AWSを使わずMinIOでTerraformのstate共有基盤を用意する設計｜互換オプションの指定と最小権限のアクセスキー発行

この記事のポイント

・MinIOのS3互換バックエンドにはforce_path_styleとskip系3オプションの設定が必須
・regionはMinIOが使わない値でも us-east-1 のようなダミー文字列の指定が必要
・最小権限は GetObject・PutObject・DeleteObject・ListBucket・GetBucketVersioning の5権限
・Terraform 1.10以降は use_lockfile=true でDynamoDB不要のstateロックが使える

# MinIOバイナリをダウンロードして実行権限を付与
wget https://dl.min.io/server/minio/release/linux-amd64/minio
chmod +x minio
mv minio /usr/local/bin/

# データ保管用ディレクトリとサービスユーザーを作成
useradd -r -s /sbin/nologin minio-user
mkdir -p /data/minio
chown minio-user:minio-user /data/minio

# /etc/default/minio を作成
cat << 'EOF' > /etc/default/minio
MINIO_VOLUMES="/data/minio"
MINIO_ROOT_USER=minioadmin
MINIO_ROOT_PASSWORD=ChangeMeToStrongPassword
EOF

# /etc/systemd/system/minio.service を作成
cat << 'EOF' > /etc/systemd/system/minio.service
[Unit]
Description=MinIO Object Storage
After=network-online.target

[Service]
User=minio-user
Group=minio-user
EnvironmentFile=/etc/default/minio
ExecStart=/usr/local/bin/minio server $MINIO_VOLUMES --address :9000 --console-address :9090
Restart=always
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now minio
systemctl status minio

* minio.service - MinIO Object Storage
     Loaded: loaded (/etc/systemd/system/minio.service; enabled; preset: disabled)
     Active: active (running) since Thu 2026-09-18 09:12:34 JST; 5s ago
   Main PID: 3841 (minio)
     Memory: 138.2M
        CPU: 1.224s
     CGroup: /system.slice/minio.service
             └─3841 /usr/local/bin/minio server /data/minio --address :9000 --console-address :9090

# ssコマンドでMinIOが9000番ポートを待ち受けているか確認
ss -tlnp | grep 9000

# 出力例
LISTEN  0  4096  0.0.0.0:9000  0.0.0.0:*  users:(("minio",pid=3841,fd=12))

# backend.tf（またはmain.tfのterraformブロック内）
terraform {
  backend "s3" {
    bucket = "tfstate"
    key    = "prod/terraform.tfstate"
    region = "us-east-1"

    endpoint                    = "http://192.168.0.10:9000"
    access_key                  = "tf-access-key"
    secret_key                  = "tf-secret-key"

    force_path_style            = true
    skip_credentials_validation = true
    skip_metadata_api_check     = true
    skip_region_validation      = true
  }
}

terraform init

# 成功時の出力例
Initializing the backend...

Successfully configured the backend "s3"! Terraform will automatically
use this backend unless the backend configuration changes.

Initializing provider plugins...

Terraform has been successfully initialized!

# mcバイナリをダウンロード
wget https://dl.min.io/client/mc/release/linux-amd64/mc
chmod +x mc
mv mc /usr/local/bin/mc

# MinIOサーバーのエイリアスを登録（rootアカウントで認証）
mc alias set tfminio http://192.168.0.10:9000 minioadmin ChangeMeToStrongPassword

# 接続確認
mc admin info tfminio

# 出力例
*  192.168.0.10:9000
   Uptime: 12 minutes
   Version: 2024-09-13T20:41:23Z
   Network: 1/1 OK
   Drives: 1/1 OK
   Pool: 1

# stateバケットを作成
mc mb tfminio/tfstate

# Terraform専用ユーザーを作成
mc admin user add tfminio tfuser TfUserPassword123

# 最小権限ポリシーのJSONを作成
cat << 'EOF' > /tmp/tfstate-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::tfstate/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketVersioning"
      ],
      "Resource": "arn:aws:s3:::tfstate"
    }
  ]
}
EOF

# ポリシーを登録してユーザーに適用
mc admin policy create tfminio tfstate-rw /tmp/tfstate-policy.json
mc admin policy attach tfminio tfstate-rw --user tfuser

# tfuserのサービスアカウントを作成（鍵ペアが自動生成される）
mc admin user svcacct add tfminio tfuser --name terraform-ci

# 出力例（この時点しか確認できないので必ず控えること）
Access Key: AKIAIOSFODNN7TFUSER1
Secret Key: wJalrXUtnFEMI/K7MDENG/bPxRfiCYTFUSERKEY1

# Terraform >= 1.10 の場合：DynamoDB不要のstateロック設定
terraform {
  backend "s3" {
    bucket = "tfstate"
    key    = "prod/terraform.tfstate"
    region = "us-east-1"

    endpoint                    = "http://192.168.0.10:9000"
    access_key                  = "AKIAIOSFODNN7TFUSER1"
    secret_key                  = "wJalrXUtnFEMI/K7MDENG/bPxRfiCYTFUSERKEY1"

    force_path_style            = true
    skip_credentials_validation = true
    skip_metadata_api_check     = true
    skip_region_validation      = true

    use_lockfile                = true
  }
}

# サービスアカウントのエイリアスを別名で作って動作確認
mc alias set tftest http://192.168.0.10:9000 AKIAIOSFODNN7TFUSER1 wJalrXUtnFEMI/K7MDENG/bPxRfiCYTFUSERKEY1
mc ls tftest/tfstate

# 正常なら tfstate バケットの中身が表示される（空バケットなら空行）

# ロックIDはエラーメッセージの中に含まれる
# Error acquiring the state lock:
#   Lock ID: "a1b2c3d4-e5f6-7890-abcd-ef1234567890"

terraform force-unlock a1b2c3d4-e5f6-7890-abcd-ef1234567890