初めに
API Gateway のプライベート統合を利用して、ECS によりプライベートサブネットにデプロイされたアプリケーションにアクセスする方法について紹介します。プライベート統合は VPC 内のリソースに VPC 外からアクセスするための機能です。
API Gateway のプライベートな統合により、VPC 内にある HTTP/HTTPS リソースを VPC 外のクライアントがアクセスできるように簡単に公開できます。プライベート VPC リソースへのアクセスを VPC 境界を超えて拡張するために、プライベート統合で API を作成できます。
プライベート統合を使用するために VPC リンクという機能を使います。
VPC リンクを使用すると、Application Load Balancer または Amazon ECS コンテナベースのアプリケーションなどの、HTTP API ルートを VPC 内のプライベートリソースに接続するプライベート統合を作成できます。
なお VPC リンクを使ったプライベート統合は、ALB のスキームに内部向けを選択しないとうまくいかないようです。最初、インターネット向けでやっていましたが、エラーレスポンスが返ってきました。
以下のチュートリアルの CloudFormation のテンプレートも内部向けになっていました。
Scheme: internal
手順
1. VPC リンクを作成
「HTTP API の VPC リンク」を選択し、アプリケーションをデプロイする VPC を選択します。
サブネットとセキュリティグループを選択し、「作成」をクリックします。
2. ALB を作成
スキームは「内部」を選択します。インターネット向け ALB を作成したところ、ブラウザに
{"message": "Service Unavailable"}
と表示され、503 エラーが発生しました。ALB のトラフィックを確認したところ、リクエストが ALB まで到達していませんでした。VPC リンクを使ったプライベート統合は、内部向けしか選択できないようです。
VPC と プライベートサブネットを選択します。
ターゲットグループを作成します。種類は IP を選択します。
3. API Gateway の HTTP API を作成
HTTP API の「構築」をクリックします。
API 名を入力し、「次へ」をクリックします。
「次へ」をクリックします。
「次へ」をクリックします。
「作成」をクリックします。
ルートを作成します。「Create」をクリックします。
パスには「/{proxy+}」と入力し、「作成」をクリックします。
プライベート統合を作成します。「統合をアタッチする」をクリックします。
「統合を作成してアタッチ」をクリックします。
統合タイプは「プライベートリソース」を選択します。
以下のように ALB とリスナーを選択します。
VPC リンクを選択し、「作成」をクリックします。
4. エンドポイントを作成
以下のエンドポイントを 4 つ作成します。インターフェース型はすべてプライベート DNS 名を有効化します。
5. Fargate でアプリケーションをデプロイ
サービスを作成します。VPC とプライベートサブネット、セキュリティグループを選択します。パブリック IP の自動割り当ては「DISABLED」を選択します。
ALB を選択します。後はデフォルトの設定で進めます。
デプロイが完了しタスクが RUNNING になったら、API の呼び出し URL をブラウザに貼り付けます。
インターネットからプライベートコンテナにアクセスできました。
注意
以下は検証していませんが、定期的にリクエストを送って防ぎたいです。
VPC リンク経由で 60 日間トラフィックが送信されない場合は、INACTIVE になります。VPC リンクが INACTIVE 状態の場合、API Gateway は VPC リンクのネットワークインターフェイスをすべて削除します。これにより、VPC リンクに依存する API リクエストが失敗します。API リクエストが再開すると、API Gateway はネットワークインターフェイスを再プロビジョニングします。ネットワークインターフェイスを作成し、VPC リンクを再度アクティブ化するには、数分かかることがあります。VPC リンクステータスを使用して、VPC リンクの状態を監視できます。
ALB のスキーム
インターネット向けと内部向けの違いについて簡単にまとめます。
インターネット向け
- インターネット向けロードバランサーのノードにはパブリック IP アドレスが必要
- インターネット向けロードバランサーの DNS 名は、ノードのパブリック IP アドレスにパブリックに解決可能
- インターネット向けロードバランサーは、クライアントからインターネット経由でリクエストをルーティングする
内部向け
- 内部ロードバランサーのノードはプライベート IP アドレスのみを持つ
- 内部ロードバランサーの DNS 名は、ノードのプライベート IP アドレスにパブリックに解決可能
- 内部向けロードバランサーは、ロードバランサー用に VPC へのアクセス権を持つクライアントからのみ、リクエストをルーティングする
共通点
- インターネット向けロードバランサーと内部向けロードバランサーは、どちらもプライベート IP アドレスを使用してリクエストをターゲットにルーティングする
確かにパブリックサブネットでコンテナを起動したとき、ノードの IP アドレスがプライベート IP だったのが不思議でした。