AWSのお気に入りサービス 〜ALB 〜

CodePipeline を使ってECSに Blue/Green デプロイの設定を行っている仮定で、 ALBのテストリスナーをしりました。この驚きを伝えたくてLTのネタにしました。

Transcript

1. Team-Q Lighting Talks お題：AWSのお気に入りサービス 〜ALB 〜 2020年11月19日 株式会社 ゆめみ 秋山 昌宏
2. Application Load Balancer と連携するサービスたち
3. Application Load Balancer EC2 > ロードバランサー > ロードバランサーの作成
4. Application Load Balancer is HTTP および HTTPS トラフィックを使用する ウェブアプリケーション用に柔軟性の高い機能セットが必要な場合は、 Application Load Balancer を選択します。Application Load Balancer はリクエ ストレベルで動作し、マイクロサービスとコンテナを含む、アプリケーション アーキテクチャを対象とした高度なルーティングおよび可視性機能を提供します OSI参照モデル Layer 名称 AWSの Load Balancer Layer7 アプリケーション層 Application Load Balancer Layer6 プレゼンテーション層 Layer5 セッション層 Layer4 トランスポート層 Network Load Balancer Classic Load Balancer Layer3 ネットワーク層 Gateway Load Balancer(!!) Layer2 データリンク層 Layer1 物理層
5. Layer7 vs Layer 4 送信先IPアドレスとポート番号を理 解して、送信先をコントロールする 送信元と送信先に関心があり、デー タのHTTPプロトコルには関与しない データに関与しないのでHTTP以外に も利用できる HTTPプロトコを 理解する 特定のプロトコルを理解するので特 化した製品になる Layer7 Layer4
6. 理解する って？ 例えばリクエストヘッダーに基づいて動作を変える
7. ALBのルール設定 条件を指定して 動作を指定する
8. やっと本題
9. Application Load Balancer
10. ALBでリバースプロキシ • リクエストヘッダーの Host で振り分け Application load balancer Amazon EC2 Amazon EC2 Amazon EC2 Target Group my Target Group admin Target Group www https://www.example.com/index.html https://admin.example.com/pages https://my.example.com/profile If Host == “www.example.com” then If Host == “admin.example.com” then If Host == “my.example.com” then 条件 (いずれかの方法を選択する) 1. デフォルトの証明書をワイルドカード証明書にする 2. SNI を利用して複数の証明書を適用する (https://aws.amazon.com/jp/blogs/news/new-application-load-balancer-sni/ ) モチベーション ü サイトは多いがアクセス数は少ないので、ALBを集約してコストダウン
11. Application Load Balancer + AWS Certificate Manager
12. HTTPSに対応する • いまやHTTPS化は人権 • 運用の課題「サーバ証明書の更新忘れ」は頻 度が低く最短でも1年に1回の作業なので、忘 れがち • でも、忘れるとサービスを止める致命的な障 害 • ACMにDNS検証が加わり、運用が楽になった
13. Application Load Balancer + Amazon Cognito
14. ALBで簡易ユーザ認証 • これまではWebサーバにアクセスできる人を 制限する手段に「Basic認証」が多様されてき た • Basic認証のIDとパスワードは共有されがちで 仕組みとしても簡単なもの • ユーザ情報の管理にCognitoを使うことで、1 人に1IDを実現しやすくなった
15. ALBで簡易ユーザ認証 Cognitoが提供する機能を使う • 当然、パスワードリセット • MFA • OpenID Connect ( Google など) • リアルサーバがリクエストヘッ ダーからユーザの情報を得る こんなこともできる 認証のダイアログ x-amzn-oidc-accesstoken トークンエンドポイントからのアクセス トークン (プレーンテキスト)。 x-amzn-oidc-identity ユーザー情報エンドポイントからの件名 フィールド (sub) (プレーンテキスト)。 x-amzn-oidc-data ユーザークレーム (JSON ウェブトーク ン (JWT) 形式
16. Application Load Balancer + Amazon Elastic Container Service + Code Build
17. Blue/Green デプロイと動確認 • BlueとGreenを入れ替える手前に動作確認 • 本番とは別のポートでリスニングすることで、 本番に手を加えることなく動作確認が行える Application load balancer Target Group green Target Group blue Container 2 Container 1 Container 2 Container 1 443番ポート 1443番ポート 本番リスナー テストリスナー Task Task Task Task
18. CodeDeployの設定 5BSHFU
    HSPVQͷίϯςφ͕ ʮϔϧγʔʯʹͳ͔ͬͯΒɺ ੾Γସ͑·Ͱͷ࣌ؒɻ ͜ͷؒʹಈ࡞֬ೝΛߦ͏ ͜ͷϙʔτʹ ΞΫηεͯ͠ ಈ࡞֬ೝΛߦ͏ ੾Γ໭͠༻ʹ೔ ͸࢒͍ͨ͠
19. 動作確認後 CodeDeployの画面から ಈ࡞֬ೝ 0, ಈ࡞֬ೝ /( 0,ͱࢥͬ ͚ͨͲ੾ Γ໭͠ 5BSHFU
    (SPVQͷ ੾Γସ͑Λ ଴ػ͍ͯ͠Δ ੾Γ໭͠༻ʹ ࢒͍ͯ͠Δ࣌ؒ &$4λε Ϋ͸࢒Δ
20. Have a nice development