内容

上記RDS（Aurora PostgreSQL）を使用する構成イメージをCDKで実装
マルチAZ対応
Lambda（Python）からRDSを操作想定
EC2を使用したRDSに対するssh操作

前提知識

RDSのクラスタ、インスタンスとマルチAZ対応

RDSの構成はAurora、非Auroraで異なるため注意が必要
こちらに記載されているように、クラスタはAuroraにのみ存在し、インスタンスの構成、役割は以下のように違いがある

マルチ AZ DB クラスターの概要にも記載されているように、
Writerインスタンスで障害が発生した場合は、Readerインスタンスにフェイルオーバーする

また、AuroraのインスタンスはプロビジョンドDBインスタンスと、サーバーレス DBインスタンスが存在する
プロビジョンドDBインスタンスは、インスタンスタイプを選択する
サーバーレス DBインスタンスは、オンデマンドでキャパシティがスケールする

PostgreSQLのデータベース、スキーマ、テーブル

こちらに記載されているように以下の構成になっている

CDK実装

基本的にこちらの実装を参考に実装

VPC

maxAzsに3以上を指定する場合は、スタック上のアカウントとリージョンを指定する必要がある

    const vpc = new ec2.Vpc(this, `${stackName}-Vpc`, {
      ipAddresses: ec2.IpAddresses.cidr('10.0.0.0/16'),
      maxAzs: 2,
      subnetConfiguration: [
        { name: 'Public', subnetType: ec2.SubnetType.PUBLIC, cidrMask: 24 },
        {
          name: 'Private',
          subnetType: ec2.SubnetType.PRIVATE_WITH_EGRESS,
          cidrMask: 24,
        },
        {
          name: 'Isolated',
          subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
          cidrMask: 24,
        },
      ],
    });

上記実装で以下のリソースが生成される

- VPC: 10.0.0.0/16
  - InternetGateway
  - PublicSubnet1: 10.0.0.0/24
    - EIP
    - RouteTable
       0.0.0.0/0 → InternetGateway
       10.0.0.0/16 → local
    - NatGateway
  - PublicSubnet2: 10.0.1.0/24
    - EIP
    - RouteTable
       0.0.0.0/0 → InternetGateway
       10.0.0.0/16 → local
    - NatGateway
  - PrivateSubnet1: 10.0.2.0/24
    - RouteTable
       0.0.0.0/0 → NatGateway
       10.0.0.0/16 → local
  - PrivateSubnet2: 10.0.3.0/24
    - RouteTable
       0.0.0.0/0 → NatGateway
       10.0.0.0/16 → local
  - IsolatedSubnet1: 10.0.4.0/24
    - RouteTable
       10.0.0.0/16 → local
  - IsolatedSubnet2: 10.0.5.0/24
    - RouteTable
       10.0.0.0/16 → local

Security Group

RDSにアタッチするSecurity Group
RDS ProxyにアタッチするSecurity Group
RDSのSecrets rotateにアタッチするSecurity Group
RDSのクライアントにアタッチするSecurity Group
を作成する

    /**
     * Security Group for RDS client
     */
    const rdsClientSg = new ec2.SecurityGroup(this, `${stackName}-RdsClientSg`, {
      vpc,
      securityGroupName: `${stackName}-RdsClientSg`,
      allowAllOutbound: true,
    });

    /**
     * Security Group for RDS Secrets rotate
     */
    const rdsRotateSecretsSg = new ec2.SecurityGroup(this, `${stackName}-RdsRotateSecretsSg`, {
      vpc,
      securityGroupName: `${stackName}-RdsRotateSecretsSg`,
      allowAllOutbound: true,
    });

    /**
     * Security Group for RDS Proxy
     */
    const rdsProxySg = new ec2.SecurityGroup(this, `${stackName}-RdsProxySg`, {
      vpc,
      securityGroupName: `${stackName}-RdsProxySg`,
      allowAllOutbound: true,
    });
    rdsProxySg.addIngressRule(ec2.Peer.securityGroupId(rdsClientSg.securityGroupId), ec2.Port.tcp(5432));

    /**
     * Security Group for RDS
     */
    const rdsSg = new ec2.SecurityGroup(this, `${stackName}-RdsSg`, {
      vpc,
      securityGroupName: `${stackName}-RdsSg`,
      allowAllOutbound: true,
    });
    rdsSg.addIngressRule(ec2.Peer.securityGroupId(rdsClientSg.securityGroupId), ec2.Port.tcp(5432));
    rdsSg.addIngressRule(ec2.Peer.securityGroupId(rdsRotateSecretsSg.securityGroupId), ec2.Port.tcp(5432));
    rdsSg.addIngressRule(ec2.Peer.securityGroupId(rdsProxySg.securityGroupId), ec2.Port.tcp(5432));

RDS

Postgres Versionと、EC2インスタンスタイプを文字列で指定できるようにしている
Parameter Groupに名前付けがCDK未対応のため、addPropertyOverrideでCFNのプロパティを上書きしている、その際bindToInstanceで即時リソースを作成している
RDSのインスタンスはプロビジョンドDBインスタンスを使用

    const auroraPostgresVersion = '15.3';
    const ec2InstanceType = 'r5.large';

    const vpc = ec2.Vpc.fromLookup(this, `${stackName}-RdsVpc`, { vpcId });
    const privateSubnets = vpc.selectSubnets({
        subnetType: SubnetType.PRIVATE_WITH_EGRESS,
    });
    const isolatedSubnets = vpc.selectSubnets({
        subnetType: SubnetType.PRIVATE_ISOLATED,
    });

    /**
     * RDS Admin User Secret
     */
    const secretManagerName = '/test/postgres/admin';
    const EXCLUDE_CHARACTERS = ':@/" \'';
    const rdsAdminSecret = new sm.Secret(this, `${stackName}-RdsAdminSecret`, {
      secretName: secretManagerName,
      generateSecretString: {
        excludeCharacters: EXCLUDE_CHARACTERS,
        generateStringKey: 'password',
        passwordLength: 32,
        requireEachIncludedType: true,
        secretStringTemplate: '{"username": "postgresAdmin"}',
      },
    });

    /**
     * RDS Subnet Group
     */
    const subnetGroupName = `${stackName}-subnet-group`.toLowerCase();
    const subnetGroup = new rds.SubnetGroup(this, subnetGroupName, {
      description: subnetGroupName,
      vpc,
      subnetGroupName: subnetGroupName,
      vpcSubnets: isolatedSubnets,
    });

    /**
     * RDS Parameter Group
     */
    const auroraPostgresMajorVersion = auroraPostgresVersion.split('.')[0];
    const parameterGroupName = `${stackName}-parameter-group`.toLowerCase();
    const parameterGroup = new rds.ParameterGroup(this, parameterGroupName, {
      engine: rds.DatabaseClusterEngine.auroraPostgres({
        version: rds.AuroraPostgresEngineVersion.of(auroraPostgresVersion, auroraPostgresMajorVersion),
      }),
      description: `${parameterGroupName}: aurora-postgresql`,
    });
    parameterGroup.bindToInstance({});
    const cfnParameterGroup = parameterGroup.node.defaultChild as rds.CfnDBParameterGroup;
    cfnParameterGroup.addPropertyOverride('DBParameterGroupName', parameterGroupName);

    /**
     * RDS Cluster
     */
    const [instanceClass, instanceSize] = ec2InstanceType.split('.');
    const rdsClusterName = `${stackName}-rds-cluster`.toLowerCase();
    const readerInstanceName = `${stackName}-rds-reader-instance`.toLowerCase();
    const writerInstanceName = `${stackName}-rds-writer-instance`.toLowerCase();
    const rdsCluster = new rds.DatabaseCluster(this, rdsClusterName, {
      engine: rds.DatabaseClusterEngine.auroraPostgres({
        version: rds.AuroraPostgresEngineVersion.of(auroraPostgresVersion, auroraPostgresMajorVersion),
      }),
      credentials: rds.Credentials.fromSecret(rdsAdminSecret),
      clusterIdentifier: rdsClusterName,
      deletionProtection: true,
      iamAuthentication: true,
      readers: [
        rds.ClusterInstance.provisioned(readerInstanceName, {
          instanceIdentifier: readerInstanceName,
          instanceType: ec2.InstanceType.of(instanceClass as ec2.InstanceClass, instanceSize as ec2.InstanceSize),
          parameterGroup,
        }),
      ],
      securityGroups: [rdsSg],
      storageEncrypted: true,
      subnetGroup,
      vpc,
      writer: rds.ClusterInstance.provisioned(writerInstanceName, {
        instanceIdentifier: writerInstanceName,
        instanceType: ec2.InstanceType.of(instanceClass as ec2.InstanceClass, instanceSize as ec2.InstanceSize),
        parameterGroup,
      }),
    });

    /**
     * RDS Proxy
     */
    const rdsProxyName = `${stackName}-rds-proxy`.toLowerCase();
    const rdsProxy = new rds.DatabaseProxy(this, rdsProxyName, {
      proxyTarget: rds.ProxyTarget.fromCluster(rdsCluster),
      // eslint-disable-next-line @typescript-eslint/no-non-null-assertion
      secrets: [rdsCluster.secret!],
      vpc,
      dbProxyName: rdsProxyName,
      debugLogging: true,
      requireTLS: true,
      securityGroups: [rdsProxySg],
      vpcSubnets: privateSubnets,
    });

    /**
     * RDS Secret rotation
     */
    new sm.SecretRotation(this, `${stackName}-DbAdminSecretRotation`, {
      application: sm.SecretRotationApplication.POSTGRES_ROTATION_SINGLE_USER,
      secret: rdsAdminSecret,
      target: rdsCluster,
      vpc,
      automaticallyAfter: Duration.days(3),
      excludeCharacters: EXCLUDE_CHARACTERS,
      securityGroup: rdsRotateSecretsSg,
      vpcSubnets: privateSubnets,
    });

EC2を使用したRDSに対するssh操作

EC2 作成

適当なEC2インスタンス（Amazon Linux使用）をPrivate Subnetに1つと、踏み台としてPublic Subnetに1つ作成する

Security Group 設定

RDSにアタッチしたSG:
インバウンドルールにTCPポート5432でPrivate SubnetのEC2にアタッチしたSGを許可する
Private SubnetのEC2にアタッチしたSG:
インバウンドルールにTCPポート22でPublic SubnetのEC2にアタッチしたSGを許可する
Public SubnetのEC2にアタッチしたSG:
インバウンドルールにTCPポート22でマイIPを許可する

EC2 接続

マネジメントコンソールでEC2インスタンスを選択し、接続ボタンからSSHクライアントの接続方法に従って、
Public SubnetのEC2に接続し、Public SubnetのEC2からPrivate SubnetのEC2に接続する

クライアント用モジュールインストール

以下コマンドでrootユーザに切替

sudo su -

こちらを参考に以下コマンドでモジュールを検索、インストール

yum search postgresql
yum install postgresql15.x86_64

クライアントモジュールでRDSに接続する

psql -h xxxxx.yyyyy.ap-northeast-1.rds.amazonaws.com -U hogeuser -d hogedb

基本的なコマンドは以下を参照
PostgreSQLの基本的なコマンド

参考