AWS長期アクセスキーをOIDCロール引受方式に移行する（ステージング・本番デプロイワークフロー）

[coderabbitai]

概要

ステージング環境および本番環境へのECSデプロイワークフロー（.github/workflows/deploy_ecs_staging_stationapi.yml / .github/workflows/deploy_ecs_production_stationapi.yml）において、現在は長期アクセスキー（AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY）を使用しているが、漏洩リスクの観点から aws-actions/configure-aws-credentials のOIDC方式（role-to-assume）への移行が推奨される。

対応内容

• configure-aws-credentials ステップを role-to-assume を用いたOIDC方式に切り替える（ステージング・本番両ワークフロー）
• secrets.AWS_ACCESS_KEY_ID / secrets.AWS_SECRET_ACCESS_KEY の参照を削除し、secrets.AWS_ROLE_TO_ASSUME を追加する
• ジョブに最小権限の permissions ブロックを明示する
  • id-token: write：OIDC JWTトークンの取得に必須
  • contents: read：actions/checkout の実行に必須
• AWS IAMロールの信頼ポリシーに token.actions.githubusercontent.com を Federated Principal として設定する

差分案

ステージング（deploy_ecs_staging_stationapi.yml）

 jobs:
   deploy:
     name: Deploy StationAPI Staging
     runs-on: self-hosted
     environment: staging
+    permissions:
+      id-token: write
+      contents: read

     steps:
       - name: Checkout
         uses: actions/checkout@v4
         with:
           submodules: recursive

       - name: Configure AWS credentials
         uses: aws-actions/configure-aws-credentials@v4
         with:
-          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
-          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
+          role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
+          role-session-name: gha-staging-deploy
           aws-region: ${{ env.AWS_REGION }}

本番（deploy_ecs_production_stationapi.yml）

 jobs:
   deploy:
     name: Deploy StationAPI Production
     runs-on: self-hosted
     environment: production
+    permissions:
+      id-token: write
+      contents: read

     steps:
       - name: Checkout
         uses: actions/checkout@v4
         with:
           submodules: recursive

       - name: Configure AWS credentials
         uses: aws-actions/configure-aws-credentials@v4
         with:
-          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
-          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
+          role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
+          role-session-name: gha-production-deploy
           aws-region: ${{ env.AWS_REGION }}

参考

• PR: ステージング環境へのデプロイワークフローを追加 #1497
• レビューコメント: ステージング環境へのデプロイワークフローを追加 #1497 (comment)
• 起票者: @TinyKitten

[TinyKitten]

@coderabbitai productionでも同じなのでタイトルと説明文を修正してください。

[coderabbitai]

🧩 Analysis chain

🏁 Script executed:

#!/bin/bash
gh issue view 1498 --repo TrainLCD/StationAPI --json title,body

Length of output: 1639

---

🏁 Script executed:

#!/bin/bash
# Find production deploy workflow files
fd -e yml -e yaml . .github/workflows/ | grep -i prod

Length of output: 55

---

🏁 Script executed:

#!/bin/bash
gh issue edit 1498 --repo TrainLCD/StationAPI \
  --title "AWS長期アクセスキーをOIDCロール引受方式に移行する（ステージング・本番デプロイワークフロー）" \
  --body "## 概要

ステージング環境および本番環境へのECSデプロイワークフロー（\`.github/workflows/deploy_ecs_staging_stationapi.yml\` / \`.github/workflows/deploy_ecs_production_stationapi.yml\`）において、現在は長期アクセスキー（\`AWS_ACCESS_KEY_ID\` / \`AWS_SECRET_ACCESS_KEY\`）を使用しているが、漏洩リスクの観点から \`aws-actions/configure-aws-credentials\` のOIDC方式（\`role-to-assume\`）への移行が推奨される。

## 対応内容

- \`configure-aws-credentials\` ステップを \`role-to-assume\` を用いたOIDC方式に切り替える（ステージング・本番両ワークフロー）
- \`secrets.AWS_ACCESS_KEY_ID\` / \`secrets.AWS_SECRET_ACCESS_KEY\` の参照を削除し、\`secrets.AWS_ROLE_TO_ASSUME\` を追加する
- ジョブに最小権限の \`permissions\` ブロックを明示する
  - \`id-token: write\`：OIDC JWTトークンの取得に必須
  - \`contents: read\`：\`actions/checkout\` の実行に必須
- AWS IAMロールの信頼ポリシーに \`token.actions.githubusercontent.com\` を Federated Principal として設定する

## 差分案

### ステージング（\`deploy_ecs_staging_stationapi.yml\`）

\`\`\`diff
 jobs:
   deploy:
     name: Deploy StationAPI Staging
     runs-on: self-hosted
     environment: staging
+    permissions:
+      id-token: write
+      contents: read

     steps:
       - name: Checkout
         uses: actions/checkout@v4
         with:
           submodules: recursive

       - name: Configure AWS credentials
         uses: aws-actions/configure-aws-credentials@v4
         with:
-          aws-access-key-id: \${{ secrets.AWS_ACCESS_KEY_ID }}
-          aws-secret-access-key: \${{ secrets.AWS_SECRET_ACCESS_KEY }}
+          role-to-assume: \${{ secrets.AWS_ROLE_TO_ASSUME }}
+          role-session-name: gha-staging-deploy
           aws-region: \${{ env.AWS_REGION }}
\`\`\`

### 本番（\`deploy_ecs_production_stationapi.yml\`）

\`\`\`diff
 jobs:
   deploy:
     name: Deploy StationAPI Production
     runs-on: self-hosted
     environment: production
+    permissions:
+      id-token: write
+      contents: read

     steps:
       - name: Checkout
         uses: actions/checkout@v4
         with:
           submodules: recursive

       - name: Configure AWS credentials
         uses: aws-actions/configure-aws-credentials@v4
         with:
-          aws-access-key-id: \${{ secrets.AWS_ACCESS_KEY_ID }}
-          aws-secret-access-key: \${{ secrets.AWS_SECRET_ACCESS_KEY }}
+          role-to-assume: \${{ secrets.AWS_ROLE_TO_ASSUME }}
+          role-session-name: gha-production-deploy
           aws-region: \${{ env.AWS_REGION }}
\`\`\`

## 参考

- PR: https://github.com/TrainLCD/StationAPI/pull/1497
- レビューコメント: https://github.com/TrainLCD/StationAPI/pull/1497#discussion_r3211982458
- 起票者: `@TinyKitten`"

Length of output: 51

---

@TinyKitten イシュー #1498 のタイトルと説明文を更新しました。

変更内容：

• タイトル：（ステージングデプロイワークフロー） → （ステージング・本番デプロイワークフロー）
• 概要：.github/workflows/deploy_ecs_production_stationapi.yml を追加し、両ワークフローが対象である旨を明記
• 対応内容：ステージング・本番両ワークフローへの適用を明示
• 差分案：ステージングと本番それぞれのdiffセクションを追加（role-session-name は gha-staging-deploy / gha-production-deploy と区別）

[TinyKitten]

AWSはどこでももう使っていないのでclose