AWS CDK を学習していく過程を記録する。

はじめに

[備忘録]AWS CDKでAPI Gateway, Lambda を構築にて、API GatewayをトリガーにLambdaを実行することで、LambdaがRestAPIとして外部ネットワークから利用可能になることを確認した。
今回は、RDS、RDS Proxy を構築し、Lambda の中の処理を書き換えて、API Gateway から Lambda 経由で mysql に接続できることを確認したい。

RDS とは

Amazon Relational Database Service (Amazon RDS) は、AWS クラウドでリレーショナルデータベースを簡単にセットアップし、運用し、スケーリングすることのできるウェブサービスです。

つまり、サーバの設定やOSのインストールなどすることなくすぐにDB構築が可能なサービスであり、RDSでは mysql、Oracle Database、Microsoft SQL Server、PostgreSQL など一般的なDB管理システム(RDBMS）を使用することができる。

RDS Proxy とは

Amazon RDS Proxy は、Amazon Relational Database Service (RDS) 向けの高可用性フルマネージド型データベースプロキシで、アプリケーションのスケーラビリティやデータベース障害に対する回復力と安全性を高めます。

つまり、アプリケーションと RDS の間でアクセスを中継し、DBへの接続を効率的に管理してくれるサービスと言える。

実施したこと

RDSの作成
Lambdaの作成

1. RDSの作成

app-stack.ts

import { BastionHostLinux, InstanceClass, InstanceSize, InstanceType, InterfaceVpcEndpoint, InterfaceVpcEndpointAwsService, Port, SecurityGroup, SubnetType, Vpc } from 'aws-cdk-lib/aws-ec2';
import { Credentials, DatabaseInstance, DatabaseInstanceEngine, MysqlEngineVersion, ParameterGroup } from 'aws-cdk-lib/aws-rds';
import { Secret } from 'aws-cdk-lib/aws-secretsmanager';

// vpc
    const vpc = new Vpc(this, 'AppVpc', {
      cidr: '10.0.0.0/16',
      vpcName: 'app-vpc',
      enableDnsHostnames: true,
      enableDnsSupport: true,
      subnetConfiguration: [
        {
          cidrMask: 24,
          name: 'PublicSubnet',
          subnetType: SubnetType.PUBLIC,
        },
        {
          cidrMask: 24,
          name: 'PrivateSubnet',
          subnetType: SubnetType.PRIVATE_ISOLATED,
        },
      ],
      maxAzs: 2
    });

    const bastionGroup = new SecurityGroup(this, 'Bastion to DB', {
      vpc: vpc
    });
    const lambdaToRDSProxyGroup = new SecurityGroup(this, 'Lambda to RDSProxy', {
      vpc: vpc
    });
    const dbConnectionGroup = new SecurityGroup(this, 'RDSProxy to DB', {
      vpc: vpc
    });
    
    dbConnectionGroup.addIngressRule(
      dbConnectionGroup,
      Port.tcp(3306),
      'allow db connection'
    );
    dbConnectionGroup.addIngressRule(
      lambdaToRDSProxyGroup,
      Port.tcp(3306),
      'allow lambda connection'
    );
    dbConnectionGroup.addIngressRule(
      bastionGroup,
      Port.tcp(3306),
      'allow bastion connection'
    );

    // bastion server
    const host = new BastionHostLinux(this, 'AppBastionHost', {
      vpc: vpc,
      instanceType: InstanceType.of(
        InstanceClass.T2,
        InstanceSize.MICRO
      ),
      securityGroup: bastionGroup,
      subnetSelection: {
        subnetType: SubnetType.PUBLIC
      },
    });
    host.instance.addUserData("yum -y update", "yum install -y mysql jq");

    // credential about RDS
    const databaseCredentialsSecret = new Secret(this, 'AppDbCredentialsSecret', {
      secretName: id + '-rds-credentials',
      generateSecretString: {
        secretStringTemplate: JSON.stringify({
          username: 'syscdk',
        }),
        excludePunctuation: true,
        includeSpace: false,
        generateStringKey: 'password',
      },
    });

    // vpc endpoint to access from lambda to secret manager
    new InterfaceVpcEndpoint(this, 'SecretManagerVpcEndpoint', {
      vpc: vpc,
      service: InterfaceVpcEndpointAwsService.SECRETS_MANAGER,
    });

    // rds
    const rdsInstance = new DatabaseInstance(this, 'DBInstance', {
      engine: DatabaseInstanceEngine.mysql({
        version: MysqlEngineVersion.VER_8_0_33
      }),
      credentials: Credentials.fromSecret(databaseCredentialsSecret),
      instanceType: InstanceType.of(
        InstanceClass.T2,
        InstanceSize.MICRO
      ),
      vpc: vpc,
      vpcSubnets: {
        subnetType: SubnetType.PRIVATE_ISOLATED
      },
      securityGroups: [dbConnectionGroup],
      removalPolicy: RemovalPolicy.DESTROY,
      deletionProtection: false,
      parameterGroup: new ParameterGroup(this, 'ParameterGroup', {
        engine: DatabaseInstanceEngine.mysql({
          version: MysqlEngineVersion.VER_8_0_33
        }),
        parameters: {
          character_set_client: "utf8mb4",
          character_set_server: "utf8mb4",
        },
      }),
    });

    // rds proxy
    const proxy = rdsInstance.addProxy(id + '-proxy', {
      secrets: [databaseCredentialsSecret],
      debugLogging: true,
      vpc: vpc,
      securityGroups: [dbConnectionGroup],
    });

デプロイし、早速AWS System Managerを使用して踏み台サーバー経由でmysqlへの接続を試みた。
すると Session Manager プラグインがないため踏み台にログインできなかったので、[備忘録] macOS で AWS Session Manager(SSM) を使ってLinuxサーバーに接続できるようになるまでにまとめた手順で Session Manager プラグインをインストールした。

% aws ssm start-session --target {踏み台サーバーのID}
Starting session with SessionId: *****
sh-4.2$

インストール後は無事に踏み台サーバーにログインでき、さらにSecrets Manager にある接続情報でmysqlへの接続も成功。
動作確認のためのテーブル作成まで行った。

mysql -usyscdk -p -h ${DBのエンドポイント}
MySQL [(none)]> CREATE DATABASE app;
MySQL [(none)]> USE app;
MySQL [app]> CREATE TABLE test(id int primary key auto_increment, value int);
MySQL [app]> INSERT INTO test (value) VALUES (100);
MySQL [app]> INSERT INTO test (value) VALUES (200);
MySQL [app]> INSERT INTO test (value) VALUES (300);
MySQL [app]> INSERT INTO test (value) VALUES (400);
MySQL [app]> SELECT * FROM app.test;
+----+-------+
| id | value |
+----+-------+
|  1 |   100 |
|  2 |   200 |
|  3 |   300 |
|  4 |   400 |
+----+-------+
4 rows in set (0.00 sec)

2. Lambdaの作成

app-lambda.ts を下記のように書き換えた。

app-lambda.ts

import { APIGatewayProxyEvent, APIGatewayProxyResult } from 'aws-lambda';
import * as AWS from 'aws-sdk'
import * as mysql from 'mysql2/promise';

const cert =`
-----BEGIN CERTIFICATE-----
クライアント証明書
-----END CERTIFICATE-----
`.trim()

export const handler = async (
  event: APIGatewayProxyEvent
): Promise<APIGatewayProxyResult> => {

  const RESPONSE_HEADERS = {
    "Content-Type": "application/json",
    "Access-Control-Allow-Origin": "*",
    "Access-Control-Allow-Headers": "Content-Type,Authorization,access-token",
  };

  const secretsManager = new AWS.SecretsManager({
    region: "ap-northeast-1",
  })
  const response = await secretsManager.getSecretValue({
    SecretId: "AppStack-rds-credentials",
  }).promise()

  const {host, username, password} = JSON.parse(response.SecretString ?? '')
  console.log(`username = ${username}`);
  const connection = await mysql.createConnection({
    host: process.env.PROXY_ENDPOINT,
    database: 'app',
    user: username,
    password: password,
    ssl: {
        cert: cert
    },
  }); 

  let result = await connection.query("select * from test")

  return {
    statusCode: 200,
    headers: RESPONSE_HEADERS,
    body: JSON.stringify(result[0])
  };
};

デプロイしlambdaを実行したところ、期待通り test テーブルに保存した内容が返ってきた。

最後に

AWS CDKでRDS、RDS Proxy を構築し、Lambda から mysql に接続できることを確認できた。
参考にした文献を記す。