AWSでウェブアプリケーション環境構築：webサーバをプライベートサブネットに配置し、メンテナンス用踏み台サーバを構築
AWSでウェブアプリケーション環境構築：webサーバをプライベートサブネットに配置し、メンテナンス用踏み台サーバを構築:
AWSでウェブアプリケーション環境構築：概要
AWSでウェブアプリケーション環境構築：EC2インスタンスにwebサーバを構築
AWSでウェブアプリケーション環境構築：RDSでDBを作成し、Laravelサンプルアプリを動かす最小構成を構築
AWSでウェブアプリケーション環境構築：ロードバランサーを作成し、webサーバを冗長化する
AWSでウェブアプリケーション環境構築：ElastiCacheのRedisを作成し、セッション共有可能にする
前回はElastiCacheのRedisを作成し、
2台構成のwebサーバでセッション共有できる仕組みを構築しました。
セキュリティのレベルを上げるために、
webサーバをプライベートサブネットに移動します。
また、それに伴い必要になる踏み台サーバとNATゲートウェイを作成します。
※踏み台サーバ、NATゲートウェイが必要な理由は後述します
プライベートサブネットに移動すると書きましたが、
実際にはインスタンスをプライベートサブネットに作り直します。
作り直すインスタンスは、
Apache、PHP、Laravelなどの設定を
既存のwebサーバと同一にして作成したいため、
まずは既存webサーバのAMIを取得します。
EC2インスタンスの一覧で以前作成した[laravel-sample-ec2-web-a]をチェックし、
ページ上部の[アクション]→[イメージ]→[イメージの作成]をクリック。
以前、[laravel-sample-ami-web]という名前のAMIを作成しているので、
今回は[laravel-sample-ami-web-2]という名前でAMIを作成します。
これまでの記事でEC2インスタンスの作成方法は何度か解説しているため、
今回は重要ポイントのみ解説します。
マネジメントコンソールの[EC2]のページの
サイドメニューの[インスタンス]をクリックし、
上部にある[インスタンスの作成]ボタンをクリック。
[マイAMI]から先ほど作成した[laravel-sample-ami-web-2]を選択します。
いつも通りt2.microです。
[サブネット]で[laravel-sample-subnet-private-a]を選択してください。
それ以外は以前と同じ設定で進めます。
デフォルト設定のまま進めます。
Nameタグに[laravel-sample-ec2-web-private-a]を設定します。
[laravel-sample-sg-web]を選択します。
最後のキーペア選択で[laravel-sample-key-pair]を選択して
インスタンスを作成します。
下記のみ注意して同じように2台目のwebサーバも作成します。
・[サブネット]で[laravel-sample-subnet-private-b]を選択する
・Nameタグに[laravel-sample-ec2-web-private-b]を設定する
これでプライベートサブネットにwebサーバが2台作成できました。
パブリックサブネットにある既存のwebサーバ2台は
もう不要なため削除します。
インスタンスの一覧で
[laravel-sample-ec2-web-a]と
[laravel-sample-ec2-web-b]をチェックし、
ページ上部の[アクション]→[インスタンスの状態]→[終了]をクリック。
しばらく待ってインスタンスのステータスが[terminated]になれば削除完了です。
その後さらに時間がたてばインスタンスの一覧に表示されなくなります。
プライベートサブネットに作成したwebサーバをALBのターゲットグループに登録します。
ターゲットグループの一覧で以前作成した[laravel-sample-target-group]をチェックし、
ページ上部の[アクション]→[インスタンス/IPターゲットの登録と登録解除]をクリック。
表示された画面下部のEC2インスタンス一覧に、
先ほど作成した[laravel-sample-ec2-web-private-a]と[laravel-sample-ec2-web-private-b]があると思うので
2つをチェックし[登録済みに追加]をクリックします。
下記の状態にできたら[保存]をクリックします。
ALBのエンドポイントをブラウザに入力しアクセスします。
Laravelサンプルアプリが表示され、
各操作も行えれば正常に構築できています。
webサーバをプライベートサブネットに配置した状態で
Laravelサンプルアプリは正常に動作していますが、
この状態では問題があります。
webサーバはプライベートサブネットにあるため
直接SSH接続することができません。
（作成したインスタンスのパブリックIPに対してSSH接続を試してみてください）
この状態ではサーバにトラブルがありログを確認したいときや
Apacheなどの設定を変更したときに困ります。
そのためにパブリックサブネットに踏み台サーバを作成し、
その踏み台サーバからwebサーバに対してSSH接続できるように設定します。
まずは踏み台サーバとなるEC2インスタンスを作成します。
Amazon Linux 2のAMIを選択します。
t2.microを選択します。
[サブネット]で[laravel-sample-subnet-public-a]を選択します。
[自動割り当てパブリック IP]は[有効]にします。
それ以外はデフォルト設定のままで進みます。
デフォルト設定のままで次に進みます。
Nameタグに[laravel-sample-ec2-bastion]を設定します。
[セキュリティグループの割り当て]で[新しいセキュリティグループを作成する]を選択し、
下記のように設定します。
自分のIPからのSSH通信のみ許可します。
設定内容を確認し、
最後のキーペア設定画面で[laravel-sample-key-pair]を選択します。
※今回は踏み台サーバとwebサーバで同じキーペアを使用していますが、本来は別々のキーペアを利用した方がいいです
最後に[インスタンスの作成]ボタンをクリックしたら作成完了です。
次に、作成した踏み台サーバからwebサーバにSSH接続するために、
SSH鍵ファイルの設定を行います。
踏み台サーバの
の配下に、
[laravel-sample-key-pair.pem]の秘密鍵ファイルを置きます。
いま設置した鍵ファイルはこのままでは使用するときに
パーミッションエラーになっていますので、
パーミッションを変更します。
踏み台サーバにSSH接続して下記の設定をします。
これで踏み台サーバの必要な設定は完了です。
webサーバのセキュリティグループは現在
・ALBからのHTTP接続
・自分のIPからのSSH接続
を許可している状態です。
このSSH接続を許可する接続元を踏み台サーバに変更します。
[EC2]のページの
サイドメニューの[セキュリティグループ]をクリックし、
以前作成した[laravel-sample-sg-web]をチェックし、
ページ上部の[アクション]→[インバウンドルールの編集]をクリック。
SSH接続の[ソース]を先ほど作成した[laravel-sample-ec2-bastion]のプライベートIPアドレスに変更します。
これで踏み台サーバからwebサーバにSSH接続するための設定は完了したので、
実際に試してみます。
まず踏み台サーバにSSH接続し、
下記のコマンドを実行します。
webサーバ2台ともこの方法でSSH接続できれば、
踏み台サーバの設定は正しく完了しています。
これでwebサーバのログを確認したり、
Apache設定を変更したりする作業はできるようになりました。
しかし、この状態ではまだ問題があります。
webサーバで下記のコマンドを実行してみてください。
その結果、time outになります。
webサーバはプライベートサブネットにありますが、
プライベートサブネットはインターネットゲートウェイへのルーティングが存在しないため、
webサーバからインターネット外部向けに通信が通っていない状態です。
この状態では例えば
webサーバに新しいミドルウェアを外部からインストールしたり
外部APIを利用することができません。
これを解決するためにNATゲートウェイを利用します。
NATゲートウェイとは、
プライベートサブネットにあるサーバからインターネットに接続するための
中継サーバになってくれるものです。
サーバ構成図にあるこれです。
NATゲートウェイを使って
プライベートサブネットからインターネットに接続できる状態にするには、
NATゲートウェイを作成し、
プライベートサブネットのルートテーブルにNATゲートウェイへのルーティングを追加する必要があります。
NATゲートウェイについてはこのような記事で
わかりやすく解説されています。
https://qiita.com/TK1989/items/5d9bd5d49708c02dff3f
[VPC]のページの
サイドメニューの[NATゲートウェイ]をクリックし、
上部にある[NATゲートウェイの作成]ボタンをクリック。
[サブネット]は[laravel-sample-subnet-public-a]を選択します。
[Elastic IP 割り当て ID]は、ElasticIPをまだ持っていないので、[新しいEIPの作成]ボタンをクリックしてください。
[NATゲートウェイの作成]ボタンをクリックすると
NATゲートウェイが作成されます。
ルートテーブルの一覧で以前作成した[laravel-sample-route-table-private]をチェックし、
ページ上部の[アクション]→[Edit routes]をクリック。
このように、
[Destination] = [0.0.0.0/0]
[Target] = {先ほど作成したNATゲートウェイのNATゲートウェイID}
のルーティングを追加します。
これでNATゲートウェイの設定が完了し、
webサーバからインターネットに接続できる状態になっているので確認します。
先ほどと同じようにwebサーバで下記のコマンドを実行してみてください。
先ほどはtime outになりましたが、
今回は正常にレスポンスが返却されました。
これでwebサーバをプライベートサブネットに配置し
メンテナンス用の踏み台サーバ、NATゲートウェイを作成する作業がすべて完了です。
現在は、構築したLaravelサンプルアプリにアクセスする際は
ALBに割り振られたDNS名を利用しています。
ですが実際にサービスとして公開する場合は
独自ドメインで公開したいと思います。
次回はRoute53を利用し、
このLaravelサンプルアプリを独自ドメインでアクセスできるようにします。
前回まで
AWSでウェブアプリケーション環境構築：概要AWSでウェブアプリケーション環境構築：EC2インスタンスにwebサーバを構築
AWSでウェブアプリケーション環境構築：RDSでDBを作成し、Laravelサンプルアプリを動かす最小構成を構築
AWSでウェブアプリケーション環境構築：ロードバランサーを作成し、webサーバを冗長化する
AWSでウェブアプリケーション環境構築：ElastiCacheのRedisを作成し、セッション共有可能にする
前回はElastiCacheのRedisを作成し、
2台構成のwebサーバでセッション共有できる仕組みを構築しました。
今回構築する環境
セキュリティのレベルを上げるために、
webサーバをプライベートサブネットに移動します。
また、それに伴い必要になる踏み台サーバとNATゲートウェイを作成します。
※踏み台サーバ、NATゲートウェイが必要な理由は後述します
webサーバをプライベートサブネットに移動する
プライベートサブネットに移動すると書きましたが、実際にはインスタンスをプライベートサブネットに作り直します。
既存webサーバのAMIを取得
作り直すインスタンスは、Apache、PHP、Laravelなどの設定を
既存のwebサーバと同一にして作成したいため、
まずは既存webサーバのAMIを取得します。
EC2インスタンスの一覧で以前作成した[laravel-sample-ec2-web-a]をチェックし、
ページ上部の[アクション]→[イメージ]→[イメージの作成]をクリック。
以前、[laravel-sample-ami-web]という名前のAMIを作成しているので、
今回は[laravel-sample-ami-web-2]という名前でAMIを作成します。
プライベートサブネットにwebサーバを作成
これまでの記事でEC2インスタンスの作成方法は何度か解説しているため、今回は重要ポイントのみ解説します。
マネジメントコンソールの[EC2]のページの
サイドメニューの[インスタンス]をクリックし、
上部にある[インスタンスの作成]ボタンをクリック。
AMI の選択
[マイAMI]から先ほど作成した[laravel-sample-ami-web-2]を選択します。
インスタンスタイプの選択
いつも通りt2.microです。
インスタンスの設定
[サブネット]で[laravel-sample-subnet-private-a]を選択してください。それ以外は以前と同じ設定で進めます。
ストレージの追加
デフォルト設定のまま進めます。
タグの追加
Nameタグに[laravel-sample-ec2-web-private-a]を設定します。
セキュリティグループの設定
[laravel-sample-sg-web]を選択します。
確認
最後のキーペア選択で[laravel-sample-key-pair]を選択してインスタンスを作成します。
下記のみ注意して同じように2台目のwebサーバも作成します。
・[サブネット]で[laravel-sample-subnet-private-b]を選択する
・Nameタグに[laravel-sample-ec2-web-private-b]を設定する
これでプライベートサブネットにwebサーバが2台作成できました。
パブリックサブネットのwebサーバを削除
パブリックサブネットにある既存のwebサーバ2台はもう不要なため削除します。
インスタンスの一覧で
[laravel-sample-ec2-web-a]と
[laravel-sample-ec2-web-b]をチェックし、
ページ上部の[アクション]→[インスタンスの状態]→[終了]をクリック。
しばらく待ってインスタンスのステータスが[terminated]になれば削除完了です。
その後さらに時間がたてばインスタンスの一覧に表示されなくなります。
ALBターゲットグループに登録
プライベートサブネットに作成したwebサーバをALBのターゲットグループに登録します。ターゲットグループの一覧で以前作成した[laravel-sample-target-group]をチェックし、
ページ上部の[アクション]→[インスタンス/IPターゲットの登録と登録解除]をクリック。
表示された画面下部のEC2インスタンス一覧に、
先ほど作成した[laravel-sample-ec2-web-private-a]と[laravel-sample-ec2-web-private-b]があると思うので
2つをチェックし[登録済みに追加]をクリックします。
下記の状態にできたら[保存]をクリックします。
動作確認
ALBのエンドポイントをブラウザに入力しアクセスします。Laravelサンプルアプリが表示され、
各操作も行えれば正常に構築できています。
踏み台サーバを構築する
webサーバをプライベートサブネットに配置した状態でLaravelサンプルアプリは正常に動作していますが、
この状態では問題があります。
webサーバはプライベートサブネットにあるため
直接SSH接続することができません。
（作成したインスタンスのパブリックIPに対してSSH接続を試してみてください）
この状態ではサーバにトラブルがありログを確認したいときや
Apacheなどの設定を変更したときに困ります。
そのためにパブリックサブネットに踏み台サーバを作成し、
その踏み台サーバからwebサーバに対してSSH接続できるように設定します。
EC2インスタンスの作成
まずは踏み台サーバとなるEC2インスタンスを作成します。
AMI の選択
Amazon Linux 2のAMIを選択します。
インスタンスタイプの選択
t2.microを選択します。
インスタンスの設定
[サブネット]で[laravel-sample-subnet-public-a]を選択します。[自動割り当てパブリック IP]は[有効]にします。
それ以外はデフォルト設定のままで進みます。
ストレージの追加
デフォルト設定のままで次に進みます。
タグの追加
Nameタグに[laravel-sample-ec2-bastion]を設定します。
セキュリティグループの設定
[セキュリティグループの割り当て]で[新しいセキュリティグループを作成する]を選択し、下記のように設定します。
自分のIPからのSSH通信のみ許可します。
確認
設定内容を確認し、最後のキーペア設定画面で[laravel-sample-key-pair]を選択します。
※今回は踏み台サーバとwebサーバで同じキーペアを使用していますが、本来は別々のキーペアを利用した方がいいです
最後に[インスタンスの作成]ボタンをクリックしたら作成完了です。
鍵ファイルの設定
次に、作成した踏み台サーバからwebサーバにSSH接続するために、SSH鍵ファイルの設定を行います。
鍵ファイルの設置
踏み台サーバの/home/ec2-user/.ssh/の配下に、
[laravel-sample-key-pair.pem]の秘密鍵ファイルを置きます。
鍵ファイルのパーミッション変更
いま設置した鍵ファイルはこのままでは使用するときにパーミッションエラーになっていますので、
パーミッションを変更します。
踏み台サーバにSSH接続して下記の設定をします。
#鍵ファイルのパーミッション変更 chmod 600 /home/ec2-user/.ssh/laravel-sample-key-pair.pem
webサーバのセキュリティグループ設定変更
webサーバのセキュリティグループは現在・ALBからのHTTP接続
・自分のIPからのSSH接続
を許可している状態です。
このSSH接続を許可する接続元を踏み台サーバに変更します。
[EC2]のページの
サイドメニューの[セキュリティグループ]をクリックし、
以前作成した[laravel-sample-sg-web]をチェックし、
ページ上部の[アクション]→[インバウンドルールの編集]をクリック。
SSH接続の[ソース]を先ほど作成した[laravel-sample-ec2-bastion]のプライベートIPアドレスに変更します。
接続確認
これで踏み台サーバからwebサーバにSSH接続するための設定は完了したので、実際に試してみます。
まず踏み台サーバにSSH接続し、
下記のコマンドを実行します。
#webサーバにSSH接続
ssh -i /home/ec2-user/.ssh/laravel-sample-key-pair.pem ec2-user@{webサーバのプライベートIP}
踏み台サーバの設定は正しく完了しています。
これでwebサーバのログを確認したり、
Apache設定を変更したりする作業はできるようになりました。
しかし、この状態ではまだ問題があります。
webサーバで下記のコマンドを実行してみてください。
#googleにcurlリクエスト curl https://www.google.co.jp/
webサーバはプライベートサブネットにありますが、
プライベートサブネットはインターネットゲートウェイへのルーティングが存在しないため、
webサーバからインターネット外部向けに通信が通っていない状態です。
この状態では例えば
webサーバに新しいミドルウェアを外部からインストールしたり
外部APIを利用することができません。
これを解決するためにNATゲートウェイを利用します。
NATゲートウェイを作成する
NATゲートウェイとは、プライベートサブネットにあるサーバからインターネットに接続するための
中継サーバになってくれるものです。
サーバ構成図にあるこれです。
NATゲートウェイを使って
プライベートサブネットからインターネットに接続できる状態にするには、
NATゲートウェイを作成し、
プライベートサブネットのルートテーブルにNATゲートウェイへのルーティングを追加する必要があります。
NATゲートウェイについてはこのような記事で
わかりやすく解説されています。
https://qiita.com/TK1989/items/5d9bd5d49708c02dff3f
NATゲートウェイの作成
[VPC]のページのサイドメニューの[NATゲートウェイ]をクリックし、
上部にある[NATゲートウェイの作成]ボタンをクリック。
[サブネット]は[laravel-sample-subnet-public-a]を選択します。
[Elastic IP 割り当て ID]は、ElasticIPをまだ持っていないので、[新しいEIPの作成]ボタンをクリックしてください。
[NATゲートウェイの作成]ボタンをクリックすると
NATゲートウェイが作成されます。
プライベートサブネットのルーティング変更
ルートテーブルの一覧で以前作成した[laravel-sample-route-table-private]をチェックし、ページ上部の[アクション]→[Edit routes]をクリック。
このように、
[Destination] = [0.0.0.0/0]
[Target] = {先ほど作成したNATゲートウェイのNATゲートウェイID}
のルーティングを追加します。
動作確認
これでNATゲートウェイの設定が完了し、webサーバからインターネットに接続できる状態になっているので確認します。
先ほどと同じようにwebサーバで下記のコマンドを実行してみてください。
#googleにcurlリクエスト curl https://www.google.co.jp/
今回は正常にレスポンスが返却されました。
これでwebサーバをプライベートサブネットに配置し
メンテナンス用の踏み台サーバ、NATゲートウェイを作成する作業がすべて完了です。
次回
現在は、構築したLaravelサンプルアプリにアクセスする際はALBに割り振られたDNS名を利用しています。
ですが実際にサービスとして公開する場合は
独自ドメインで公開したいと思います。
次回はRoute53を利用し、
このLaravelサンプルアプリを独自ドメインでアクセスできるようにします。
コメント
コメントを投稿