
## API Gateway のカスタムドメインの API マッピング作成時にステージの入力を省略したい

API Gateway でカスタムドメインを利用するにあたって API マッピング設定が必要です。
通常、API マッピングは以下のように最低限「利用する API」と「API ステージ」を選択します。

![ステージ指定済み](/images/posts/tech-posts/1645093708/specified.png)

一方で、「API ステージ」を複数作成していて、それぞれにドメインを指定するのが大変などの理由から、「API ステージ」の入力を省略することで、「API ステージ」を API リクエストの URL の一部として指定したい場合があります。
しかし、API Gateway コンソールで「API ステージ」を指定せずに作成しようとするとエラーになります。

![エラー](/images/posts/tech-posts/1645093708/error.png)

## API Gateway のカスタムドメインの API マッピング作成時にステージの入力を省略する方法

### AWS CLI を使う

結論から言うと、AWS CLI を利用することで、「API ステージ」を省略した API マッピング設定が可能です。

```bash fn=コマンド例(--base-path は省略可能です。)
aws apigateway create-base-path-mapping --domain-name <カスタムドメイン名> --rest-api-id <API ID>  --base-path <ベースパス>
```

上記コマンド実行後に API Gateway コンソールを確認してみると「API ステージ」が省略された API マッピング設定が確認できます。

![ステージ省略済み](/images/posts/tech-posts/1645093708/no_specified.png)

実際にカスタムドメインに対して「API ステージ」を指定して API を実行できることも確認できます。

```bash fn=prodがステージ名になります
curl --request GET --url https://sample.com/prod/pets/1
{"id": 1,"type": "dog","price": 249.99}
```


API Gateway のカスタムドメインの API マッピング作成時にステージの入力を省略するには


## 概要

Lambda から AWS CLI コマンドを利用できるようにするため、Lambda レイヤーに AWS CLI を追加します。
本記事では、デプロイパッケージの作成方法として 2 通り紹介します。

## Lambda レイヤーに AWS CLI を追加するためのデプロイパッケージ作成方法と手順

### 方法 1: AWS CLI のインストーラーを使ってデプロイパッケージ作成する

```text fn=最終的なデプロイパッケージ( zip ファイルアーカイブ)のフォルダ構成
.
└── bin
    ├── aws
    └── 省略(色々入ります)
```

#### 作業用ディレクトリとレイヤーパスの作成

```bash
mkdir ~/aws_cli_layer
cd ~/aws_cli_layer
mkdir aws-cli aws-bin bin
```

#### AWS CLI インストーラのダウンロードとインストール

`bin` ディレクトリに AWS CLI のバイナリーファイルなどを追加します。

```bash
cd ~/aws_cli_layer

# wget もしくは curl いづれかのコマンドで AWS CLI のインストールファイルをダウンロードします。
wget https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip
curl -O https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip

# ファイルを解凍します。
unzip awscli-exe-linux-x86_64.zip

# 作業用ディレクトリにインストールします。
./aws/install -i ~/aws_cli_layer/aws-cli -b ~/aws_cli_layer/aws-bin

# aws コマンドのバイナリーファイルなどが入ったディレクトリの中身を全てコピーします。
cp -r ./aws-cli/v2/current/dist/* ./bin
```

#### デプロイパッケージ化 ( zip ファイルアーカイブ )

```bash
cd ~/aws_cli_layer
zip -r9 aws_cli_layer.zip bin
```

### 方法 2: aws-lambda-layer-awscli リポジトリを使ってデプロイパッケージ作成する

以下の `aws-lambda-layer-awscli` という AWS 公式のリポジトリに AWS CLI を含めた Lambda レイヤーを作成するためのブランチがあります。
`aws` コマンドだけでなく、`jq` コマンドなども含まれています。

<https://github.com/aws-samples/aws-lambda-layer-awscli>

#### aws-lambda-layer-awscli リポジトリのクローンとデプロイパッケージ作成 ( zip ファイルアーカイブ )

```bash
# aws-lambda-layer-awscli リポジトリのクローンします。
git clone https://github.com/aws-samples/aws-lambda-layer-awscli.git
cd aws-lambda-layer-awscli

# ブランチを awscli-v2-python37 に切り替えます。
git checkout awscli-v2-python37

# ビルドの実行をします。
# ビルドが完了すると、カレントディレクトリに layer.zip が作成されます。これがデプロイパッケージとなります。
make
```

## Lambda レイヤーの作成

デプロイパッケージを使用した Lambda レイヤーの作成手順はこちらにまとめてあります。

<https://blog.grasswake.me/tech-posts/1640005577>

## 動作確認

作成した Lambda レイヤーを使用する Lambda 関数を作成し、テスト実行してみます。
使用するカスタムランタイムはなんでもいいですが、本記事ではカスタムランタイムである Amazon Linux 2 を使用します。
特にエラーが発生せず、実行結果のログに AWS CLI のバージョンの表示と、指定した S3 バケットにファイルが転送されていれば成功です。

:::warning

方法 1 で作成した Lambda レイヤーは Lambda の全てランタイムがサポートするディレクトリ構造のため、パスを指定しなくても aws コマンドが実行できます。
しかし、方法 2 で作成した Lambda レイヤーは Lambda のランタイムがサポートするディレクトリ構造で作成されていないため、aws コマンドの実行にはパスを含める必要があります。

:::

```hello.sh fn=方法 1 で作成した Lambda レイヤーの場合
function handler () {
    EVENT_DATA=$1
    aws --version
    aws s3 cp ./bootstrap s3://xxxxxxxxxxxxxx
    RESPONSE="{\"statusCode\": 200, \"body\": \"Hello from Lambda!\"}"
    echo $RESPONSE
}
```

```hello.sh fn=方法 2 で作成した Lambda レイヤーの場合
function handler () {
    EVENT_DATA=$1
    /opt/awscli/aws --version
    /opt/awscli/aws s3 cp ./bootstrap s3://xxxxxxxxxxxxxx
    RESPONSE="{\"statusCode\": 200, \"body\": \"Hello from Lambda!\"}"
    echo $RESPONSE
}
```

![実行結果](/images/posts/tech-posts/1641911694/test_result.png)

## 参考文献

<https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/install-cliv2-linux.html>

<https://docs.aws.amazon.com/ja_jp/lambda/latest/dg/configuration-layers.html>


Lambda レイヤーにライブラリを追加する ( AWS CLI 編)


## Ubuntu 20.04 on EC2 で runuser や sudo -i 実行時に .bashrc が読み込まれない

Lambda 関数より AWS Systems Manager の SendCommand を使用して、Ubuntu 20.04 on EC2 で任意のコマンドを実行させようとしてました。

因みに、AWS Systems Manager の SendCommand についてドキュメントでは以下のように記載しています。

[AWS Systems Manager - SSM エージェント を介してルートレベルコマンドへのアクセスを制限する](https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/ssm-agent-restrict-root-level-commands.html)

> SSM エージェント は、root アクセス権 (Linux) または SYSTEM アクセス権 (Windows Server) を使用して Amazon Elastic Compute Cloud (Amazon EC2) インスタンスで実行します。最高レベルのシステムアクセス権限が存在するため、SSM エージェント にコマンドを送信する権限が付与されている信頼されたエンティティには root または SYSTEM アクセス権限があります。(AWS では、AWS のアクションを実行してリソースにアクセスできる信頼されたエンティティは、プリンシパルと呼ばれます。AWS アカウントのルートユーザー、IAM ユーザー、またはロールをプリンシパルにすることができます。

上記の記述のように、AWS Systems Manager の SendCommand は `root` アカウントで実行されます。
一方で、AWS の Ubuntu 20.04 の AMI のデフォルトユーザーは `ubuntu` です。
各種モジュールのインストールやパスが通っているのも `ubuntu` ユーザー なので、`ubuntu` ユーザーに切り替えてコマンドを実行するため、以下のようなコマンドを SendCommand で実行しようとしました。

```bash fn=実行したいコマンド
runuser -l ubuntu -c "python ~/analyze.py"
```

しかし、実行結果はコマンドが存在しないといったエラーでした。
`sudo -i` コマンドも使ってみましたが、結果は同じでした。
どうやら path など環境変数を設定したりしている `.bashrc` が読み込まれていないのが原因のようでした。( `.profile` は読み込まれていました)

## Ubuntu 20.04 on EC2 で runuser や sudo -i 実行時に .bashrc が読み込まれない原因

どうやらデフォルトで `.bashrc` ファイルの先頭にシェルの実行オプションに対話型シェルを示す i オプションが含まれていない場合、`.bashrc` の読み込みをキャンセルする処理がありました。

```bash fn=.bashrc
# If not running interactively, don't do anything
case $- in
    *i*) ;;
      *) return;;
esac
```

`runuser` も `sudo -i` も対話型シェルとなるため、`.bashrc` が読み込まれていませんでした。

## Ubuntu 20.04 on EC2 で runuser や sudo -i 実行時に .bashrc が読み込まれない回避策

試しに、該当の処理を消すとコマンドは実行できました。
しかし、元々あった該当の処置を削除していいのか判断がつかなかったため、自分は `.profile` に実行に必要な諸々の定義を移して対応しました。


Ubuntu 20.04 on EC2 で runuser や sudo -i 実行時に .bashrc が読み込まれないんだけど


## S3 のパブリックアクセスブロックの 4 つの各設定項目の挙動を確認してみた背景

以下の画面は Amazon S3 のパブリックアクセスブロックの設定画面です。
各設定に関して日本語で書かれていますが、わかりづらく、挙動の想像がつかないので、実際に各設定の挙動を確認してみた。

![パブリックアクセスブロックの設定画面](/images/posts/tech-posts/1641291341/public_access.png)

## S3 のパブリックアクセスブロックの 4 つの各設定項目

### 新しいアクセスコントロールリスト (ACL) を介して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする ( BlockPublicAcls )

`BlockPublicAcls` についてドキュメントでは以下のように記載しています。

[Amazon S3 ストレージへのパブリックアクセスのブロック \- Amazon Simple Storage Service](https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/userguide/access-control-block-public-access.html)

> このオプションを TRUE に設定すると、次のように動作します。
> ・ 指定されたアクセスコントロールリスト (ACL) がパブリックの場合、PUT Bucket acl 呼び出しと PUT Object acl 呼び出しは失敗します。
> ・ リクエストにパブリック ACL が含まれていると、PUT Object 呼び出しは失敗します。
> ・ この設定がアカウントに適用されている場合、リクエストにパブリック ACL が含まれていると PUT Bucket の呼び出しは失敗します。

とりあえず PUT Object (アップロード) ができなくなるようです。

検証準備します。
`BlockPublicAcls` をオフの状態でオブジェクト A にオブジェクト ACL でパブリックアクセスを許可します。
この設定により、オブジェクト A にオブジェクト URL で外部からアクセスが可能になります。

![パブリックアクセス許可](/images/posts/tech-posts/1641291341/public_access_ok.png)

`BlockPublicAcls` をオンにします。

![BlockPublicAclsの有効化](/images/posts/tech-posts/1641291341/block_public_acls_on.png)

#### 検証 1: オブジェクト A のオブジェクト URL にアクセスする

オブジェクト A が正常に表示されました。
どうやら既存のオブジェクトには影響がなし。

#### 検証 2: オブジェクト B をプライベート設定でアップロードする

以下のようにプライベート設定でのアップロードは成功しました。

![プライベート設定](/images/posts/tech-posts/1641291341/private_off.png)

#### 検証 3: オブジェクト B をパブリック設定でアップロードする

以下のようにパブリック設定でのアップロードはエラーが発生しました。
どうやら新規のオブジェクトをパブリック設定でのアップロードを防ぐようです。

![パブリック設定](/images/posts/tech-posts/1641291341/private_on.png)

### 任意のアクセスコントロールリスト (ACL) を介して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする ( IgnorePublicAcls )

`IgnorePublicAcls` についてドキュメントでは以下のように記載しています。

[Amazon S3 ストレージへのパブリックアクセスのブロック \- Amazon Simple Storage Service](https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/userguide/access-control-block-public-access.html)

> このオプションを TRUE に設定すると、Amazon S3 はバケットとそれに含まれるオブジェクトのすべてのパブリック ACL を無視します。この設定を使用すると、パブリック ACL を含む PUT Object 呼び出しを許可しながら、ACL によって許可されたパブリックアクセスを安全にブロックできます (BlockPublicAcls はパブリック ACL を含む PUT Object 呼び出しを拒否します)。この設定を有効にしても、既存の ACL の永続性には影響せず、新しいパブリック ACL の設定も妨げられません。

とりあえず全てのオブジェクトのパブリック設定が無視されるようです。

検証準備します。
`IgnorePublicAcls` をオフの状態でオブジェクト A にオブジェクト ACL でパブリックアクセスを許可します。
この設定により、オブジェクト A にオブジェクト URL で外部からアクセスが可能になります。

![パブリックアクセス許可](/images/posts/tech-posts/1641291341/public_access_ok.png)

`IgnorePublicAcls` をオンにします。

![IgnorePublicAclsの有効化](/images/posts/tech-posts/1641291341/ignore_public_acls_on.png)

#### 検証 1: オブジェクト A のアクセス許可を確認

パブリックアクセスの許可が上書きされ、パブリックアクセスできなくなっています。

![上書き後のアクセス許可画面](/images/posts/tech-posts/1641291341/overwrite_public.png)

#### 検証 2: IgnorePublicAcls をオフにしてオブジェクト A のアクセス許可を確認

パブリックアクセスの許可が `IgnorePublicAcls` をオンによる上書き前の設定に戻りました。

![上書き前のアクセス許可画面](/images/posts/tech-posts/1641291341/public_access.png)

### 新しいパブリックバケットポリシーまたはアクセスポイントポリシーを介して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする ( BlockPublicPolicy )

`BlockPublicPolicy` についてドキュメントでは以下のように記載しています。

[Amazon S3 ストレージへのパブリックアクセスのブロック \- Amazon Simple Storage Service](https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/userguide/access-control-block-public-access.html)

> バケットに対してこのオプションを TRUE に設定すると、Amazon S3 は、指定されたバケットポリシーでパブリックアクセスが許可されている場合に、PUT バケットポリシーの呼び出しを拒否します。また、指定されたポリシーでパブリックアクセスが許可されている場合に、バケットのすべてのアクセスポイントで PUT アクセスポイントポリシーの呼び出しを拒否します。アクセスポイントに対してこのオプションを TRUE に設定すると、Amazon S3 は、指定されたポリシー (アクセスポイントまたは基になるバケットのいずれかのポリシー) がパブリックである場合に、アクセスポイントを経由した PUT アクセスポイントポリシーと PUT バケットポリシーの呼び出しを拒否します。
> この設定により、バケットやバケット内のオブジェクトをパブリックに共有することを許可することなく、アクセスポイントとバケットポリシーを管理することをユーザーに許可できます。この設定を有効にしても、既存のアクセスポイントやバケットポリシーには影響しません。

とりあえずバケットポリシーの更新( PUT )を拒否するようになるようです。

検証準備します。
`BlockPublicPolicy` をオフにしてバケットポリシーの設定を空にしておきます。

#### 検証 1: バケットポリシーを更新する

`BlockPublicPolicy` をオンにしてバケットポリシーに以下のようなパブリックアクセス許可のポリシーを適用しようとするとエラーになりました。

```json
{
  "Version": "2012-10-17",
  "Id": "ExamplePolicy01",
  "Statement": [
    {
      "Sid": "ExampleStatement01",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": ["s3:GetObject", "s3:GetBucketLocation", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::public-access-1234/*",
        "arn:aws:s3:::public-access-1234"
      ]
    }
  ]
}
```

### 任意のパブリックバケットポリシーまたはアクセスポイントポリシーを介したバケットとオブジェクトへのパブリックアクセスとクロスアカウントアクセスをブロックする ( RestrictPublicBuckets )

`RestrictPublicBuckets` についてドキュメントでは以下のように記載しています。

[Amazon S3 ストレージへのパブリックアクセスのブロック \- Amazon Simple Storage Service](https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/userguide/access-control-block-public-access.html)

> このオプションを TRUE に設定すると、パブリックポリシーを持つアクセスポイントやバケットへのアクセスは、バケット所有者のアカウント内の AWS のサービスプリンシパルと承認されたユーザーのみに制限されます。この設定は、アカウント内のユーザーにアクセスポイントやバケットの管理を許可しながら、アクセスポイントやバケットへのすべてのクロスアカウントアクセス (AWS のサービスプリンシパルによるアクセスを除く) をブロックします。
> この設定を有効にしても、既存のアクセスポイントポリシーやバケットポリシーには影響しません。ただし、Amazon S3 は、特定のアカウントへのパブリックではない委任を含むパブリックアクセスポイントポリシーやパブリックバケットポリシーから派生したパブリックアクセスやクロスアカウントアクセスをブロックします。

とりあえず既存のアクセスポイントポリシーやバケットポリシーを無視して、アクセスをブロックするようです。

検証準備します。
オブジェクト A を以下のようにプライベート設定でアップロードします。
![プライベート設定](/images/posts/tech-posts/1641291341/private_off.png)

オブジェクト A のアクセス許可は以下のようになっていると思います。
![アクセス許可画面](/images/posts/tech-posts/1641291341/overwrite_public.png)

次に、`RestrictPublicBuckets` をオフにしてバケットポリシーに以下のようなパブリックアクセス許可のポリシーを適用しておきます。

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ExampleStatement01",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": ["s3:GetObject", "s3:GetBucketLocation", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::public-access-1234/*",
        "arn:aws:s3:::public-access-1234"
      ]
    }
  ]
}
```

この設定により、オブジェクト A にオブジェクト URL で外部からアクセスが可能になります。

#### 検証 1: RestrictPublicBuckets をオンにして、オブジェクト A のオブジェクト URL にアクセスする

`RestrictPublicBuckets` をオンにします。

![RestrictPublicBucketsの有効化](/images/posts/tech-posts/1641291341/restrict_public_buckets_on.png)

オブジェクト A にオブジェクト URL で外部からアクセスができなくなりました。

![アクセス拒否](/images/posts/tech-posts/1641291341/access_denied.png)

マネジメントコンソール上でも、バケットポリシーに「このバケットに対してブロックパブリックアクセス設定が有効になっているため、パブリックアクセスがブロックされています」と表示されています。

![パブリックアクセスブロック](/images/posts/tech-posts/1641291341/public_access_block.png)


S3 のパブリックアクセスブロックの 4 つの各設定項目について


## Amazon Connect の緊急管理者ログインをリアルタイムに検知してみたい背景

Amazon Connect には「緊急管理者ログイン」というログイン方法があります。
「緊急管理者ログイン」についてドキュメントでは以下のように記載しています。

[緊急管理者ログイン \- Amazon Connect](https://docs.aws.amazon.com/ja_jp/connect/latest/adminguide/emergency-admin-login.html)

> ただし、緊急の場合は、AWS アカウントの認証情報を使用して Amazon Connect コンソールからログインできます。例えば、次のような場合は、この方法でログインする必要があります。
> ・ Amazon Connect 管理者パスワードを忘れてしまい、リセットする他の Amazon Connect 管理者がいない場合。
> ・ 誰かが誤って Amazon Connect 管理者 セキュリティプロファイルを削除した場合。
> ...
> 重要
> 毎日使用する場合は、常にインスタンス URL を使用してログインすることを強くお勧めします。この記事で説明する手順は、インスタンス URL の使用がオプションではない場合に、緊急アクセスにのみ使用してください。

上記の記述のように、緊急時のみに利用するログイン方法となっています。
一方で、管理者権限を有しているので、悪用されると大変なことになります。

Amazon Connect にはログイン/ログアウトレポート機能があり、こちらでエージェントによるログイン/ログアウトだけでなく、「緊急管理者ログイン」によるログイン/ログアウトも確認が可能です。
しかし、「緊急管理者ログイン」のリアルタイムな検知には向かないため、別の方法がないか調べてみました。

## Amazon Connect の緊急管理者ログインをリアルタイムに検知するにはどうすればいいか

### Amazon Connect エージェントイベントストリームを使う

Amazon Connect には「Amazon Connect エージェントイベントストリーム」という Amazon Connect インスタンス内のエージェントによるアクティビティを Amazon Kinesis Data Streams に配信する機能です。
「Amazon Connect エージェントイベントストリーム」についてドキュメントでは以下のように記載しています。

[Amazon Connect エージェントのイベントストリーム \- Amazon Connect](https://docs.aws.amazon.com/ja_jp/connect/latest/adminguide/agent-event-streams.html)

> Amazon Connect エージェントのイベントストリームは、Amazon Connect インスタンス内のエージェントによるアクティビティを、ほぼリアルタイムでレポートするための Amazon Kinesis のデータストリームです。ストリームに発行されたイベントには、次の CCP イベントが含まれます。
> ・ エージェントのログイン
> ・ エージェントのログアウト
> ・ エージェントが問い合わせに接続する
> ・ エージェントのステータスの変更 (問い合わせに対応できる [使用可能]、[休憩中] または [トレーニング] など）。

上記の記述には、「エージェントのログイン/ログアウト」と「緊急管理者ログイン」については明記されていませんが、検証してみたところ、「緊急管理者ログイン」のログイン/ログアウトに関しても配信されることを確認できました。

後は、Amazon Connect エージェントイベントストリーム を Kinesis Data Streams に配信する設定を行い、コンシューマーとして、EventType\:LOGIN を検出した場合に通知を行うようなアプリケーションを Lambda などで構築することで「緊急管理者ログイン」のリアルタイム検知が可能になります。

```json fn=緊急管理者ログイン時のデータ
{
    "AWSAccountId": "126721485485",
    "AgentARN": "arn:aws:connect:ap-northeast-1:xxxxxxxxxxx:instance/xxxxxxx-yyyy-zzzz-wwww-1111111111/agent/5da9e1aa-1234-45cb-asdf-4b2fdsa5af2e",
    "CurrentAgentSnapshot": {
        ...
    },
    "EventId": "3e00cbd8-xxxx-xxxx-xxxx-e4329a6e907b",
    "EventTimestamp": "2021-12-22T03:26:20.146Z",
    "EventType": "LOGIN",
    "InstanceARN": "arn:aws:connect:ap-northeast-1:xxxxxxxxxxx:instance/xxxxxxx-yyyy-zzzz-wwww-1111111111",
    "PreviousAgentSnapshot": {
       ...
    },
    "Version": "2017-10-01"
}
```

## Amazon Connect の緊急管理者ログインをリアルタイムに検知する　おまけ

「緊急管理者ログイン」の検証時に CloudTrail のログを確認したらそれらしいログが記録されていることが確認できました。

- `eventName` が `AdminGetEmergencyAccessToken` のログの件数と、ログイン/ログアウトレポートの結果の件数が一致することを確認済み。
- ログアウトを示すログはなかった。ログアウト自体 Amazon Connect Instace 側でやっているから CloudTrail に出ないのかも。
- 通常のエージェントのログインを示すようなログは確認できなかった。ログイン URL が Amazon Connect Instace 側だから CloudTrail に出ないのかも。

```json fn=緊急ログインと思われるログ
{
  "eventVersion": "1.08",
  "userIdentity": {
    ...
  },
  "eventTime": "2021-10-22T01:20:48Z",
  "eventSource": "connect.amazonaws.com",
  "eventName": "AdminGetEmergencyAccessToken",
  ...
}
```


Amazon Connect の緊急管理者ログインをリアルタイムに検知する


## 概要

Lambda の Python ランタイムから URLExtract モジュールを利用できるようにするため、Lambda レイヤーに URLExtract を追加します。

## Lambda レイヤーに URLExtract モジュールを追加する手順

### 作業用ディレクトリとレイヤーパスの作成

```bash
mkdir -p ~/urlextract_layer/python
```

### urlextract インストール

`python` ディレクトリに `urlextract` をインストールします。

```bash
cd ~/urlextract_layer
pip install urlextract -t python
```

### デプロイパッケージ化( zip ファイルアーカイブ)

```bash
cd ~/urlextract_layer
zip -r9 urlextract_layer.zip python
```

### Lambda レイヤーの作成

デプロイパッケージを使用した Lambda レイヤーの作成手順はこちらにまとめてあります。

<https://blog.grasswake.me/tech-posts/1640005577>

### Read-only file system: '/home/sbx_user1051'

:::warning

URLExtract は書き込み可能なキャッシュディレクトリーを必要とします。
利用するキャッシュディレクトリーは URLExtract インスタンスの初期化時に `cache_dir` パラメータで指定することができます。

一方で、Lambda の環境では書き込み可能なディスク領域は、`/tmp` ディレクトリ内のみとなっています。
そのため、そのまま URLExtract を利用すると、ホームディレクトリ( `/home/sbx_user1051` ) に書き込もうとして、`Read-only file system: '/home/sbx_user1051'` エラーが発生します。

解決方法としては、利用するキャッシュディレクトリーとして `/tmp` ディレクトリを使用するようにすることで回避できます。

:::

```py
import json
from urlextract import URLExtract

def lambda_handler(event, context):
    extractor = URLExtract(cache_dir='/tmp')
```


Lambda レイヤーにライブラリを追加する ( URLExtract 編)


Lambda の Python ランタイムで標準で利用可能なモジュールを `help("modules")` を使って調べてみました。

## Lambda の Python ランタイムで標準で利用可能なモジュール

### Lambda の Python ランタイムが Python 3.9 の場合

:::details[利用可能なモジュール]

```text
__future__ _thread gettext s3transfer
_abc _threading_local glob sched
_aix_support _tracemalloc graphlib secrets
_ast _warnings grp select
_asyncio _weakref gzip selectors
_bisect _weakrefset hashlib setuptools
_blake2 _xxsubinterpreters heapq shelve
_bootlocale _xxtestfuzz hmac shlex
_bootsubprocess _zoneinfo html shutil
_bz2 abc http signal
_codecs aifc idlelib simplejson
_codecs_cn antigravity imaplib site
_codecs_hk argparse imghdr six
_codecs_iso2022 array imp smtpd
_codecs_jp ast importlib smtplib
_codecs_kr asynchat inspect sndhdr
_codecs_tw asyncio io socket
_collections asyncore ipaddress socketserver
_collections_abc atexit itertools spwd
_compat_pickle audioop jmespath sqlite3
_compression awslambdaric json sre_compile
_contextvars base64 keyword sre_constants
_crypt bdb lambda_function sre_parse
_csv binascii lib2to3 ssl
_ctypes binhex linecache stat
_ctypes_test bisect locale statistics
_curses bootstrap logging string
_curses_panel boto3 lzma stringprep
_datetime botocore mailbox struct
_dbm builtins mailcap subprocess
_decimal bz2 marshal sunau
_distutils_hack cProfile math symbol
_elementtree calendar mimetypes symtable
_functools cgi mmap sys
_gdbm cgitb modulefinder sysconfig
_hashlib chunk multiprocessing syslog
_heapq cmath netrc tabnanny
_imp cmd nis tarfile
_io code nntplib telnetlib
_json codecs ntpath tempfile
_locale codeop nturl2path termios
_lsprof collections numbers test
_lzma colorsys opcode textwrap
_markupbase compileall operator this
_md5 concurrent optparse threading
_multibytecodec configparser os time
_multiprocessing contextlib ossaudiodev timeit
_opcode contextvars parser tkinter
_operator copy pathlib token
_osx_support copyreg pdb tokenize
_peg_parser crypt pickle trace
_pickle csv pickletools traceback
_posixshmem ctypes pip tracemalloc
_posixsubprocess curses pipes tty
_py_abc dataclasses pkg_resources turtle
_pydecimal datetime pkgutil turtledemo
_pyio dateutil platform types
_queue dbm plistlib typing
_random decimal poplib unicodedata
_sha1 difflib posix unittest
_sha256 dis posixpath urllib
_sha3 distutils pprint urllib3
_sha512 doctest profile uu
_signal email pstats uuid
_sitebuiltins encodings pty venv
_socket ensurepip pwd warnings
_sqlite3 enum py_compile wave
_sre errno pyclbr weakref
_ssl faulthandler pydoc webbrowser
_stat fcntl pydoc_data wsgiref
_statistics filecmp pyexpat xdrlib
_string fileinput queue xml
_strptime fnmatch quopri xmlrpc
_struct formatter random xxlimited
_symtable fractions re xxsubtype
_sysconfigdata__linux_x86_64-linux-gnu ftplib readline zipapp
_testbuffer functools reprlib zipfile
_testcapi gc resource zipimport
_testimportmultiple genericpath rlcompleter zlib
_testinternalcapi getopt runpy zoneinfo
_testmultiphase getpass runtime_client
```

:::

### Lambda の Python ランタイムが Python 3.8 の場合

:::details[利用可能なモジュール]

```text
__future__ _tracemalloc gzip s3transfer
_abc _warnings hashlib sched
_ast _weakref heapq secrets
_asyncio _weakrefset hmac select
_bisect _xxsubinterpreters html selectors
_blake2 _xxtestfuzz http setup
_bootlocale abc idlelib setuptools
_bz2 aifc imaplib shelve
_codecs antigravity imghdr shlex
_codecs_cn argparse imp shutil
_codecs_hk array importlib signal
_codecs_iso2022 ast index site
_codecs_jp asynchat inspect six
_codecs_kr asyncio io smtpd
_codecs_tw asyncore ipaddress smtplib
_collections atexit itertools sndhdr
_collections_abc audioop jmespath socket
_compat_pickle base64 json socketserver
_compression bdb keyword spwd
_contextvars binascii lambda_internal sqlite3
_crypt binhex lambda_runtime_client sre_compile
_csv bisect lambda_runtime_exception sre_constants
_ctypes bootstrap lambda_runtime_marshaller sre_parse
_ctypes_test boto3 lib2to3 ssl
_curses botocore linecache stat
_curses_panel builtins locale statistics
_datetime bz2 logging string
_dbm cProfile lzma stringprep
_decimal calendar mailbox struct
_distutils_hack cgi mailcap subprocess
_dummy_thread cgitb marshal sunau
_elementtree chunk math symbol
_functools cmath mimetypes symtable
_gdbm cmd mmap sys
_hashlib code modulefinder sysconfig
_heapq codecs multiprocessing syslog
_imp codeop netrc tabnanny
_io collections nis tarfile
_json colorsys nntplib telnetlib
_locale compileall ntpath tempfile
_lsprof concurrent nturl2path termios
_lzma configparser numbers test
_markupbase contextlib opcode textwrap
_md5 contextvars operator this
_multibytecodec copy optparse threading
_multiprocessing copyreg os time
_opcode crypt ossaudiodev timeit
_operator csv parser tkinter
_osx_support ctypes pathlib token
_pickle curses pdb tokenize
_posixshmem dataclasses pickle trace
_posixsubprocess datetime pickletools traceback
_py_abc dateutil pip tracemalloc
_pydecimal dbm pipes tty
_pyio decimal pkg_resources turtle
_queue difflib pkgutil turtledemo
_random dis platform types
_sha1 distutils plistlib typing
_sha256 doctest poplib unicodedata
_sha3 dummy_threading posix unittest
_sha512 email posixpath urllib
_signal encodings pprint urllib3
_sitebuiltins ensurepip profile uu
_socket enum pstats uuid
_sqlite3 errno pty venv
_sre faulthandler pwd warnings
_ssl fcntl py_compile wave
_stat filecmp pyclbr weakref
_statistics fileinput pydoc webbrowser
_string fnmatch pydoc_data wsgiref
_strptime formatter pyexpat xdrlib
_struct fractions queue xml
_symtable ftplib quopri xmlrpc
_sysconfigdata__linux_x86_64-linux-gnu functools random xxlimited
_testbuffer gc rapid_client xxsubtype
_testcapi genericpath re zipapp
_testimportmultiple getopt readline zipfile
_testinternalcapi getpass reprlib zipimport
_testmultiphase gettext resource zlib
_thread glob rlcompleter
_threading_local grp runpy
```

:::

### Lambda の Python ランタイムが Python 3.7 の場合

:::details[利用可能なモジュール]

```text
__future__ _xxtestfuzz hashlib s3transfer
_abc abc heapq sched
_ast aifc hmac secrets
_asyncio antigravity html select
_bisect argparse http selectors
_blake2 array idlelib setuptools
_bootlocale ast idna shelve
_bz2 asynchat imaplib shlex
_codecs asyncio imghdr shutil
_codecs_cn asyncore imp signal
_codecs_hk atexit importlib site
_codecs_iso2022 audioop inspect six
_codecs_jp base64 io smtpd
_codecs_kr bdb ipaddress smtplib
_codecs_tw binascii itertools sndhdr
_collections binhex jmespath socket
_collections_abc bisect json socketserver
_compat_pickle bootstrap keyword spwd
_compression boto3 lambda_function sqlite3
_contextvars botocore lambda_runtime_client sre_compile
_crypt builtins lambda_runtime_exception sre_constants
_csv bz2 lambda_runtime_marshaller sre_parse
_ctypes cProfile lib2to3 ssl
_ctypes_test calendar linecache stat
_curses certifi locale statistics
_curses_panel cgi logging string
_datetime cgitb lzma stringprep
_dbm chardet macpath struct
_decimal charset_normalizer mailbox subprocess
_dummy_thread chunk mailcap sunau
_elementtree cmath marshal symbol
_functools cmd math symtable
_gdbm code mimetypes sys
_hashlib codecs mmap sysconfig
_heapq codeop modulefinder syslog
_imp collections multiprocessing tabnanny
_io colorsys netrc tarfile
_json compileall nis telnetlib
_locale concurrent nntplib tempfile
_lsprof configparser ntpath termios
_lzma contextlib nturl2path test
_markupbase contextvars numbers test_bootstrap
_md5 copy opcode test_lambda_runtime_client
_multibytecodec copyreg operator test_lambda_runtime_marshaller
_multiprocessing crypt optparse textwrap
_opcode csv os this
_operator ctypes ossaudiodev threading
_osx_support curses parser time
_pickle dataclasses pathlib timeit
_posixsubprocess datetime pdb tkinter
_py_abc dateutil pickle token
_pydecimal dbm pickletools tokenize
_pyio decimal pip trace
_queue difflib pipes traceback
_random dis pkg_resources tracemalloc
_sha1 distutils pkgutil tty
_sha256 doctest platform turtle
_sha3 dummy_threading plistlib turtledemo
_sha512 easy_install poplib types
_signal email posix typing
_sitebuiltins encodings posixpath unicodedata
_socket ensurepip pprint unittest
_sqlite3 enum profile urllib
_sre errno pstats urllib3
_ssl faulthandler pty uu
_stat fcntl pwd uuid
_string filecmp py_compile venv
_strptime fileinput pyclbr warnings
_struct fnmatch pydoc wave
_symtable formatter pydoc_data weakref
_sysconfigdata_m_linux_x86_64-linux-gnu fractions pyexpat webbrowser
_testbuffer ftplib queue wsgiref
_testcapi functools quopri xdrlib
_testimportmultiple gc random xml
_testmultiphase genericpath re xmlrpc
_thread getopt readline xxlimited
_threading_local getpass reprlib xxsubtype
_tracemalloc gettext requests zipapp
_warnings glob resource zipfile
_weakref grp rlcompleter zipimport
_weakrefset gzip runpy zlib
```

:::

### Lambda の Python ランタイムが Python 3.6 の場合

:::details[利用可能なモジュール]

```text
__future__ array idna secrets
_ast ast imaplib select
_asyncio asynchat imghdr selectors
_bisect asyncio imp setuptools
_blake2 asyncore importlib shelve
_bootlocale atexit inspect shlex
_bz2 audioop io shutil
_codecs base64 ipaddress signal
_codecs_cn bdb itertools site
_codecs_hk binascii jmespath six
_codecs_iso2022 binhex json smtpd
_codecs_jp bisect keyword smtplib
_codecs_kr bootstrap lambda_function sndhdr
_codecs_tw boto3 lib2to3 socket
_collections botocore liblambdaio socketserver
_collections_abc builtins liblambdaipc spwd
_compat_pickle bz2 liblambdalog sqlite3
_compression cProfile liblambdaruntime sre_compile
_crypt calendar linecache sre_constants
_csv certifi locale sre_parse
_ctypes cgi logging ssl
_ctypes_test cgitb lzma stat
_curses chardet macpath statistics
_curses_panel chunk macurl2path string
_datetime cmath mailbox stringprep
_decimal cmd mailcap struct
_dummy_thread code marshal subprocess
_elementtree codecs math sunau
_functools codeop mimetypes symbol
_hashlib collections mmap symtable
_heapq colorsys modulefinder sys
_imp compileall multiprocessing sysconfig
_io concurrent netrc syslog
_json configparser nis tabnanny
_locale contextlib nntplib tarfile
_lsprof copy ntpath telnetlib
_lzma copyreg nturl2path tempfile
_markupbase crypt numbers termios
_md5 csv opcode test
_multibytecodec ctypes operator textwrap
_multiprocessing curses optparse this
_opcode datetime os threading
_operator dateutil ossaudiodev time
_osx_support dbm parser timeit
_pickle decimal pathlib tkinter
_posixsubprocess difflib pdb token
_pydecimal dis pickle tokenize
_pyio distutils pickletools trace
_random doctest pip traceback
_sha1 dummy_threading pipes tracemalloc
_sha256 easy_install pkg_resources tty
_sha3 email pkgutil turtle
_sha512 encodings platform turtledemo
_signal ensurepip plistlib types
_sitebuiltins enum poplib typing
_socket errno posix unicodedata
_sqlite3 faulthandler posixpath unittest
_sre fcntl pprint urllib
_ssl filecmp profile urllib3
_stat fileinput pstats uu
_string fnmatch pty uuid
_strptime formatter pwd venv
_struct fractions py_compile warnings
_symtable ftplib pyclbr wave
_sysconfigdata_m_linux_x86_64-linux-gnu functools pydoc weakref
_testbuffer gc pydoc_data webbrowser
_testcapi genericpath pyexpat wsgi
_testimportmultiple getopt queue wsgiref
_testmultiphase getpass quopri xdrlib
_thread gettext random xml
_threading_local glob re xmlrpc
_tracemalloc grp readline xxlimited
_warnings gzip reprlib xxsubtype
_weakref hashlib resource zipapp
_weakrefset heapq rlcompleter zipfile
abc hmac runpy zipimport
aifc html runtime zlib
antigravity http s3transfer
argparse idlelib sched
```

:::


Lambda の Python ランタイムで標準で利用可能なモジュール


## 概要

Lambda から Terraform コマンドを利用できるようにするため、Lambda レイヤーに Terraform を追加します。

## Lambda レイヤーに Terraform を追加する手順

```text fn=最終的なデプロイパッケージ( zip ファイルアーカイブ)のフォルダ構成
.
└── bin
    └── terraform
```

### 作業用ディレクトリとレイヤーパスの作成

```bash
mkdir -p ~/terraform_layer/bin
```

### Terraform のダウンロード

`bin` ディレクトリに Terraform のバイナリーファイルを追加します。

```bash
cd ~/terraform_layer/bin

# wget もしくは curl いづれかのコマンドで Terraform のバイナリーファイルをダウンロードします。
# Lamda レイヤーを使用する Lambda 関数の アーキテクチャが x86_64 の場合は以下の URL からダウンロードします。
wget https://releases.hashicorp.com/terraform/1.1.2/terraform_1.1.2_linux_amd64.zip
curl -O https://releases.hashicorp.com/terraform/1.1.2/terraform_1.1.2_linux_amd64.zip

# Lamda レイヤーを使用する Lambda 関数の アーキテクチャが arm64 の場合は以下の URL からダウンロードします。
wget https://releases.hashicorp.com/terraform/1.1.2/terraform_1.1.2_linux_arm64.zip
curl -O https://releases.hashicorp.com/terraform/1.1.2/terraform_1.1.2_linux_arm64.zip

# ファイルを解凍します。
unzip terraform_1.1.2_linux_amd64.zip

# 実行権限を付与しておきます。
chmod 755 terraform
```

### デプロイパッケージ化( zip ファイルアーカイブ)

```bash
cd ~/terraform_layer
zip -r9 terraform_layer.zip bin
```

### Lambda レイヤーの作成

デプロイパッケージを使用した Lambda レイヤーの作成手順はこちらにまとめてあります。

<https://blog.grasswake.me/tech-posts/1640005577>

## 動作確認

作成した Lambda レイヤーを使用する Lambda 関数を作成し、テスト実行してみます。
使用するカスタムランタイムはなんでもいいですが、本記事ではカスタムランタイムである Amazon Linux 2 を使用します。
特にエラーが発生せず、実行結果のログに terraform のバージョンが表示されていれば成功です。

```hello.sh
function handler () {
    EVENT_DATA=$1
    terraform --version
    RESPONSE="{\"statusCode\": 200, \"body\": \"Hello from Lambda!\"}"
    echo $RESPONSE
}
```


Lambda レイヤーにライブラリを追加する ( Terraform 編)


## 概要

Lambda レイヤーのデプロイパッケージの作成後の基本的な Lambda レイヤーの作成手順をまとめました。
サンプルとしてこちらの記事で作成した Lambda レイヤーを使用します。

<https://blog.grasswake.me/tech-posts/1639995611>

## Lamda レイヤーについて

[Lambda レイヤーの作成と共有 \- AWS Lambda](https://docs.aws.amazon.com/ja_jp/lambda/latest/dg/configuration-layers.html#configuration-layers-path)

> ライブラリの依存関係をレイヤーに含める
> Lambda ランタイムごとに、PATH 変数に /opt ディレクトリ内の特定のフォルダが含まれます。レイヤー .zip ファイルアーカイブに同じフォルダ構造を定義すると、関数コードはパスを指定しなくても、レイヤーコンテンツにアクセスできます。

上記の記述のように、Lambda レイヤーにアップロードする zip ファイルアーカイブに特定のディレクトリにライブラリなどの依存関係を含めておくだけで、パスを指定しなくてもそれを利用することができます。
Lambda レイヤーを使用すると、他の Lambda 関数とのコードの共有と責任の分離ができます。
個人的には、ちょっとでもデプロイパッケージが大きいと、Lmabda のコンソールでコードを修正できなくなるので、外部ライブラリを使用する時点で他の Lambda 関数と共有する・しない関係なく Lambda レイヤー化しています。

## Lambda レイヤーの作成手順 ( AWS マネジメントコンソール編 )

### Lambda レイヤーの作成

Lambda コンソールのナビゲーションから「レイヤー」を選択して、「レイヤー」ページを開き、「レイヤーの作成」を選択します。

![Lambdaコンソール](/images/posts/tech-posts/1640005577/layer_page.png)

Lambda レイヤーの `名前`と「互換性のあるランタイム - オプション」を入力、「デプロイパッケージ」のアップロードを行います。
「互換性のあるランタイム - オプション」は複数選択可能で、この Lambda レイヤーを利用する予定の Lambda 関数のランタイムを選択します。ここで選択したランタイムを使用している Lambda 関数に対して、Lambda レイヤーを追加することができます。
デプロイパッケージ ( .zip ファイル ) をアップロードします。

:::info
画面に明記されているように、デプロイパッケージ ( .zip ファイル ) のサイズが 10 MB を超える場合は、Amazon S3 経由でアップロードするのを推奨しているようです。
:::

:::warning
Lambda 関数に指定可能なカスタムランタイムは、2021/12/20 時点では「Amazon Linux 1」と「Amazon Linux 2」の 2 種類が選択できます。
しかし、2021/12/20 時点では AWS マネジメントコンソールを使用して、Lambda レイヤーを作成する際に、「互換性のあるランタイム - オプション」で「カスタムランタイム」という選択肢しかありませんでした。
この「カスタムランタイム」とは「Amazon Linux 1」を指しており、「Amazon Linux 2」は選択できませんでした。
一方で、AWS CLI で Lambda レイヤーを作成する際は、「Amazon Linux 2」を選択可能です。
そのため、ランタイム環境が「Amazon Linux 2」の Lambda 関数で使用する Lambda レイヤーを使用したい場合は、AWS CLI で Lambda レイヤーを作成してください。
:::

![Lambdaレイヤー作成](/images/posts/tech-posts/1640005577/layer_zip.png)

Amazon S3 を使用したアップロードを行う場合は、Amazon S3 に アップロードしたデプロイパッケージ ( .zip ファイル ) のオブジェクト URL を入力します。

![S3の場合](/images/posts/tech-posts/1640005577/layer_s3.png)

### Lambda 関数に Lambda レイヤーを追加

対象の Lambda 関数のコンソールの「コード」タブを選択し、「レイヤーの追加」を選択します。

![レイヤーの追加](/images/posts/tech-posts/1640005577/layer_add_start.png)

「レイヤーソース」としてカスタムレイヤーを選択し、追加する Lambda レイヤーとバージョンを選択し、「追加」を選択します。

![レイヤーの追加中](/images/posts/tech-posts/1640005577/layer_adding.png)

追加が完了です。

![レイヤー追加完了](/images/posts/tech-posts/1640005577/layer_add_comp.png)

## Lambda レイヤーの作成手順 ( AWS CLI 編 )

### Lambda レイヤーの作成・更新

Lambda レイヤーを作成または更新する場合は、`publish-layer-version` コマンドを使用します。

:::info
ランタイム環境「Amazon Linux 2」を対象とした Lambda レイヤーを作成したい場合は、`--compatible-runtimes` オプションで `provided.al2` を指定してください。
:::

なお、デプロイパッケージ (.zip ファイルアーカイブ) のサイズ上限は 50 MB です。
デプロイパッケージ (.zip ファイルアーカイブ) が 50 MB 以下であれば、`publish-layer-version` コマンドで直接アップロードできます。
50 MB を超える場合は、一旦 S3 にアップロードして、格納した場所を `publish-layer-version` コマンドで指定します。

```bash fn=直接アップロードする場合
aws lambda publish-layer-version --layer-name jq_layer \
  --zip-file fileb://jq_layer.zip \
  --compatible-runtimes provided
```

```bash fn=S3 経由の場合
aws s3 cp jq_layer.zip s3://<バケット名>
aws lambda publish-layer-version --layer-name jq_layer \
  --content S3Bucket=<バケット名>,S3Key=jq_layer.zip \
  --compatible-runtimes provided
```

### Lambda 関数を新規に作成する際に Lambda レイヤーを追加する

Lambda 関数を作成する `create-function` コマンドの `--layer` オプションに追加したい Lambda レイヤーの ARN を指定します。

```bash fn=直接アップロードする場合
aws lambda create-function --function-name sample_function \
  --handler function.handler \
  --runtime provided \
  --role arn:aws:iam::xxxxxxxxxxxxxxxxxx:role/lambda-role \
  --zip-file fileb://function.zip \
  --layers arn:aws:lambda:ap-northeast-1:xxxxxxxxxxxxxxxxxx::layer:jq_layer:1
```

```bash fn=S3 経由の場合
aws s3 cp jq_layer.zip s3://<バケット名>
aws lambda create-function --function-name sample_function \
  --handler function.handler \
  --runtime provided \
  --role arn:aws:iam::xxxxxxxxxxxxxxxxxx:role/lambda-role \
  --content S3Bucket=<バケット名>,S3Key=jq_layer.zip \
  --layers arn:aws:lambda:ap-northeast-1:xxxxxxxxxxxxxxxxxx::layer:jq_layer:1
```

### 作成済みの Lmabda 関数に Lambda レイヤーを追加する

作成済みの Lambda 関数の設定を更新する `update-function-configuration` コマンドの `--layer` オプションに追加したい Lambda レイヤーの ARN を指定します。

```bash
aws lambda update-function-configuration --function-name sample_function-runtime \
  --layers arn:aws:lambda:ap-northeast-1:xxxxxxxxxxxxxxxxxx::layer:jq_layer:1
```

### Lambda 関数を直接実行する

```bash
aws lambda invoke --function-name bash-runtime --payload '{"text":"Hello"}' response.txt
```


Lambda レイヤーの作成手順


## 概要

Lambda から jq コマンドを利用できるようにするため、Lambda レイヤーに jq を追加します。

## Lambda レイヤーに jq を追加する手順

```text fn=最終的なデプロイパッケージ( zip ファイルアーカイブ)のフォルダ構成
.
└── bin
    └──jq
```

### 作業用ディレクトリとレイヤーパスの作成

```bash
mkdir -p ~/jq_layer/bin
```

### jq のダウンロード

bin ディレクトリに jq のバイナリーファイルを追加します。

```bash
cd ~/jq_layer/bin

# 以下の wget もしくは curl いづれかのコマンドで jq のバイナリーファイルをダウンロードします。
wget https://github.com/stedolan/jq/releases/download/jq-1.6/jq-linux64  -O jq
curl -Lo jq https://github.com/stedolan/jq/releases/download/jq-1.6/jq-linux64

# 実行権限を付与しておきます。
chmod 755 jq
```

### デプロイパッケージ化( zip ファイルアーカイブ)

```bash
cd ~/jq_layer
zip -r9 jq_layer.zip bin
```

### Lambda レイヤーの作成

デプロイパッケージを使用した Lambda レイヤーの作成手順はこちらにまとめてあります。

<https://blog.grasswake.me/tech-posts/1640005577>

## 動作確認

作成した Lambda レイヤーを使用する Lambda 関数を作成し、テスト実行してみます。
使用するカスタムランタイムはなんでもいいですが、本記事ではカスタムランタイムである Amazon Linux 2 を使用します。
特にエラーが発生せず、実行結果のログに jq のバージョンが表示されていれば成功です。

```hello.sh
function handler () {
    EVENT_DATA=$1
    jq --version
    RESPONSE="{\"statusCode\": 200, \"body\": \"Hello from Lambda!\"}"
    echo $RESPONSE
}
```
