マニフェストを使用して追加の取得機能を有効にする

AWS AppConfig エージェントには、アプリケーションの設定を取得するのに役立つ以下の追加機能があります。

エージェントマニフェストについて

これらの AWS AppConfig エージェント機能を有効にするには、マニフェストを作成します。マニフェストは、エージェントが実行できるアクションを制御するために提供する設定データのセットです。マニフェストは JSON で記述されます。これには、AWS AppConfig を使用してデプロイしたさまざまな設定に対応する最上位キーのセットが含まれています。

マニフェストには複数の設定を含めることができます。さらに、マニフェスト内の各設定は、指定された設定に使用する 1 つ以上のエージェント機能を識別できます。マニフェストのコンテンツは、次の形式を使用します。

{
    "application_name:environment_name:configuration_name": {
        "agent_feature_to_enable_1": {
            "feature-setting-key": "feature-setting-value"
        },
        "agent_feature_to_enable_2": {
            "feature-setting-key": "feature-setting-value"
        }
    }
}

以下は、2 つの設定を持つマニフェストの JSON の例です。最初の設定 (MyApp) では、AWS AppConfig エージェント機能は使用されません。2 番目の設定 (My2ndApp) では、ディスクへの書き込み設定コピーとマルチアカウント取得機能を使用します。

{
        "MyApp:Test:MyAllowListConfiguration": {},
        
        "My2ndApp:Beta:MyEnableMobilePaymentsFeatureFlagConfiguration": {
            "credentials": {
                "roleArn": "arn:us-west-1:iam::123456789012:role/MyTestRole",
                "roleExternalId": "00b148e2-4ea4-46a1-ab0f-c422b54d0aac",
                "roleSessionName": "AwsAppConfigAgent",
                "credentialsDuration": "2h"
            },
            "writeTo": {
                "path": "/tmp/aws-appconfig/my-2nd-app/beta/my-enable-payments-feature-flag-configuration.json"
            }
        }
    }

エージェントマニフェストを提供する方法

マニフェストは、AWS AppConfig エージェントが読み取れる場所にファイルとして保存できます。または、マニフェストを AWS AppConfig 設定として保存し、エージェントにそのマニフェストを指定することもできます。エージェントマニフェストを指定するには、MANIFEST 環境変数を次のいずれかの値で設定する必要があります。

AWS AppConfig エージェントに変数を設定する方法の詳細については、ユースケースの関連トピックを参照してください。

複数のアカウントから設定を取得するように AWS AppConfig エージェントを設定する

AWS AppConfig エージェントマニフェストに認証情報の上書きを入力することで、複数の AWS アカウントから設定を取得するように AWS AppConfig エージェントを設定できます。認証情報のオーバーライドには、AWS Identity and Access Management (IAM) ロールの Amazon リソースネーム (ARN)、ロール ID、セッション名、およびエージェントがロールを引き受ける期間が含まれます。

これらの詳細は、マニフェストの [認証情報] セクションに入力します。[認証情報] セクションでは、次の形式を使用します。

{
    "application_name:environment_name:configuration_name": {
        "credentials": {
            "roleArn": "arn:partition:iam::account_ID:role/roleName",
            "roleExternalId": "string",
            "roleSessionName": "string",
            "credentialsDuration": "time_in_hours" 
        }
    }
}

以下がその例です。

{
    "My2ndApp:Beta:MyEnableMobilePaymentsFeatureFlagConfiguration": {
        "credentials": {
            "roleArn": "arn:us-west-1:iam::123456789012:role/MyTestRole",
            "roleExternalId": "00b148e2-4ea4-46a1-ab0f-c422b54d0aac",
            "roleSessionName": "AWSAppConfigAgent",
            "credentialsDuration": "2h" 
        }
    }
}

設定を取得する前に、エージェントはマニフェストから設定の認証情報の詳細を読み取り、その設定に指定された IAM ロールを引き受けます。1 つのマニフェストで、異なる設定に対して異なる認証情報オーバーライドのセットを指定できます。次の図は、AWS AppConfig エージェントがアカウント A (取得アカウント) で実行している間、アカウント B と C (ベンダーアカウント) に指定された個別のロールを引き受け、GetLatestConfiguration オペレーションを呼び出して、それらのアカウントで実行されている AWS AppConfig から設定データを取得する方法を示しています。

ベンダーアカウントから設定データを取得するアクセス許可を設定する

取得アカウントで実行されている AWS AppConfig エージェントには、ベンダーアカウントから設定データを取得するアクセス許可が必要です。各ベンダーアカウントに AWS Identity and Access Management (IAM) ロールを作成して、エージェントに許可を付与します。AWS AppConfigエージェント (取得アカウント) は、ベンダーアカウントからデータを取得するためにこのロールを引き受けます。このセクションの手順を実行して、IAM アクセス許可ポリシーと IAM ロールを作成し、マニフェストにエージェントオーバーライドを追加します。

開始する前に

IAM でアクセス許可ポリシーとロールを作成する前に、以下の情報を収集します。

アクセス許可ポリシーを作成する

IAM コンソールを使用してアクセス許可ポリシーを作成するには、次の手順に従います。取得アカウントの設定データを提供する各 AWS アカウントで手順を完了します。

IAM ロールの作成

IAM コンソールを使用して IAM ロールを作成するには、次の手順に従います。取得アカウントの設定データを提供する各 AWS アカウントで手順を完了します。

マニフェストに認証情報オーバーライドを追加する

ベンダーアカウントに IAM ロールを作成したら、取得アカウントのマニフェストを更新します。具体的には、ベンダーアカウントから設定データを取得するための認証情報ブロックと IAM ロール ARN を追加します。JSON 形式は次のとおりです。

{
    "vendor_application_name:vendor_environment_name:vendor_configuration_name": {
        "credentials": {
            "roleArn": "arn:partition:iam::vendor_account_ID:role/name_of_role_created_in_vendor_account",
            "roleExternalId": "string",
            "roleSessionName": "string",
            "credentialsDuration": "time_in_hours" 
        }
    }
}

以下がその例です。

{
    "My2ndApp:Beta:MyEnableMobilePaymentsFeatureFlagConfiguration": {
        "credentials": {
            "roleArn": "arn:us-west-1:iam::123456789012:role/MyTestRole",
            "roleExternalId": "00b148e2-4ea4-46a1-ab0f-c422b54d0aac",
            "roleSessionName": "AwsAppConfigAgent",
            "credentialsDuration": "2h" 
        }
    }
}

マルチアカウント取得が機能していることを確認します

AWS AppConfig エージェントのログを確認することで、エージェントが複数のアカウントから設定データを取得できることを検証できます。「YourApplicationName:YourEnvironmentName:YourConfigurationName」の取得された初期データの INFO レベルのログは、取得が成功したことを示す最適な指標です。取得に失敗した場合、失敗の理由を示す ERROR レベルのログが表示されます。ベンダーアカウントからの正常な取得の例を次に示します。

[appconfig agent] 2023/11/13 11:33:27 INFO AppConfig Agent 2.0.x
[appconfig agent] 2023/11/13 11:33:28 INFO serving on localhost:2772
[appconfig agent] 2023/11/13 11:33:28 INFO retrieved initial data for 'MyTestApplication:MyTestEnvironment:MyDenyListConfiguration' in XX.Xms

ディスクに設定のコピーを書き込むように AWS AppConfig エージェントを設定する

AWS AppConfig エージェントを設定して、設定のコピーをディスクにプレーンテキストで自動的に保存できます。この機能を使用すると、ディスクから設定データを読み取るアプリケーションを使用しているお客様は、AWS AppConfig と統合できます。

この機能は、設定バックアップ機能として使用するようには設計されていません。AWS AppConfigエージェントは、ディスクにコピーされた設定ファイルから読み取りません。設定をディスクにバックアップする場合は、「Amazon EC2 で AWS AppConfig エージェントを使用する」または「Amazon ECS および Amazon EKS で AWS AppConfig を使用する」の「BACKUP_DIRECTORY」および「PRELOAD_BACKUP 環境変数」を参照してください。

ディスクへの設定コピーの書き込みが機能していることを検証する

AWS AppConfig エージェントのログを確認することで、設定のコピーがディスクに書き込まれていることを確認できます。「INFO wrote configuration 'application:environment:configuration' to file_path」というフレーズを含む INFO ログエントリは、AWS AppConfig エージェントが設定コピーをディスクに書き込んだことを示します。

以下がその例です。

[appconfig agent] 2023/11/13 11:33:27 INFO AppConfig Agent 2.0.x
[appconfig agent] 2023/11/13 11:33:28 INFO serving on localhost:2772
[appconfig agent] 2023/11/13 11:33:28 INFO retrieved initial data for 'MobileApp:Beta:EnableMobilePayments' in XX.Xms
[appconfig agent] 2023/11/13 17:05:49 INFO wrote configuration 'MobileApp:Beta:EnableMobilePayments' to /tmp/configs/your-app/your-env/your-config.json