Terraformで実現するAWS ECSタスク定義の環境変数・シークレット管理最適化

terraform-ecs-project/
├── main.tf              # プロジェクトのメインエントリーポイント
├── variables.tf         # 変数定義
├── outputs.tf           # 出力定義
├── environments/        # 環境別設定
│   ├── dev.tfvars       # 開発環境の変数値
│   ├── staging.tfvars   # ステージング環境の変数値
│   └── prod.tfvars      # 本番環境の変数値
├── ecs.tf               # ECSクラスターとサービス定義
├── secretsmanager.tf    # SecretsManagerリソース定義
└── task_definitions/    # タスク定義テンプレート
    ├── common_env_vars.tftpl    # 共通環境変数テンプレート
    ├── service_a.tftpl          # サービスAのタスク定義テンプレート
    └── service_b.tftpl          # サービスBのタスク定義テンプレート

provider "aws" {
  region = var.aws_region
}

locals {
  env = var.environment
}

# その他の共通設定...

# ECSクラスター定義
resource "aws_ecs_cluster" "main" {
  name = "${var.prefix}-cluster-${var.env}"
}

# タスク定義とECSサービスの定義（サービスごとに定義）
resource "aws_ecs_task_definition" "service_a" {
  # 詳細は後述の実装詳細セクションを参照
}

resource "aws_ecs_service" "service_a" {
  name            = "service-a"
  cluster         = aws_ecs_cluster.main.id
  task_definition = aws_ecs_task_definition.service_a.arn
  desired_count   = var.service_a_count

  # その他の設定...
}

# 同様にサービスBの定義

# 各環境ごとのシークレット定義
resource "aws_secretsmanager_secret" "app_secrets" {
  name = "${var.env}/app-secrets"
  description = "アプリケーション用シークレット情報（${var.env}環境）"

  tags = {
    Environment = var.env
    Application = "my-app"
    ManagedBy   = "terraform"
  }
}

# 注: シークレットの具体的な値はセキュリティのためAWSコンソールから手動で設定します

{
  "common": {
    "environment": [
      { "name": "APP_USER", "value": "user" },
      // その他の共通環境変数
    ],
    "secrets": [
      { "name": "DB_PASSWORD", "valueFrom": "${secrets_arn}/DB_PASSWORD" },
      // その他の共通シークレット
    ]
  },
  "dev": {
    // 開発環境固有の設定
  },
  "prod": {
    // 本番環境固有の設定
  }
}

[
  {
    "name": "service-a-${env}",
    "image": "${ecr_repo_url}:${image_tag}",
    "environment": ${common_env_vars},
    "secrets": ${common_env_secrets},
    // サービス固有の設定
  }
]

{
  "common": {
    "environment": [
      { "name": "APP_USER", "value": "user" },
      { "name": "DB_USER", "value": "db_admin" }
    ],
    "secrets": [
      { "name": "DB_PASSWORD", "valueFrom": "${secrets_arn}/DB_PASSWORD" },
      { "name": "API_KEY", "valueFrom": "${secrets_arn}/API_KEY" }
    ]
  },
  "dev": {
    "environment": [
      { "name": "DB_ENDPOINT", "value": "db-dev.example.com" }
    ],
    "secrets": []
  },
  "prod": {
    "environment": [
      { "name": "DB_ENDPOINT", "value": "db-prod.example.com" }
    ],
    "secrets": []
  }
}

locals {
  # 通常の環境変数はfileで読み込んで処理
  env_vars_tpl = file("task_definitions/common_env_vars.tftpl")

  # 環境変数の結合処理
  common_env_vars = jsonencode(concat(
    jsondecode(local.env_vars_tpl)["common"].environment,
    jsondecode(local.env_vars_tpl)[var.env].environment
  ))

  # シークレット用テンプレート処理 - ARNを置き換えた形でシークレットを作成
  common_env_secrets_tpl = templatefile(
    "task_definitions/common_env_vars.tftpl",
    {
      secrets_arn = aws_secretsmanager_secret.app_secrets.arn
    }
  )

  # シークレットの結合処理
  common_env_secrets = jsonencode(concat(
    jsondecode(local.common_env_secrets_tpl)["common"].secrets,
    jsondecode(local.common_env_secrets_tpl)[var.env].secrets
  ))
}

resource "aws_secretsmanager_secret" "app_secrets" {
  name        = "${var.env}/app-secrets"
  description = "アプリケーション用シークレット情報（${var.env}環境）"

  # 削除保護の設定（本番環境では有効に）
  recovery_window_in_days = var.env == "prod" ? 30 : 7

  tags = {
    Environment = var.env
    Application = "my-app"
    ManagedBy   = "terraform"
  }
}

resource "aws_ecs_task_definition" "service_a" {
  family = "service-a-${var.env}"
  # ... 他の設定 ...

  container_definitions = templatefile(
    "task_definitions/service_a.tftpl",
    {
      env                = var.env
      environment        = local.environment
      common_env_vars    = local.common_env_vars
      common_env_secrets = local.common_env_secrets
      # シークレットのARN参照を直接渡す
      secrets_arn        = aws_secretsmanager_secret.app_secrets.arn
      # サービス固有の変数
      service_specific_var = "value-a"
    }
  )
}

[
  {
    "name": "service-${env}",
    "image": "123456789012.dkr.ecr.region.amazonaws.com/service-${env}",
    "environment": ${jsonencode(concat(jsondecode(common_env_vars), [
      {
        "name": "RAILS_ENV",
        "value": "${environment}"
      },
      {
        "name": "SERVICE_TYPE",
        "value": "service-a"
      },
      {
        "name": "SERVICE_SPECIFIC_VAR",
        "value": service_specific_var
      }
    ]))},
    "secrets": ${jsonencode(concat(jsondecode(common_env_secrets), [
      {
        "name": "SERVICE_API_KEY",
        "valueFrom": "${secrets_arn}/SERVICE_API_KEY"
      }
    ]))},
    "essential": true,
    "logConfiguration": {
      "logDriver": "awslogs",
      "options": {
        "awslogs-group": "/ecs/service-${env}",
        "awslogs-region": "ap-northeast-1",
        "awslogs-stream-prefix": "ecs"
      }
    }
  }
]