一般的なWEBアプリケーションの為のAWS構築
一般的なWEBアプリケーション用のシステムをAWSに構築する手順を記載します。管理・NAT以外は冗長構成とします。
イメージはこんな感じです。
※今回はテスト用の環境でコスト削減の為autoscalig、rdsのマルチはしません。次の記事にて紹介します。
VPC
まず、全ての元となるVPCを作成します。
VPCのネットワークを設定します。
作成できると一覧に表示されるので確認してください。
サブネット
サブネットをそれぞれの役割に応じて作成します。
全て先程作成したVPCに紐付けていきます。
- hoge_nat_aza：NAT・SSH接続をする管理用のサブネット
- hoge_frontend_aza：WEB接続を受け付けるサブネット（AZ A）
- hoge_frontend_azc：WEB接続を受け付けるサブネット（AZ C）
- hoge_application_aza：アプリケーションサーバのサブネット（AZ A）
- hoge_application_azc：アプリケーションサーバのサブネット（AZ A）
サブネットは下記ボタンより作成していきます。
NAT・Manage用
フロントエンドAZ-A用
フロントエンドAZ-C用
アプリケーションAZ-A用
アプリケーションAZ-C用
セキュリティグループ
それぞれのインスタンス・RDBで使用するセキュリティグループを作成していきます。
下記の点に注意します。
- NAT・Manage用は全てのIPからのSSH,HTTPSに関してインバウンドを許可します。
- フロントエンドは特定のIPからのHTTPSに関してインバウンドを許可します。
- アプリケーションはmanageからのSSH,フロントエンドからの8080に関してインバウンドを許可します。（springbootなので。任意のポートに変更ください。）
- RDBはアプリケーションからの5432(postgresqlの場合)に関してインバウンドを許可します。
セキュリティグループは下記ボタンを押下し作成していきます。
NAT・Manage用
作成後の一覧より作成したセキュリティグループを選択し、インバウンドタブでルールを編集します。
SSHについては22以外のポートにEC2のSSHを設定後、修正します。
フロントエンド用
作成後の一覧より作成したセキュリティグループを選択し、インバウンドタブでルールを編集します。
※現在はソースに0.0.0.0/0（全てという意味）を入力していますが任意のIPに後で変更します。
アプリケーション用
作成後の一覧より作成したセキュリティグループを選択し、インバウンドタブでルールを編集します。
frontendからの8080からの通信とmanageからのssh接続を許可します。
ソースに関してはセキュリティグループを指定することが出来ますので先程作成しfrontend・nat用のセキュリティグループを指定します。
RDB用
作成後の一覧より作成したセキュリティグループを選択し、インバウンドタブでルールを編集します。
applicationからの5432の通信を許可します。
インターネットゲートウェイ
インターネットゲートウェイの作成
インターネットに接続するためのゲートウェイを作成します。
インターネットゲートウェイのアタッチ
先程作成したインターネットゲートウェイを選択し、VPCにアタッチします。
ルートテーブル
デフォルトで作成されるメインのルートテーブルはネットワーク内のみなのでインターネットに接続する用のルートテーブルを作成します。
ルートの設定に「0.0.0.0/0」と先ほど作ったigwを紐付けた物を追加します。
ルートテーブルとサブネットの紐付け
インターネットに紐付けたいサブネットに先程作成したルートテーブルを紐付けていきます。
（今回の場合はフロントエンドとNATのサブネット）
紐付けたいサブネットを選択します。
NAT・Manage用のEC2作成
EC2の作成をします。
NAT用のAMIを選択します。
t2.microを選択します。
NAT用のサブネットに紐付けます。
容量を20Gにします。
NAT用のセキュリティグループを選びます。
キーペアの設定をします。SSHのキーになります。今回は既に作成した物を使用します。
NAT用にソース宛先チェックを無効にします。
セキュリティルールを変更します。NATを使用するセキュリティゾーンからのインバウンドを許可します。ソースにセキュリティゾーンを指定します。
ElasticIPを作成したインスタンスに紐付けます。
割り当てを押下してIPアドレスを発行します。
アドレスの関連付けよりインスタンスと紐付けます。
先程作成したNAT用インスタンスとElasticIPを紐付けます。
これで作成したインスタンスにSSHで接続できるはずです。
NAT・Manage用のSSHのポート変更
SSHが22のままだと大量に攻撃が来るので変更しておきましょう。
（鍵形式なのでまず大丈夫ですが、気持ちがわるいので。。）
# Port 22
Port 8022
のように編集し、
sudo service sshd restart
で設定を反映してください。port22で新規セッションを開けなくなっているはずです。
忘れずにセキュリティグループもSSHを22から新しいポートに変更しておきましょう。
フォーワード用のユーザを作成します
セキュリティ的にまずいのでフォーワード専用のユーザを作成します。
groupadd -g 20000 forwarder
useradd -m -g forwarder -s /sbin/nologin forwarder
cd /home/forwarder/
mkdir .ssh
chown forwarder:forwarder .ssh/
chmod 700 .ssh/
cd .ssh/
ssh-keygen -t rsa -b 4096 -f id_rsa
chown forwarder:forwarder id_rsa*
chmod 600 id_rsa*
cat id_rsa.pub > authorized_keys
chmod 600 authorized_keys
chown forwarder:forwarder authorized_keys
下記を追加します。
Match Group forwarder
AllowTcpForwarding yes
GatewayPorts yes
AllowAgentForwarding no
ForceCommand echo 'This account can only be used for forward'
アプリケーション用のEC2作成
EC2の作成をします。
Amazon Linux2を選択します。
m4Largeを選択しインスタンスの詳細の設定を押下します。
VPCとサブネット、その他調整したい物を設定します。
ディスク容量を今回は20Gで設定します。
セキュリティグループに先程作成したアプリケーション用の物を割り当てます。
キーペアの設定をします。SSHのキーになります。今回は既に作成した物を使用します。
もう１台も同じようにAZ-Cに作成します。
作成後、わかりやすいように名前をつけておきます。
NATの使用
NATを使用する為にNATを使用したルートテーブルを作成します。
ルートに「0.0.0.0/0」宛の通信のターゲットを先程作成したNATインスタンスを指定します。
サブネットに作成したルートテーブルを紐付けます。
NATを使用したい（今回はapplication）サブネットにルートを適用します。
ELBの構築
ロードバランサーを構築します。
ELBを配置するアベイラビリティーゾーンとサブネットを選択します。
HTTPSを使用するのでACMにアップしておいた証明書を使用します。
以上でELBが作成されます。
使用時はDNSにて対象ドメインの対象ホストにELBのFQDNをCNAMEで登録します。
試しにapacheを8080で立ち上げて、テストページが表示されれば成功です。
RDBの構築
RDBを構築します。
以上で終了です。
おまけ
踏み台を経由してapplicationサーバからDBにアクセスする場合、sshのトンネルを使用します。
ssh -t -L 5432:RDSのエンドポイント:5432 forwarder@踏み台のIP -i 秘密鍵のパス -p 8022 -o "ServerAliveInterval 60" -o "ExitOnForwardFailure yes" -o "TCPKeepAlive no" -N -f