AWS側の目線から理解する、Google Cloud ロードバランサの世界 - How elegant the tech world is...!
はじめに お久しぶりです、iselegantです。 今回はAWSアーキテクトの目線から、多様なGoogle Cloud Load Balancingの世界を紹介してみたいと思います。 昨今、担当業務やプロジェクトによってはAWSのみならずGoogle Cloudを活用したり、マルチクラウドとして両方扱うエンジニアの方も多くなってきたのではないでしょうか？ 特に、SI企業に所属する人においては、担当プロジェクトや業務、お客様が変われば利用するクラウドサービスも変わる、なんてこともよくあると思います。 私もその道を辿ってきた一人です。 現在ではクラウドサービス間においてもある程度のコモディティ化が進んでおり、ある一つのクラウドサービスに精通すると、他のクラウドサービス利用時におけるメンタルモデルが出来上がり、システムを構築する際に前提の知識や経験が大いに役立つはずです。特にAWSはサービスの幅
EC2における「管理用VPC」設置の是非について
こんにちは、SCSKの木澤です。 先日、VPCにおける大きなアップデートが発表されました。 Multi-VPC ENI Attachmentsaws.amazon.com EC2から複数のVPCに対してENIを接続できるようになったよ、という話です。 オンプレミスのネットワーク設計経験者であれば、この話を聞いて「管理用VPCが作れるようになったな」と感じることでしょう。 実際私自身もAWS初心者の頃は管理用のネットワークが構成できないことが気になっていました。 ですが、AWSにおいては安易に管理用VPCを設置すべきではないと考えています。 その理由を下にまとめたいと思います。 オンプレミスネットワーク設計のセオリー オンプレミスにおけるネットワーク設計経験が無い方もいらっしゃると思いますので、丁寧に解説したいと思います。 今回は下図のような一般的なWeb3層のシステムのネットワークを設計す
EC2が複数VPCにENIを足出しできるように！でもみんな戦々恐々としてるのはなぜ…？ - Qiita
AWSのVPCに大きなアップデートが！ 今週10/26、AWSにこんな機能アップデートが発表され大変話題になりました。 簡単に言うと 「EC2インスタンスから複数のVPCに対してENI（NIC）を足出しできるようになった」 という大きなアップデートでした。 みんな戦々恐々？ しかし、Twitterのオンプレミス経験者たちは口を揃えて懸念を漏らしています。 「これ、クラウド初心者がオンプレからの移行で "監視セグメントVPC" みたいなものを作ってしまうんじゃなかろうか…」 今回のアプデを見て「ウッ…😅」と感じた方も、改めて何が問題なの？と聞かれると意外としっかり言語化できないかも知れません。これを機にAWSの代表的なサービスであるマネージド論理ネットワーク「VPC」の基本をおさらいしてみましょう。 オンプレ時代の基本を振り返る パブリッククラウド普及前のオンプレミス時代では、企業のシステ
AWSのPublic IPv4構成をIPv6に切り替える | 外道父の匠
AWS の IPv6化について調査は済んだけど、書き始めるのに非常にドンヨリしております。図を書いて少しでも楽しくいきましょそうしましょ。 皆様も読んだらドンヨリするかもしれませんが、できるだけ丁寧に書いてみますので、PublicIP 有料化に抗いたい人は頑張って追ってみてください:-) 目次 また長いです。でもひきかえさないほうがいいかもしれない。 はじめに 前提知識 目的 IPv6 の設計 従来のプライベート IPv4 IPv6 の割り当て Gateway と Routing VPC SecurityGroup Network ACL Subnet Egress Only G/W NAT64 RouteTable Public Private インスタンスで動作確認 IPv6 アドレスの確認 IPv6用の設定 疎通確認 IPv6リソースの配置 既存リソースの入れ替え アプリケーションの
ウン十万接続のALB SSL証明書を平和に更新したい - Nature Engineering Blog
こんにちはSREの黒田です。 これは第2回 Nature Engineering Blog 祭9日目のエントリです。 昨日はCorporate ITのマロニーによる GASを使って社内のSaaSアカウントを可視化しよう - Nature Engineering Blog でした。 昨日に続いて今日のお話も、話題の新製品Remo nanoやMatterとは関係ありません。 TL;DR WebSocketで大量に永続接続されているALBのSSL証明書を更新すると、接続がばっこんばっこん切られて大変なので、ALBを二台用意して緩やかに接続を移行するようにしたら、大変平和になって僕もみんなもハッピーになった。 背景 そもそもNatureではどこに何のためにWebSocketを使ってるの？って話から始めると長いので、詳しくはこちらを見ていただければと思います (結構前の資料なので今とは違う部分も色々
ドメイン管理を AWS Route 53 から Cloudflare に移管した - 酢ろぐ！
2022年11月に AWS Route 53 のドメイン更新料が値上げされた。一時期と比較してマシになったとは言えるものの円安傾向にある今日日 $1 の値上げでもドメイン数があると結構厳しいなと思っていた。 先日「Route 53 から Cloudflare にドメイン移管したい」という投稿をみて、「そういえば Cloudflare ってCDNだけじゃなくてドメインも売り出したんだっけ……」と調べてみたところ、本記事の執筆時点のレートで Route 53 を契約し続けるよりも約 700円の差があることがわかった。 Route 53 では comドメインが $13 / year (執筆当時：1,729円/年) Cloudflare では comドメインが $8 / year (執筆当時：1,064円/年) さらに Route 53 ではホストゾーンごとに年600円の管理費と S3 の転送料が
【ベストプラクティス】Amazon VPC の構築方法を分かりやすく解説 - Qiita
はじめに Amazon VPCは、AWS上で仮想ネットワークを構築できるサービスです。 VPCの概要や理論については以下の記事で詳細に解説しました。 一方で、「理論だけでなく実践も重要！」 と思われる方も多いと思いますので、 本記事では実際にVPCによる仮想ネットワークを構築する方法を解説します。 構築の指針として、以下のベストプラクティスを極力満たすよう進めていきたいと思います。 特にVPCフローログやVPCピアリング、VPN等は設定が複雑でハマりがちですが、極力分かりやすく解説したつもりなので、効率よく構築法を習得できる記事となれば幸いです。 本記事で構築するVPCの構成 下図構成のVPC (上記記事の冒頭で紹介した構成)の構築を、実際のコンソール操作方法を交えて解説します。 上記構成の意図として、VPC1 (Webアプリ用のVPC)とVPC2 (社内ネットワークを模擬したVPC)を組
Amazon VPCを「これでもか！」というくらい丁寧に解説 - Qiita
はじめに AWS上で仮想ネットワークを構築できるAmazon VPCは、多くのAWSサービスが動作する基盤となる、非常に重要かつ多機能なサービスです。 多機能ゆえに公式ドキュメントやネット上の記事も断片的な機能の解説が多く、全体像を把握することが難しいサービスとも言えます。 そこで本記事はVPCの全体像を理解できるよう、各機能のつながりや動作原理を丁寧に解説し、 「VPC界の百科事典」 (あくまで例えですが…笑) となるような記事を目指したいと思います。 【追記】 実践編の記事を追加しました VPCの実画面での構築方法は、以下の別記事にまとめました。「VPCを実際に触ってみたい！」という方は、こちらもご一読いただけると嬉しいです。 VPCとは 「Virtual Private Cloud」の略で、クラウド上に仮想的なネットワークを構築するためのサービスです。 例えば、オンプレ環境でWebア
【小ネタ】TerraformでACM証明書作成してALBに関連付ける | DevelopersIO
こんにちは！コンサル部のinomaso(@inomasosan)です。 最近はAWSでWebサイトを構築する際、SSLサーバ証明書をACMの無料証明書(DV証明書)にて対応することが多かったです。 そこでサクッと構築できるように、Terraformでコード化を検証してみました。 この記事で学べること ACM証明書やALBの作成方法 Terraformでのコードの書き方 環境 今回実行した環境は以下の通りです。 macOS Catalina 10.15.7 Terraform 0.14.8 AWSプロバイダー 3.34.0 前提 Route53でドメイン登録等を実施し、ホストゾーン作成まで完了していること。 コード 1. ACM関連 ACMで無料証明書を作成し、Route53にACMのドメイン検証用レコードを追加します。 Route53のホストゾーンIDは手動入力しているので、ご自分の環境で
TerraformでAWS上にHTTPS化したサブドメインを定義する - My External Storage
個人のAWS環境でTerraformを使ってHTTPS化したサブドメインを定義した。 普段なかなかしないことで忘れてしまうので手順をまとめおく。 TL;DR Terraformを使ってAWS上でHTTPS化したサブドメインを構成したい ルートドメインのホストゾーンをTerrformで作っても登録済みドメインのネームサーバの設定は手動になるので注意する ワイルドカード付きの証明書をTerffaformで生成するときは少しテクニックが必要になる ハマりどころを解決できれば少々の定義で構築できた なお、本記事で利用しているTerraformとAWS Providerのバージョンは以下となる。 HTTPS化したサブドメインを作成したい この記事の前提とやりたいことは次の通り。 前提条件 example.com というドメインをRoute53の登録済みドメインとして登録済み example.comま
【AWS】Pod毎にセキュリティグループを指定できるSecurityGroupPolicyについて
はじめに 最近AWSでPod毎にセキュリティグループを指定できるSecurityGroupPolicyが出たので、その紹介記事になります。 (2020/9なのでもう最近じゃない気もしますけど😇) SecurityGroupPolicy概要と利点 SecurityGroupPolicyとは、pod単位でセキュリティグループを指定できるようにする、AWS独自のkubernetesリソースの事です。 マイクロサービスなどで複数サービスを単一クラスタで管理する環境の場合、サービス(pod)単位でセキュリティグループを作成したくなること、ありませんか？(あるある！) 例えば、サービスAのRDSやElasticacheが、サービスBのpodからも自由にアクセス出来るって少し怖いですよね。(うんうん！) 上記のような問題をSecurityGroupPolicyは解決できます。(すごい！) 従来はNod
EKSのセキュリティグループについて理解する - Qiita
※ 2022年8月更新：ドキュメントが大幅に変わっていたため本記事も大きく書き換えました。 背景 EKSクラスターやワーカーノードに用いるセキュリティグループ（以下SG）には何種類かありますが、それぞれの役割について一部よくわからない部分がありました。 今回、AWSサポートへの問い合わせや動作検証によりきちんと調べてみたので、まとめていきたいと思います。 EKS関連SGの種類 EKS関連のSGは下記3種類がある。 クラスターSG コントロールプレーンSG ノードSG ノードSGがワーカーノードEC2に付与するSGっていうのは、なんとなく分かる。けど、1.と2.の違いがよく分からん。。という状態でした。 さらに検証進めていく中で、ノードSGも少し特殊な動作することがわかりました。 それぞれ詳しく 1. クラスターSG 下記3者に付与されるSG EKSコントロールプレーン通信用ENI（EKS-
AWSのセキュリティグループの許可ソースにセキュリティグループを設定するパターンとは-エンタープライズIT [COLUMNS]
金融システムの運用保守や情報システム部門のIT支援などを経て、現在は顧客へのAWS導入・移行の提案、構築などを担当。社内向けの勉強会、技術支援などを実施し、AWSエンジニアの育成にも挑戦中。好きな食べ物はカレーと餃子。 執筆・監修者ページ／掲載記事：6件 みなさん、AWSのセキュリティグループはご存じでしょうか？ こんにちは。エンジニアの中井です。 AWSのサービスを利用する上で、避けては通れないのがセキュリティグループの設定です。 このセキュリティグループですが、改めてドキュメントを読み返すと色々と発見がありました。 そこで今回は、セキュリティグループの基本的な部分をおさらいしつつ、インスタンスへの設定パターンなどについて説明していきたいと思います。 セキュリティグループのおさらい 一言でいうと セキュリティグループは「ステートフルなファイアウォール」で、インスタンスレベルで動作。 ネッ
![AWSのセキュリティグループの許可ソースにセキュリティグループを設定するパターンとは-エンタープライズIT [COLUMNS]](https://cdn-ak-scissors.b.st-hatena.com/image/square/ec7a7459de5f863ffe2b1e3dab25b4653f6eef5a/height=288;version=1;width=512/https%3A%2F%2Fent.iij.ad.jp%2Fwp-content%2Fuploads%2F2020%2F10%2Fe-aws01.png)
別のAWSアカウントで管理しているドメインを使ってACMで証明書を発行して、ELBの証明書を入れ替えてみた | DevelopersIO
こんにちは。コンサル部@リモートのYui(@MayForBlue)です。 前回のブログ（下記）に引き続いて、今回は「別のAWSアカウントのRoute53で管理しているドメイン」を使ってACMで証明書を取得してELBのデフォルト証明書を入れ替える方法をご紹介します。 前提 ELBには既にACMの証明書が適用されている 新たにACMで証明書を取得して、ELBにデフォルト証明書として登録する（旧の証明書と入れ替える） 証明書を取得するドメインは別のAWSアカウントのRoute53で管理している 1,2は前回と同じで、３が前回と異なる点です。 手順 ACMで証明書を発行する 前回と同じく、まずはACMで証明書を発行します。 ACMのマネジメントコンソールで「証明書のリクエスト」をクリックします。 「パブリック証明書のリクエスト」を選択して「証明書のリクエスト」をクリックします。 証明書に使用するド
新しい Route53 コンソールで別 AWS アカウントのリソースをターゲットとするエイリアスレコードを登録してみた | DevelopersIO
コンバンハ、千葉（幸）です。 Route53 ホストゾーンでは、クロスアカウントでのエイリアスレコードの登録もできます。 そんな話を以前に書いたりしました。（エイリアスレコードとはなんぞや？と言った細かいところの話は以下に任せて、改めて取り上げることはしません。） 当時の記憶を頼りに久しぶりに作業しようとしたところ、コンソールのデザインがガラッと変わっていたためにどのように作業すればいいのかを 15 分ほど迷ってしまいました。 今後同じような事態に陥った方の 15 分を節約できるように、操作のイメージを記載しておきます。 クイック作成でのエイリアスレコードの登録手順 ホストゾーンが作成済みの前提で、レコードの作成画面から話を進めていきます。今回は別の AWS アカウントにある ALB をターゲットにしたいとします。 エイリアスレコードを登録したい場合は、画面右上の「エイリアス」のトグルボタ
Amazon ELBをうまくつかうには、KeepAliveを有効にしよう。Timeoutは60秒よりだいぶ長くしよう。その背景。
Amazon ELBをうまくつかうには、KeepAliveを有効にしよう。Timeoutは60秒よりだいぶ長くしよう。その背景。 鯖管のメモ帳: AWSのELBでHealthyHostCountが0になるという記事の中で ■AWSのELBとApacheを使う際の注意点 ・Timeoutは120以上が推奨 ・ApacheのKeepAliveは有効にすべし。ELBとの接続効率があがる。 という形ですでにやるべきことは書いてあるのが、なぜそうなるか。。(いそがしい人は後は読まなくてok！) 根本的な理由としては、ELBはTCPを単にリレーしているのではなくて、アプリケーションレイヤのプロキシであることによるものが大きい。ELBはバックエンドのEC2との間で無通信の場合でも60秒はセッションを維持する。 ELBはTCP Persistent Connectionを提供し、webサーバとの間のTCP
ELB使ってる人はすぐにKeepAlive Timeoutの値を確認しよう - Qiita
TL;DR ELBはクライアントからのリクエスト時に、クライアントとバックエンドとのコネクション2つを維持する 両方の接続について、アイドルタイムアウト値はデフォルトで60秒となっている バランシング先のNginxなどのKeepAlive Timeout値は、ELBのアイドルタイムアウト値より大きくなければならない もしELBのアイドルタイムアウト値より小さい場合、504 Gateway Timeoutエラーが返ってくる この504エラーはALBのログには書き込まれないので、きちんとALBのステータスコードを監視するべき ELBのコネクション 図にするまでもないが、ELBにおけるTCPコネクションは以下のようになっている。 KeepAliveとは まずはKeepAliveについて振り返っておく。KeepAliveとはクライアントとサーバー間での接続が有効であるかを確認するために一定周期で行
AWSのELB(ALB)におけるSocket.IOのwebsocket接続と負荷分散 - Stickiness(Sticky session)の活用 - このすみノート
AWSではELB(Elastic Load Balancing)を活用し、アクセスの振り分けや負荷分散を行なうのがメジャーです。 ロードバランサーを使った構成は、通常のWebシステムではごくごく一般的です。 ただしSocket.IOを使ったウェブソケット(websocket)接続では、問題となる場合があります。 これには理由がありまして、私も調査に苦労しました。 まずは前提となる知識を共有しつつ、備忘録を兼ねて解説します。 目次 目次 Socket.ioの仕組みをざっくりと理解する ロングポーリング(polling) ロングポーリングからウェブソケット(websocket)へ Connection: Upgrade ロードバランスされるとセッション(sid)が引き継げない問題 Redisによるセッションの共有 Application Load Balancer Stickiness(Sti
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
EKS — Security Groups for Pods
Configure Amazon CloudFront CDN for WebSocket connection