AWS CloudFormationでNAT構成を構築

AWS CloudFormationでNATインスタンスを含む構成を構築しました。

CloudFormationを使うと複数のリソースをコマンド1つで構築・破棄できて大変便利です。

AWS CloudFormationとは

公式から分かりやすい図が公開されています。

YAMLかJSONで記述したテンプレートから、VPCやインスタンス等の様々なリソースをまとめて作成できます。

AWS CloudFormation （設定管理とオーケストレーション） | AWS

YAMLかJSONにテンプレートを記述する

テンプレートをS3にアップロードする

テンプレートを実行する

スタックと呼ばれるリソースの集合がテンプレート通りに作られる

スタックを削除すればスタック内の全リソースが削除される

目指す構成

以前、マネージメントコンソールから構築したものと同じ構成です。

踏み台サーバー1台

NATインスタンス1台

開発用サーバー1台

AWSでNATインスタンス構築

手順

※ テンプレートファイルの設定を全て書くと長くなるので詳細は割愛します。

[1] デザイナーでテンプレート作成

CloudFormationを使うのは初めてということで、序盤はデザイナーを使ってテンプレートを作成しました。

デザイナーを使うと図面を作るような感覚でテンプレートを作成できます。

慣れたらデザイナーを使わずに済みますが、初めはデザイナーを使うと簡単かつ慣れたので使ってよかったです。

[1-1] デザイナー画面を開く

[テンプレートのデザイン]を押すと、以下のような画面が開きます。

[1-2] 部品を置く

左のメニューから部品を探しドラッグ&ドロップすると、置いた部品のテンプレートが自動で記述されます。

JSONとYAML形式のうち「YAML形式」を今回は使います。

ラジオボタンの選択でJSONとYAMLの変換はいつでも行えます。

まずは、VPC, Subnet, RouteTable, InternetGatewayを配置しました。

[1-3] 部品をつなげる

部品同士の関連を記述していきます。

このインターネットゲートウェイはこのVPCに属している、このサブネットはこのルートテーブルと関連付けしている、等です。

部品外枠のマルをドラッグして、繋げたい部品にドロップします。

以下は、インターネットゲートウェイとVPCをつなぐ例です。

"VPCGatewayAttachment"という要素がテンプレートに追加されました。

[1-4] テンプレートの書き方

Resources直下の名称(下記ではNatVpc)は論理IDで、テンプレート内でユニークな必要があります。

他の部品との依存関係の記述などで使用されています。

半角英数字ならば、自由に変更できます。

デザイナーで変更すると、依存関係等の部分も自動で変更してくれます。

Propertiesに何を書けばよいかは、各部品の説明ページを見ると、ある程度分かります。

部品を右クリックしてハテナマークを選択すると、その部品の説明ページに飛びます。

VPCには、CIDRブロックと名称を追記しました。

[1-5] 保存

左上のファイルメニューの[保存]を選択します。

ローカルとS3、どちらのも保存できます。

S3に保存すると、自動でバケットが作成されバケット内にテンプレートが保存されます。

[2] お試しでスタック作成

インスタンスやストレージはありませんが、この状態でスタックを作成してみます。

万が一失敗したりセキュリティが甘くても、惨事にならずに済むので、ひとまずこの状態で作成して問題がないか確認していきます。

[2-1] 作成

[新しいスタックの作成]を選択します。

テンプレートの選択画面で先程保存したテンプレートのURLを入力します。

以降は特別な入力はなく作成まで行います。

[2-2] 作成結果の確認

スタックを作成すると、テンプレートに記述したリソースが順次作られていきます。

失敗すると以下のように失敗の理由が表示されます。

失敗までに作成したリソースはロールバックされ削除されます。

成功すると、状況欄に"CREATE_COMPLETE"が表示されます。

マネージメントコンソールから確認すると、テンプレート通りに作成されていました。

[3] デザイナー使用を諦める

ルートテーブルの設定やネットワークACL、セキュリティグループの追加していきますが、ここからはテンプレートファイルを直接編集しました。

デザイナーで追加しようとしましが、図面がゴチャゴチャして大変なことになりました。

[4] テンプレートを直接編集する

公式のリファレンスをみながら編集していきました。

数値や名称は例ですので、状況に応じて変更可能です。

Amazon EC2 リソースタイプのリファレンス

[4-1] インターネットゲートウェイ

"InternetGateway", "VPCGatewayAttachment"を追加します。

ゲートウェイを追加するだけでなくアタッチメントも追加が必要です。

他の項目でも同様に、部品と部品をつなぐ部品が存在します。

インターネットゲートウェイ

  NatIGW:

    Type: 'AWS::EC2::InternetGateway'

    Properties:

      Tags:

        - Key: Name

          Value: nat-igw

アタッチメント

  NatIGW2NatVpc:

    Type: 'AWS::EC2::VPCGatewayAttachment'

    Properties:

      InternetGatewayId: !Ref NatIGW

      VpcId: !Ref NatVpc

"!Ref"の後ろに論理IDを記述して別の部品を参照します。

VPCとインターネットゲートウェイを参照しています。

[4-2] サブネット

サブネットにCIDRと名称を追加します。

サブネット

  EntranceSubnet:

    Type: 'AWS::EC2::Subnet'

    Properties:

      VpcId: !Ref NatVpc

      CidrBlock: 10.0.0.0/24

      Tags:

        - Key: Name

          Value: entrance-sb

[4-3] ルートテーブル

ルートテーブルに名称を追加します。

ルートテーブル

  EntranceRT:

    Type: 'AWS::EC2::RouteTable'

    Properties:

      VpcId: !Ref NatVpc

      Tags:

        - Key: Name

          Value: entrance-rt

"SubnetRouteTableAssociation"で、ルートテーブルとサブネットを接続します。

ルートテーブルとサブネットを接続

  EntranceRT2EntranceSubnet:

    Type: 'AWS::EC2::SubnetRouteTableAssociation'

    Properties:

      SubnetId: !Ref EntranceSubnet

      RouteTableId: !Ref EntranceRT

"Route"を使用して、ルートテーブルとインターネットゲートウェイを接続します。

ルートテーブルとインターネットゲートウェイを接続

  EntranceRoute:

    Type: 'AWS::EC2::Route'

    Properties:

      GatewayId: !Ref NatIGW

      RouteTableId: !Ref EntranceRT

      DestinationCidrBlock: 0.0.0.0/0

[4-4] ネットワークACL

ネットワークACLを作成します。

ネットワークACL

  PublicNetworkAcl:

    Type: 'AWS::EC2::NetworkAcl'

    Properties:

      VpcId: !Ref NatVpc

      Tags:

        - Key: Name

          Value: public-nacl

次に、ネットワークACLのルール(InBound, OutBound)を作成します。

以下は、SSHのInboundと、ICMPのOutboundの例です。

ネットワークACLのルール(SSHのInbound)

  InSshAclPublic:

    Type: 'AWS::EC2::NetworkAclEntry'

    Properties:

      NetworkAclId: !Ref PublicNetworkAcl

      RuleNumber: 100

      Protocol: 6

      PortRange:

        From: 22

        To: 22

      CidrBlock: 0.0.0.0/0

      Egress: false

      RuleAction: allow

ネットワークACLのルール(ICMPのOutbound)

  OutIcmpAclPublic:

    Type: 'AWS::EC2::NetworkAclEntry'

    Properties:

      NetworkAclId: !Ref PublicNetworkAcl

      RuleNumber: 110

      Protocol: 1

      Icmp:

        Code: -1

        Type: -1

      CidrBlock: 0.0.0.0/0

      Egress: true

      RuleAction: allow

ネットワークACLとサブネットを関連付けます。

ネットワークACLとサブネットを関連付け

  PublicNetworkAcl2EntranceSubnet:

    Type: "AWS::EC2::SubnetNetworkAclAssociation"

    Properties:

      NetworkAclId: !Ref PublicNetworkAcl

      SubnetId: !Ref EntranceSubnet

[4-5] セキュリティグループ

セキュリテイグループを作成します。

ネットワークACLとは異なり、セキュリティグループのプロパティにルールを記述します。

セキュリティグループ

  SpringboardSecurityGroup:

    Type: 'AWS::EC2::SecurityGroup'

    Properties:

      GroupName: 'Springboard Security Group'

      GroupDescription: 'Springboard Security Group.'

      VpcId: !Ref NatVpc

      Tags:

        - Key: Name

          Value: springboard-sg

      SecurityGroupIngress:

        - IpProtocol: tcp

          FromPort: 22

          ToPort: 22

          CidrIp: 0.0.0.0/0

        - IpProtocol: icmp

          FromPort: -1

          ToPort: -1

          CidrIp: 0.0.0.0/0

      SecurityGroupEgress:

        - IpProtocol: tcp

          FromPort: 22

          ToPort: 22

          CidrIp: 10.0.0.0/16

        - IpProtocol: icmp

          FromPort: -1

          ToPort: -1

          CidrIp: 0.0.0.0/0

[4-6] インスタンス

最後にインスタンスを作成します。

インスタンス

  SpringboardInstance:

    Type: 'AWS::EC2::Instance'

    Properties:

      ImageId: ami-0d7ed3ddb85b521a6  # Amazon Linux 2 AMI (HVM), SSD Volume Type

      InstanceType: t3.nano

      NetworkInterfaces: 

        - AssociatePublicIpAddress: true

          DeviceIndex: 0

          GroupSet: 

            - Ref: SpringboardSecurityGroup

          SubnetId: 

            Ref: EntranceSubnet

          PrivateIpAddress: 10.0.0.10/24

      CreditSpecification: 

        CPUCredits: standard

      KeyName: springboard-keypair

      Tags: 

        - Key: Application

          Value: String

        - Key: Name

          Value: springboard-inst

※ キーペアは予め作成しておく必要があります。

作成済みのキーペア名を"KeyName"に設定します。

[5] パラメータの追加

テンプレートファイルに"Parameters"を追加します。

これまで設定してきたのは"Resources"です。

"Parameters"はデフォルト値有りの引数のように使うことができ、スタック作成時に指定することが可能です。

テンプレートファイル内で"!Ref"を使って参照できます。

以下では、インスタンスのIPアドレス、インスタンスタイプ、キーペア名を定義しています。

書き方は公式のサンプルを参考にしました。

パラメータ

  SpringboardInstanceIpAddress:

    Description: 'Springboard Instance IP Address.'

    Type: String

    Default: '10.1.0.10'

  SpringboardInstanceType:

    Description : 'Springboard Instance Type'

    Type: String

    Default: t3.nano

    ConstraintDescription : 'must be a valid EC2 instance type.'

  SpringboardKeyName:

    Description : 'Name of an existing EC2 KeyPair to enable SSH access to the instance'

    Type: AWS::EC2::KeyPair::KeyName

    Default: springboard-keypair

    ConstraintDescription : 'Can contain only ASCII characters.'