YAZエンジニアが運営するメディア

💡 本記事で「SSO認証」を採用している理由

一般的な学習環境や個人開発では、IAMユーザーのアクセスキー（AWS Access Key ID / AWS Secret Access Key）を用いた認証がよく使われます。

しかし、本研修環境（社内環境）の都合上、SSO認証での手順を解説しています。

※ IAMユーザー（アクセスキー）認証で進めたい方は、以下の公式ドキュメントや解説記事を参照のうえ、aws configure コマンド等で設定を行ってください。

• AWS CLI の設定（IAM ユーザーアクセスキー） – AWS 公式ドキュメント
• AWS CLIを利用するため必要な初期設定について – Classmethod DevelopersIO

Dockerコンテナの作成や実行に必要な環境です。加えて、お使いのOS（Windows / Mac）に合わせたインストーラーをダウンロードし、セットアップを進めてください。

一方で、ターミナルからAWSリソースを操作・認証するためには、コマンドラインツールが必要です。そのため、AWS CLIをインストールしてください。

まず、ターミナル（Windowsの場合はPowerShellやWSL、Macの場合はTerminalやiTerm2）を開き、以下のコマンドを実行します。

aws configure sso

次に、コマンドを実行すると対話型プロンプトが表示されるので、以下の情報を順に入力します。

1. SSO session name: my-sso-session
2. SSO start URL: IAM Identity Centerのスタートページ URL
3. SSO region: ap-northeast-1（東京）または ap-northeast-3（大阪）

続いて、ターミナル上の表示に従い自動または手動でブラウザが立ち上がるので、ログインを承認します。

その後、ターミナルに戻ると、アクセスできるAWSアカウントの一覧と使用可能なロール（権限）が表示されるので、矢印キーで選択します。

さらに、以下の通りCLIの基本設定を行います。

1. CLI default client Region: ap-northeast-1（または ap-northeast-3）
2. CLI default output format: json
3. CLI default profile name: my-sso

ここまでの設定が正しく完了したかどうかは、以下のコマンドで確認できます。

aws s3 ls --profile my-sso

S3バケット一覧（または空の応答）が表示されれば、正常に連携できています。

ただし、毎回 --profile my-sso オプションを入力するのは手間がかかります。そこで、以下のコマンドでプロファイル情報を現在のターミナルセッションに設定しておきましょう。

【Mac / Linux】

export AWS_PROFILE="my-sso"

【Windows (Command Prompt)】

set AWS_PROFILE=my-sso

【Windows (PowerShell)】

$env:AWS_PROFILE="my-sso"

最後に、環境変数が正しく適用されたかどうかを、以下のコマンドで確認します。

aws s3 ls

オプションなしでS3バケット一覧が表示されれば完了です。

なお、SSOのセッションが切れた場合の対処法については、トラブルシューティングの項目1で解説しています。

FROM httpd:2.4
COPY index.html /usr/local/apache2/htdocs/index.html

まず、以下のコマンドを ecs-sample 直下で実行し、Dockerイメージをビルドします。

docker build -t ecs-sample .

次に、以下のコマンドでローカルコンテナを起動します。

docker run -p 8080:80 ecs-sample

最後に、ブラウザから以下のURLにアクセスし、作成した index.html の内容が表示されるか動作確認します。

http://localhost:8080

まず、AWSマネジメントコンソールからAmazon ECR（Elastic Container Registry）にアクセスし、リポジトリを作成します（例: ecs-sample）。

次に、ECRコンソール画面右上にある「プッシュコマンドを表示」ボタンをクリックします。

そして、表示された以下のステップの順にコマンドを端末で実行します。

1. aws ecr get-login-password を使ったECRへのログイン
2. docker tag によるイメージのタグ付け
3. docker push によるECRへのイメージ送信

Step 3: ECS (Fargate) & ALB インフラ環境の構築

1. 事前準備（IAMロール & CloudWatch Logs）

1. ECSタスク実行ロール（ecsTaskExecutionRole）の準備: ECRからのイメージ引き抜きやCloudWatchへのログ送信に必要な権限（AmazonECSTaskExecutionRolePolicy）が付与されていることを確認します。
   

2. ECSクラスターの作成

まず、ECSコンソールから「クラスターの作成」を選択します。

次に、クラスター名を入力します（例: ecs-cluster-[name]-01）。

画像のように、インフラストラクチャの起動タイプとして「AWS Fargate」を選択して作成します。

3. タスク定義（Task Definition）の作成

「タスク定義の新規作成」を選択し、以下の項目を設定します。

4. ALB構築およびECSサービスのデプロイ

ECSサービスの作成画面から、ALB（ロードバランサー）やターゲットグループの設定を同時に行い、デプロイまでを完了させます。

1. SSOのセッション切れ

【現象】
AWS CLI実行時に認証エラーが発生する。

【対策】
設定をやり直す必要はありません。aws sso login コマンドを実行し、ブラウザで再承認を行うことで認証を更新できます。詳しい初期設定の手順はStep 1を参照してください。

2. docker login実行時にエラーが発生する（The stub received bad data.）

【現象】
aws ecr get-login-password を使用して docker login を実行した際、以下のエラーが発生する。

Error saving credentials: error storing credentials - err: exit status 1

【対策】
AWS ECRが発行するトークン長が、Windows Credential Managerの許容上限を超えていることが原因です。

1. ~/.docker/config.json（Windowsの場合は %USERPROFILE%\.docker\config.json）を開きます。
2. "credsStore": "wincred"（または "credsStore": "desktop"）の行を削除して保存します。
3. 認証情報がローカルファイルへ保存されるようになり、正常にログインできるようになります。

3. ECRからイメージが引き抜けずタスクが停止する（CannotPullContainerError）

【現象】
ECSタスクが起動後すぐに停止する。

【対策】

1. ecsTaskExecutionRole にECR読み取り権限が含まれているか確認します。
2. また、Fargateタスクのネットワーク設定で「パブリックIPの自動割当」が有効になっているか、あるいはNAT Gateway/VPC Endpointへのルートが確保されているかを確認します。

4. ALBのヘルスチェックが失敗する（Unhealthy）

【現象】
ALB配下のタスクがヘルスチェックエラーで繰り返し再起動する。

【対策】

1. コンテナ側でListenしているポート（80）と、ターゲットグループのポート設定が一致しているか確認します。
2. さらに、ALBからECSタスク（セキュリティグループ間）への80番ポートの通信が許可されているかも確認します。

5. CloudWatchにログが出力されない

【現象】
タスクのログがCloudWatch Logsに表示されない。

【対策】
タスク実行ロールに logs:CreateLogStream および logs:PutLogEvents の権限が含まれているか確認します。

1. ECSサービスの削除（サービスを削除することでタスクが自動停止します）
2. ECSクラスターの削除
3. ALBおよびターゲットグループの削除
4. ECRリポジトリの削除
5. CloudWatchロググループの削除