap-northeast-1
      register: instance_info
      until: instance_info.instances[0].state.name == 'running'
      retries: 10
      delay: 15

    - name: 新しいEC2をインベントリに追加する
      ansible.builtin.add_host:
        name: "{{ ec2_result.instances[0].private_ip_address }}"
        groups: newly_provisioned
        ansible_user: ec2-user
        ansible_ssh_private_key_file: "~/.ssh/my-ec2-keypair.pem"

- name: フェーズ2：新しいEC2に初期設定を流す
  hosts: newly_provisioned
  gather_facts: true

  tasks:
    - name: SSHが応答できる状態になるまで待つ
      ansible.builtin.wait_for_connection:
        delay: 10
        timeout: 120

    - name: パッケージを最新化する
      ansible.builtin.dnf:
        name: "*"
        state: latest
      become: true

    - name: Nginxをインストールする
      ansible.builtin.dnf:
        name: nginx
        state: present
      become: true

# inventory/aws_ec2.yml — aws_ec2プラグインの設定例
---
plugin: amazon.aws.aws_ec2
regions:
  - ap-northeast-1
filters:
  tag:Environment: production      # Environmentタグがproductionのインスタンスのみ
  instance-state-name: running     # 起動中のみを対象にする
keyed_groups:
  - key: tags.Role
    prefix: role                   # role_webserver, role_database のようなグループを自動生成
  - key: placement.availability_zone
    prefix: az                     # az_ap-northeast-1a のようなグループを生成
hostnames:
  - private-ip-address             # プライベートIPをホスト名として使う
compose:
  ansible_user: "'ec2-user'"
  ansible_ssh_private_key_file: "'~/.ssh/my-ec2-keypair.pem'"

# 動的インベントリで取れるホスト一覧を確認する
$ ansible-inventory -i inventory/aws_ec2.yml --graph

@all:
  |--@role_webserver:
  |  |--10.0.1.50
  |  |--10.0.1.51
  |--@role_database:
  |  |--10.0.2.20
  |--@az_ap-northeast-1a:
  |  |--10.0.1.50
  |  |--10.0.2.20

# role_webserverグループ全台にPlaybookを流す
$ ansible-playbook -i inventory/aws_ec2.yml deploy_app.yml --limit role_webserver

【注意】state: absent は本番環境での誤実行に注意

または を指定したPlaybookを本番環境で誤って実行すると、EC2インスタンスが削除されます。
削除されたインスタンスはストレージも含めて失われ、復元はできません。
本番Playbook実行前には必ず （ドライランモード）で変更内容を確認する習慣をつけてください。
また、本番環境用のPlaybookには の条件ガードを設けて、誤った環境への適用を防ぐ設計が重要です。

AnsibleでAWS構築を体系的に学びたい方へ

Playbookの書き方・Role設計・Vault暗号化・CI/CD連携まで、実機環境で手を動かしながら習得できます。
独学でつまずいている方は、現役エンジニアが指導するハンズオンセミナーで一気に理解を深めましょう。
＞＞ Ansible実践セミナーの詳細・申込はこちら