AWS CLIコマンドの概念的な読み方

AWS CLIを使うと、ターミナルからAWSを操作できます。試験でコードを書くことはありませんが、CLIコマンドを読み、何を実行するのかを正確に理解する必要があります。

すべてのコマンドは、aws、サービス、操作、オプションというパターンに従います。この形がわかれば、どのコマンドも簡単に読み取れます。例で確認してみましょう。

最初にサービス（iamやec2など）、次に通常は動詞と名詞の組み合わせである操作が続きます。listまたはdescribeで始まるものはデータを読み取るだけなので、調査中でも安全です。

オプションは2つのハイフンで始まり、詳細を指定します。--bucketはバケットを指定し、--regionは対象リージョンを指定します。これらを読めば、コマンドが何に作用するのかを正確に把握できます。

どのコマンドが変更を行うのかを理解してください。get、list、describeは読み取り専用です。put、create、delete、modifyは状態を書き換えるため、慎重に扱う必要があります。

CLIはデフォルトで、フィールドと値を整理して表現するテキスト形式のJSONで応答します。「Effect」や「Action」などのキーを拾い読みするスキルは、頻繁に使うことになります。

CLIには、プロファイル、環境変数、アタッチされたロールなどから取得した認証情報が必要です。最も安全なのは、長期的なアクセスキーではなく、ロールから取得する一時的な認証情報です。

--profileフラグで名前付きの認証情報セットを選択できるため、1人のユーザーが複数のアカウントで作業できます。各プロファイルは、それぞれ固有のアイデンティティと権限に対応します。

CLIはスクリプト化、スケジュール実行、バージョン管理が可能で、セキュリティ操作を再現可能かつ監査可能にします。そのため、適用処理を大規模に行う場合はコンソールよりCLIのほうが適しています。

試験のコマンドを読み解くときは、サービス、操作、読み取りか書き込みか、オプションというように分けて確認します。それだけで目的を満たすかどうかを判断でき、実際に実行する必要はありません。

sts assume-roleを呼び出すと短期間だけ有効な認証情報が返されるため、スクリプトは永続的なアクセスキーではなくロールの権限で動作します。このパターンに気づけば、実行主体が安全な方法を使っていると判断できます。

CLIコマンドを読み解いてみましょう。

コマンドはaws service operation optionsという形で読み取れます。list、describe、getは安全な読み取り操作で、putとdeleteは書き込み操作です。出力はJSONで、スクリプト化によりCLIは自動化に適したツールになります。