【Ansible】AWS SSM の Run Command で Ansible の Playbook を実行する手順

$ cat Ec2.tf  
resource “aws_instance” “ansible-test-ec2” { 
  ami           = “ami-0f36dcfcc94112ea1” 
  instance_type = “t2.micro” 
  subnet_id     = “subnet-xxxxxxxxxx” 
  iam_instance_profile = aws_iam_instance_profile.ssm-agent-for-ec2.name 
 
  tags = { 
    Name = “ansible-test-ec2” 
  } 
}

$ cat Iam.tf 
# ———————————————— 
# SSM 用ロール作成 
# ———————————————— 
resource “aws_iam_role” “ssm-agent-for-ec2-role” { 
  name               = “ssm-agent-test-role” 
  assume_role_policy = data.aws_iam_policy_document.ec2-assume-policy-document.json 
} 
 
# ———————————————— 
# Assume Role ポリシードキュメント 
# ———————————————— 
data “aws_iam_policy_document” “ec2-assume-policy-document” { 
  statement { 
    effect = “Allow” 
    actions = [ 
      “sts:AssumeRole” 
    ] 
    principals { 
      type        = “Service” 
      identifiers = [“ec2.amazonaws.com”] 
    } 
  } 
} 
 
# ———————————————— 
# ポリシーを IAM ロールにアタッチする 
# ———————————————— 
resource “aws_iam_role_policy_attachment” “ssm-agent-for-ec2-attachment” { 
  role       = aws_iam_role.ssm-agent-for-ec2-role.name 
  policy_arn = “arn:aws:iam::aws:policy/service-role/AmazonEC2RoleforSSM” 
} 
 
# ———————————————— 
# インスタンスプロファイルの設定 
# ———————————————— 
resource “aws_iam_instance_profile” “ssm-agent-for-ec2” { 
  name = “ec2-instance-profile” 
  role = aws_iam_role.ssm-agent-for-ec2-role.name 
} 

$ cat S3.tf  
#—————————————– 
# ALB Access Log 用の S3 バケットの作成 
#—————————————– 
resource “aws_s3_bucket” “ansible_dev_zip_bucket” { 
  bucket = “ansible-dev-zip-bucket-xxxxxxxxxx” 
  # バケットの削除設定（バケットの中にオブジェクトが入っているとdestroyでエラーになるのでtrueにする） 
  force_destroy = true 
} 
 
#—————————————– 
# S3 バケットの ACL の設定 
#—————————————– 
resource “aws_s3_bucket_acl” “bucket_acl” { 
  bucket = aws_s3_bucket.ansible_dev_zip_bucket.id 
  acl    = “private” 
} 
 
# S3バケットのオブジェクト所有者（ACL設定） 
resource “aws_s3_bucket_ownership_controls” “bucket_acl_owner” { 
  bucket = aws_s3_bucket.ansible_dev_zip_bucket.id 
  rule { object_ownership = “BucketOwnerEnforced” } 
} 
 
# ブロック パブリック アクセス 
resource “aws_s3_bucket_public_access_block” “private” { 
  bucket                  = aws_s3_bucket.ansible_dev_zip_bucket.id 
  block_public_acls       = true 
  block_public_policy     = true 
  ignore_public_acls      = true 
  restrict_public_buckets = true 
}

$ cat terraform.tf  
terraform { 
  backend “s3” { 
    bucket = “terraform-tfstate-xxxxxxxxxxxx” 
    key    = “terraform.tfstate” 
    region = “ap-northeast-1” 
  } 
 
  // Terraform本体に対するバージョン制約 
  required_version = “~> 1.2.0” 
 
  required_providers { 
    aws = { 
      source  = “hashicorp/aws” 
      version = “~> 4.0” 
    } 
  } 
}

$ terraform plan

$ terraform apply

$ aws ssm start-session –target i-0xxxxxxxxxxx 
 
Starting session with SessionId: i-0xxxxxxxx-0xxxxxxxxxxx 
sh-4.2$ hostname 
ip-172-xxxxxx.ap-northeast-1.compute.internal 
sh-4.2$ 

sh-4.2$ whoami
ssm-user　←　ssm-user でログインしている。
sh-4.2$

sh-4.2$ sudo su -　←　ssm-user は sudo 権限を持っている。
[root@ip-172-xxxxxxx ~]#

$ tree 
. 
└── test_yum_update 
    ├── roles 
    │   └── common 
    │       └── tasks 
    │           └── main.yml 
    └── server.yml 
 
4 directories, 2 files

$ cat server.yml  
– name: yum update 
  hosts: all 
  become: true 
  become_method: sudo 
  roles: 
    – common

$ cat main.yml  
– name: gather ec2 facts 
  ec2_metadata_facts: 
  
– name: upgrade all packages (Red Hat) 
  yum: 
    name: ‘*’ 
    state: latest 
  # Amazon Linux2でもos_familyは「RedHat」になる。 
  when: ansible_os_family == “RedHat”

$ zip -r test_yum_update.zip test_yum_update -x ‘*.git*’ 
  adding: test_yum_update/ (stored 0%) 
  adding: test_yum_update/server.yml (deflated 23%) 
  adding: test_yum_update/roles/ (stored 0%) 
  adding: test_yum_update/roles/common/ (stored 0%) 
  adding: test_yum_update/roles/common/tasks/ (stored 0%) 
  adding: test_yum_update/roles/common/tasks/main.yml (deflated 20%)

$ ls -l test_yum_update.zip
-rw-rw-r– 1 ec2-user ec2-user 1389 Dec 3 18:12 test_yum_update.zip

 $ aws s3 cp test_yum_update.zip s3://ansible-dev-zip-bucket-xxxxxxxxxxx/
upload: ./test_yum_update.zip to s3://ansible-dev-zip-bucket-xxxxxxxxxxx/test_yum_update.zip

$ aws s3 ls s3://ansible-dev-zip-bucket-xxxxxxxx/
2022-12-03 18:19:06 1389 test_yum_update.zip

$ aws ssm start-session –target i-0xxxxxxxxxxxx
Starting session with SessionId: i-0xxxxxxxxxxxxxxx 
sh-4.2$ sudo su – 
[root@ip-172-xxxxxxxx ~]# yum history list all 
Loaded plugins: extras_suggestions, langpacks, priorities, update-motd 
ID     | Command line             | Date and time    | Action(s)      | Altered 
——————————————————————————- 
     4 | -d 2 -y update           | 2022-12-04 04:01 | I, O, U        |   40    
     3 | install -y ansible       | 2022-12-04 04:01 | Install        |    4    
     2 | install -y https://dl.fe | 2022-12-04 04:01 | Install        |    1    
     1 | -t -y –exclude=kernel – | 2022-12-04 03:47 | Update         |    9    
history list 
[root@ip-172-xxxxxxxx ~]#