ネットワーク関連の設定メモ。
AWSになったことによる影響等を書いていきます。

セキュリティグループ設計

セキュリティグループはサーバー、ELB、RDS..ごとに設定し、そのセキュリティグループを許可するような設計になっています。
直接IPアドレスを記述するのは最小限になります。

※下記はイメージ
列が各リソース
行がセキュリティグループ名です
○が付いているところには、そのセキュリティグループの許可（インバウンド許可設定）されていることになります。
そのセキュリティグループに所属しているものも許可します。
たとえば下記の「prd-web01」というEC2は、「prd-app-web-sg」というセキュリティグループを許可していますが、
「prd-app-web-sg」の中身は「prd-front-main-sg」の80番を許可しています。
これは「prd-front-main-sg」が設定されている「prd-main-alb」からの80番アクセスを許可するという意味になります。

ELB	prd-main-alb	prd-admin-alb	prd-jenkins-alb
prd-myoffice-maintenance-sg	○	○	○
prd-monitoring-sg	○
prd-front-main-sg	○
prd-front-admin-sg		○
prd-front-jenkins-sg			○

EC2	prd-web01	prd-admin01	prd-rent01	jenkins
prd-myoffice-maintenance-sg	○	○	○	○
prd-app-web-sg	○
prd-app-admin-sg		○
prd-app-rent-sg			○
prd-app-batch-sg			○
prd-app-jenkins-sg				○

RDS	prd-rent-db	prd-web-db
prd-data-rent-sg	○
prd-data-web-sg		○

次に各セキュリティグループで許可している内容です。
IPの記述は最小限になっています。

ELB
prd-myoffice-maintenance-sg	自社のIP
prd-monitoring-sg	監視サービスのIP
prd-front-main-sg	0.0.0.0/0	80/443番
	::/0	80/443番
prd-front-admin-sg	0.0.0.0/0	80/443番
	::/0	80/443番
prd-front-jenkins-sg	自社のIP	80/443番

EC2
prd-myoffice-maintenance-sg	同上
prd-app-web-sg	prd-front-main-sg	80番
prd-app-admin-sg	prd-front-admin-sg	80番
prd-app-rent-sg	prd-front-main-sg	80番
prd-app-batch-sg	prd-app-admin-sg	22番
prd-app-jenkins-sg	prd-front-jenkins-sg	80番

RDS
prd-data-rent-sg	(postgresql)
	prd-app-rent-sg	5432番
	prd-app-admin-sg	5432番
prd-data-web-sg	(mysql)
	prd-app-web-sg	3306番
	prd-app-rent-sg	3306番
	prd-app-admin-sg	3306番
	prd-app-jenkins-sg	3306番

ELBが挟まったことによる影響

今までのロードバランサーではアクセス元IPが取得できていたが、ELBでは直接判別はできず、
headerのX-Forwarded-Forに格納される。
これによりアプリの改修や、Apache, Nginxに影響が出る。

Apache, Nginxでip制限をしている場合

Apacheでは以下のように設定

ApacheでIPを許可する場合,,X-Forwarded-Forを取得

    Order deny,Allow
    Deny from All
    Allow from env=allow_ip

    SetEnvIf X-Forwarded-For "xxx\.xxx\.xxx\.xxx" allow_ip
    SetEnvIf X-Forwarded-For "xxx\.xxx\.xxx\.xxx" allow_ip

Nginxの設定では以下の設定を追記する。

/nginx/nginx.conf,X-Forwarded-Forを取得

    set_real_ip_from xxx.xxx.xxx.xxx/xx; #許可したいip
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

IAMの設計。スイッチロール

開発、ステージ、本番の３つのアカウントがあるが、
３つのアカウントそれぞれでIAMユーザを作成するのではなく、
一つのアカウントでIAMユーザを作成し、それぞれのアカウントではSwitchロールして使用。