豊洲会LT TransitGatewayが親切過ぎたせいで起きた話

Transcript

1. Transit Gatewayが “親切すぎた”せいで起きた話 豊洲会LT 2026/1/22
2. 内容についての注意点 • 発表内容は個人によるものです • 内容の正確性は十分注意しておりますが、AWSサービスのAWS 公式が正となります
3. Transit Gatewayが“親切すぎた”せいで起きた話 目次 • ことの起こり • 実際に起きたこと • その後… • まとめ
4. Transit Gatewayが“親切すぎた”せいで起きた話 ことの起こり • 情シス管理の既設Transit Gatewayに海外バーティカルSaaSのVPCを 接続させる
5. Transit Gatewayが“親切すぎた”せいで起きた話 ことの起こり • 情シス管理の既設Transit Gatewayに海外バーティカルSaaSのVPCを 接続させる • SaaSベンダー担当者は海外の方 • 事前にこのネットワークにおける SaaS 向けの CIDR はベンダーとすり合わせを 行い払い出したものを使ってもらうことで合意 • オンラインミーティングやチャットでコミュニケーション • 既設Transit Gatewayは情シス管轄 • オンプレ側につながっている • 他のAWS上システムともつながっている - SaaSなのでSaaS側の細かいVPCの中身は踏み込めなかった - 既設Transit Gatewayを構築/運用する中で定められたポリシーやヒアリングシートを 元に接続の認識合わせを行った
6. Transit Gatewayが“親切すぎた”せいで起きた話 実際に起きたこと • 接続当日は以下の体制で作業をしていた • SaaSベンダーの方とはチャットでやり取り • 情シスとはオンラインミーティング • アタッチメントを作成するまでは何事もなかったが… ルートテーブルの伝搬に想定していない伝搬が!!! • ロールバックとして伝搬やアタッチメントなどを一旦削除することに… - 既設Transit Gatewayは情シス管理のネットワークを効率的に管理するためデフォルト ルートテーブル伝搬を有効で運用していた - SaaS側でのみ使う内部NWがあり、1つのVPCとして実装していた
7. Transit Gatewayが“親切すぎた”せいで起きた話 その後… • SaaSベンダーに必要なルートの確認 • もうVPCの構成を変更できない • SaaS側の内部ネットワークをこちら側に接続させる必要は無い • 事前に認識合わせをしたCIDRのみルートが必要 • 情シス側もSaaS側の内部ネットワークと言われた伝搬が既存ネットワー クに影響ないことを確認 • 既設Transit Gatewayとしてはデフォルト伝搬ルートテーブルの設定を変 更したくない - アタッチメント作成時にデフォルトルートテーブル伝搬で作成される伝搬は全て削除 - 認識合わせを行ったCIDRに対する静的なルートを作成
8. まとめ • 本来便利に利用するための機能 • Transit Gatewayにはルートテーブルに関する親切な設定機能として2つのデ フォルト設定がある • アソシエーション • プロパゲーション # 今回はこっち • 接続先の責任範囲が外部になってしまう場合、上記の便利機能があ だになる • この機能は接続元となるTransit Gateway本体を持つAWSアカウントでのみ 設定できる 既設のTransit Gatewayに新しい接続を確立する場合は、このデフォルトが どのような扱いであるか、確認しておくこと • 接続先となるVPCに関しては正確な情報を入手すること • 想定外の挙動の際にどのような対応を取るか、事前に会話しておくこと