Terraform workspace を駆使しつつ assume-role + MFA 対応する - ABEJA Tech Blog

ABEJA で Research Engineer をやっている中川です．普段は論文読んだり，機械学習モデルを実装したり，インフラを構築したりしています．ABEJA ではインフラを構成する AWS に対するアクセス制御を容易にするため，以下の概念図のように権限だけを管理するマスターアカウントとサービスのインフラを構成するサービスアカウントに分けて AWS を運用しています．また，インフラは Terraform を用いて管理しています． 今回，さらなるセキュリティ強化のためマスターアカウントに MFA を必須にしました．それに付随して Terraform を変更しようとしたところ，なかなかにハマったのでその解決策を紹介します． Terraform で実現したい要件 まず，Terraform で何を実現したかったのかを整理します． 上記のアカウント方針に従い，マスターアカウントで Terraf