
## AWS CLI 　のデバッグには --debug オプションと使う

通常、AWS CLI は、コマンド出力のコマンド結果に関する成功または失敗に関する情報が出るだけで、詳細なログは出ません。
`--debug`[^1][^2] オプションを使用すると、デバッグログ記録が有効化され、詳細なログが出力されます。

[^1]: [コマンドラインオプション \- AWS Command Line Interface](https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-configure-options.html)
[^2]: [AWS CLI に関連するエラーのトラブルシューティング \- AWS Command Line Interface](https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-chap-troubleshooting.html#general-debug)

```bash fn=Linuxの場合
aws <servicename> <commandname> <options> --debug &> debug.txt
```

```bash fn=Windowsの場合
aws <servicename> <commandname> <options> --debug > 2>&1 > debug.txt
```

## AWS CLI コマンドがリトライされない

リトライが実行されるのは一時的なエラーコードに対してのみです。
具体的には、HTTP ステータスコードが 500、502、503、504 の時です。[^3]
リトライしているかは `--debug` オプションを使用すると確認できます。

[^3]: [AWS CLI の再試行 \- AWS Command Line Interface](https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-configure-retries.html#cli-usage-retries-modes-standard.title)

## AWS CLI でコマンド実行時に、Connect timeout といったネットワークエラーが発生した

前提として、AWS CLI は TCP ポート 443 の HTTPS プロトコルを使用することによって、リクエストを AWS に送信しています。[^4]
ネットワーク ACL といった通信経路を確認するのがおすすめです。
因みに試しにネットワーク ACL で 443 のアウトバンドを遮断した際は、CloudTrail ログに AWS CLI による API 呼び出しのログは確認できませんでした。
おそらく、ネットワークエラー関係など一部のエラーは API 自体の呼び出しができていないので CloudTrail に残らないのかもしれません。

[^4]: [AWS CLI の使用 \- AWS Command Line Interface](https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-chap-using.html)


AWS CLI Tips 集


## 概要

Lambda から AWS CLI コマンドを利用できるようにするため、Lambda レイヤーに AWS CLI を追加します。
本記事では、デプロイパッケージの作成方法として 2 通り紹介します。

## Lambda レイヤーに AWS CLI を追加するためのデプロイパッケージ作成方法と手順

### 方法 1: AWS CLI のインストーラーを使ってデプロイパッケージ作成する

```text fn=最終的なデプロイパッケージ( zip ファイルアーカイブ)のフォルダ構成
.
└── bin
    ├── aws
    └── 省略(色々入ります)
```

#### 作業用ディレクトリとレイヤーパスの作成

```bash
mkdir ~/aws_cli_layer
cd ~/aws_cli_layer
mkdir aws-cli aws-bin bin
```

#### AWS CLI インストーラのダウンロードとインストール

`bin` ディレクトリに AWS CLI のバイナリーファイルなどを追加します。

```bash
cd ~/aws_cli_layer

# wget もしくは curl いづれかのコマンドで AWS CLI のインストールファイルをダウンロードします。
wget https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip
curl -O https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip

# ファイルを解凍します。
unzip awscli-exe-linux-x86_64.zip

# 作業用ディレクトリにインストールします。
./aws/install -i ~/aws_cli_layer/aws-cli -b ~/aws_cli_layer/aws-bin

# aws コマンドのバイナリーファイルなどが入ったディレクトリの中身を全てコピーします。
cp -r ./aws-cli/v2/current/dist/* ./bin
```

#### デプロイパッケージ化 ( zip ファイルアーカイブ )

```bash
cd ~/aws_cli_layer
zip -r9 aws_cli_layer.zip bin
```

### 方法 2: aws-lambda-layer-awscli リポジトリを使ってデプロイパッケージ作成する

以下の `aws-lambda-layer-awscli` という AWS 公式のリポジトリに AWS CLI を含めた Lambda レイヤーを作成するためのブランチがあります。
`aws` コマンドだけでなく、`jq` コマンドなども含まれています。

<https://github.com/aws-samples/aws-lambda-layer-awscli>

#### aws-lambda-layer-awscli リポジトリのクローンとデプロイパッケージ作成 ( zip ファイルアーカイブ )

```bash
# aws-lambda-layer-awscli リポジトリのクローンします。
git clone https://github.com/aws-samples/aws-lambda-layer-awscli.git
cd aws-lambda-layer-awscli

# ブランチを awscli-v2-python37 に切り替えます。
git checkout awscli-v2-python37

# ビルドの実行をします。
# ビルドが完了すると、カレントディレクトリに layer.zip が作成されます。これがデプロイパッケージとなります。
make
```

## Lambda レイヤーの作成

デプロイパッケージを使用した Lambda レイヤーの作成手順はこちらにまとめてあります。

<https://blog.grasswake.me/tech-posts/1640005577>

## 動作確認

作成した Lambda レイヤーを使用する Lambda 関数を作成し、テスト実行してみます。
使用するカスタムランタイムはなんでもいいですが、本記事ではカスタムランタイムである Amazon Linux 2 を使用します。
特にエラーが発生せず、実行結果のログに AWS CLI のバージョンの表示と、指定した S3 バケットにファイルが転送されていれば成功です。

:::warning

方法 1 で作成した Lambda レイヤーは Lambda の全てランタイムがサポートするディレクトリ構造のため、パスを指定しなくても aws コマンドが実行できます。
しかし、方法 2 で作成した Lambda レイヤーは Lambda のランタイムがサポートするディレクトリ構造で作成されていないため、aws コマンドの実行にはパスを含める必要があります。

:::

```hello.sh fn=方法 1 で作成した Lambda レイヤーの場合
function handler () {
    EVENT_DATA=$1
    aws --version
    aws s3 cp ./bootstrap s3://xxxxxxxxxxxxxx
    RESPONSE="{\"statusCode\": 200, \"body\": \"Hello from Lambda!\"}"
    echo $RESPONSE
}
```

```hello.sh fn=方法 2 で作成した Lambda レイヤーの場合
function handler () {
    EVENT_DATA=$1
    /opt/awscli/aws --version
    /opt/awscli/aws s3 cp ./bootstrap s3://xxxxxxxxxxxxxx
    RESPONSE="{\"statusCode\": 200, \"body\": \"Hello from Lambda!\"}"
    echo $RESPONSE
}
```

![実行結果](/images/posts/tech-posts/1641911694/test_result.png)

## 参考文献

<https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/install-cliv2-linux.html>

<https://docs.aws.amazon.com/ja_jp/lambda/latest/dg/configuration-layers.html>


Lambda レイヤーにライブラリを追加する ( AWS CLI 編)


## AWS CLI で CloudWatch の FILL 関数により自動生成される各メトリクスの色を任意の色にしたい

AWS CLI で `put-dashboard` コマンドを使用して CloudWatch ダッシュボードとグラフウィジェットの作成を行なっていました。
グラフウィジェット内では FILL 関数 [`FILL(METRICS(), 0)`] を使用していたのですが、この FILL 関数は第一引数の配列の数だけグラフを生成します。
その自動生成する複数のグラフそれぞれに色を指定しようとしました。
しかし、メトリクスの色は `color` プロパティで指定できるのですが、どうやら配列で指定できず、単一値のみでした。

```json fn=問題のjson
{
  "widgets": [
    {
      "type": "metric",
      "x": 0,
      "y": 0,
      "width": 6,
      "height": 6,
      "properties": {
        "view": "timeSeries",
        "stacked": false,
        "metrics": [
          [
            "AWS/EC2",
            "CPUUtilization",
            "InstanceId",
            "i-xxxxxxxxxxxxxxxxx",
            {
              "id": "m1",
              "color": "#FF80AB"
            }
          ],
          [
            "AWS/EC2",
            "CPUUtilization",
            "InstanceId",
            "i-yyyyyyyyyyyyyyyyy",
            {
              "id": "m2",
              "color": "#EA80FC"
            }
          ],
          [
            {
              "expression": "FILL(METRICS(), 0)",
              "id": "e1",
              "label": "FILL",
              "visible": true,
              "color": "#82B1FF",
              "yAxis": "left"
            }
          ]
        ],
        "region": "ap-northeast-1"
      }
    }
  ]
}
```

AWS マネジメントコンソールから確認すると指定された色が一つのグラフのみ適用され他はランダムな色になっているのが確認できます。

![分割前のグラフ](/images/posts/tech-posts/1639476900/not_split.png)

## AWS CLI で CloudWatch の FILL 関数により自動生成される各グラフの色を任意の色にする方法

### 対象となるメトリクスの数だけ数式のメトリクス(FILL 関数)を定義する

**対象となるメトリクスの数だけ数式のメトリクス(FILL 関数)を定義して、それぞれに対して色を指定することにしました。**

そもそも、FILL 関数は第一引数に予備値として使用する値を指定するのですが、今回使用している METRICS() 関数は、リクエストのすべての CloudWatch メトリクス(単一の時系列または時系列の配列)を返します。
METRICS() 関数を FILL 関数の予備値として使用すると、FILL 関数は METRICS() 関数の返り値が時系列の配列のため、その配列の数だけグラフが生成します。
以下の AWS のドキュメントを確認すると、現状 FILL 関数のように 1 つの式により、グラフの時系列の配列が作成される場合、これらの各時系列に使用される色を変更することはできないと明記されていました。

[Metric Math を使用する](https://docs.aws.amazon.com/ja_jp/AmazonCloudWatch/latest/monitoring/using-metric-math.html)

> 1 つの式により、グラフの時系列の配列が作成される場合、これらの各時系列に使用される色を変更することはできません。

そのため、METRICS() 関数ではなく、メトリクスの ID を用いて単一の時系列を指定することで、色を変更することができることができるのではと考え試したところ問題なく色の指定ができました。
しかし、結果として対象となるメトリクスの数だけ数式のメトリクス(FILL 関数)を定義する必要はあります。

```json fn=完成したjson
{
  "widgets": [
    {
      "type": "metric",
      "x": 0,
      "y": 0,
      "width": 6,
      "height": 6,
      "properties": {
        "view": "timeSeries",
        "stacked": false,
        "metrics": [
          [
            "AWS/EC2",
            "CPUUtilization",
            "InstanceId",
            "i-xxxxxxxxxxxxxxxxx",
            {
              "id": "m1",
              "color": "#FF80AB"
            }
          ],
          [
            "AWS/EC2",
            "CPUUtilization",
            "InstanceId",
            "i-yyyyyyyyyyyyyyyyy",
            {
              "id": "m2",
              "color": "#EA80FC"
            }
          ],
          [
            {
              "expression": "FILL(m1, 0)",
              "id": "e1",
              "label": "M1_FILL",
              "visible": true,
              "color": "#82B1FF",
              "yAxis": "left"
            }
          ],
          [
            {
              "expression": "FILL(m2, 0)",
              "id": "e2",
              "label": "M2_FILL",
              "visible": true,
              "color": "#00BFA5",
              "yAxis": "left"
            }
          ]
        ],
        "region": "ap-northeast-1"
      }
    }
  ]
}
```

AWS マネジメントコンソールから確認すると指定された色が適用されているのが確認できます。
見た目も分割する前と変わっていません。

![分割後のグラフ](/images/posts/tech-posts/1639476900/split.png)

## 参考文献

<https://docs.aws.amazon.com/ja_jp/AmazonCloudWatch/latest/monitoring/using-metric-math.html>


AWS CLI で CloudWatch の FILL 関数により自動生成される各メトリクスの色を任意の色にしたい時の方法


## AWS CLI で、IAM ポリシーがアタッチされた IAM ロールと、IAM ロールがアタッチされた AWS サービスを確認する方法はあるのか

- 特定の IAM ポリシーがアタッチされた IAM ロールを確認できる AWS CLI コマンドがあるか。
- 特定の IAM ロールがアタッチされた AWS サービスを確認できる AWS CLI コマンドがあるか。

## AWS CLI で、IAM ポリシーがアタッチされた IAM ロールと、IAM ロールがアタッチされた AWS サービスを確認する方法

### 特定の IAM ポリシーがアタッチされた IAM ロールを確認する方法

list-entities-for-policy コマンドの実行結果内の PolicyRoles の値からご確認することができました。

```bash
aws iam list-entities-for-policy --policy-arn <IAN ポリシーの arn>
{
    "PolicyGroups": [],
    "PolicyUsers": [],
    "PolicyRoles": [
        {
            "RoleName": "SmapleRoleName",
            "RoleId": "AAAAAAAAAAAAAAAAAAAAA"
        },
    ]
}
```

### 特定の IAM ロールがアタッチされた AWS サービスを確認する方法

一方で、特定の IAM ロールがアタッチされた AWS サービスを確認できる AWS CLI コマンドは見つかりませんでした。
ただ、get-role コマンドの実行結果内の AssumeRolePolicyDocument 内の Service の値から推測することは可能ではあるかなと思ったのですが、以下の懸念ともあり、実用性には欠けます。
・AWS サービス単位であって機能単位( 実際にアタッチされている EC2 インスタンスなど )での確認ができない。
・実際にその IAM ロールが AWS サービスにアタッチされているかは確認できない。
・IAM ポリシーの内容は変更が可能なため、確認したタイミング時に IAM ポリシーに記載の AWS サービスとは別の AWS サービスが登録された結果、一致しない可能性がある。

現状、適宜 IAM ロールの使用状況を個別に確認・管理していく必要があるという結論です。
IAM ロールの使用状況に関しては CloudTrail のログから確認できるようなので、こうゆうのを使っていく感じになのかな。

```bash
aws iam get-role --role-name <IAM ロール名>
{
  "Role": {
      ...
      "AssumeRolePolicyDocument": {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "ec2.amazonaws.com"
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      },
      ...
  }
}
```

## 参考文献

<https://docs.aws.amazon.com/ja_jp/cli/latest/reference/iam/list-entities-for-policy.html>

<https://docs.aws.amazon.com/cli/latest/reference/iam/get-role.html>

<https://docs.aws.amazon.com/ja_jp/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html>

<https://aws.amazon.com/jp/premiumsupport/knowledge-center/view-iam-history/>


AWS CLI の記事一覧

AWS CLI Tips 集

Lambda レイヤーにライブラリを追加する ( AWS CLI 編)

AWS CLI で CloudWatch の FILL 関数により自動生成される各メトリクスの色を任意の色にしたい時の方法

AWS CLI で、IAM ポリシーがアタッチされた IAM ロールと、IAM ロールがアタッチされた AWS サービスを確認する方法はあるのか