はじめに
こんにちは。すぎもんです。
普段は HULFT10 for Container Services のアクセストークンを期限が切れる前に更新を行っていても、つい更新するのを忘れてしまった、なんて事があるかもしれません。
本記事では、そんな 401 Unauthorized エラーが発生した際のアクセストークン更新手順を、実際の運用手順に沿って紹介します。
公式ドキュメント と記事についてもあわせて参照してください。
今回やること
転送コンテナと管理コンテナ間の認証にはアクセストークンが利用されています。
アクセストークンが無効になると、転送コンテナは管理コンテナとの認証に失敗し、正常に処理を実行できなくなります。
本記事では以下の流れで対応します。
- エラー内容の確認
- アクセストークンの取得
- AWS Secrets Managerへの登録
- 転送コンテナの再起動
- 動作確認
1. エラー内容を確認する
まずは転送コンテナのログを確認します。
起動に失敗したコンテナのログに以下のメッセージが出力されている場合、管理コンテナへの認証に失敗しています。
[status=401 Unauthorized]
このエラーが確認できたら、アクセストークンの更新を実施します。
2. 新しいアクセストークンを発行する
HULFT10 for Container Services のユーザー管理画面を開きます。
対象ユーザーを選択し、既存のアクセストークンを削除したあと、新しいアクセストークンを発行します。
発行後に表示されるアクセストークンをコピーしてください。
アクセストークンの保持期間は以下から選択できます。
- 1〜365日
- 無期限
アクセストークンは再表示できないため、安全な場所に保管しておきましょう。
POINT
Ver.10.6.1 からアクセストークンの有効期限の指定（“1 ~ 365日” or “無期限” ）が可能になりました。
3. Secrets Managerに登録する
続いて AWS Secrets Manager に登録されているアクセストークンを更新します。
Secrets Manager の対象シークレットを開き、先ほど取得した新しいアクセストークンへ置き換えます。
POINT
AWS CLI を利用して更新することも可能です。
4. 転送コンテナを再起動する
Secrets Manager の内容を更新しただけでは、稼働中のコンテナには反映されません。
転送コンテナを再デプロイして、新しいアクセストークンを読み込ませます。
まず CloudFormation の NewDeployTemplate1 スタックから以下の値を確認します。
- FargateEcsCluster
- FargateEcsServiceForTransfer
その後、以下のコマンドを実行します。
aws ecs update-service \
--cluster FargateEcsCluster \
--service FargateEcsServiceForTransfer \
--force-new-deployment
--force-new-deployment を指定することで、新しいタスクが起動し、Secrets Manager の最新情報が読み込まれます。
POINT
AWS Management Console の ECS 画面からサービス更新を実施することも可能です。
5. 動作確認
転送コンテナのログを確認し、正常終了していることを確認しましょう。
認証エラーが解消されていれば、アクセストークン更新作業は完了です。
まとめ
HULFT for Container Services の Fargate 環境でアクセストークンを更新する際は、以下の5ステップで対応できます。
✅ 転送コンテナのログで 401 Unauthorized を確認する
✅ 新しいアクセストークンを発行する
✅ Secrets Manager を更新する
✅ 転送コンテナ（ECSサービス）を再起動する
✅ 転送コンテナのログで正常動作を確認する
運用中に突然転送が失敗した場合は、まず認証エラーの有無を確認し、アクセストークンの有効期限を疑うと切り分けがスムーズです。
このブログでは、今後も様々なTopics記事や接続検証等、皆さんの参考になるような記事を投稿していきたいと思います！
ここまで読んでいただきありがとうございました。それでは、また！