DB管理をお客様に任せてみた

DB管理をお客様に任せてみた JAWS-UG ランチタイムLT会株式会社アイデミー居石峻寛

自己紹介おりいしたかひろ居石峻寛 (へたれ) 株式会社アイデミー所属化学系研究室向けSaaS Lab Bankの開発・運用
コンテナやネットワーク周りが好き (強くなりたい)

Lab Bank要件冗長性や堅牢性など通常のSaaSに加えてお客様『データは自社で管理、でもSaaSの利点は享受したい...』

DBのみ顧客に管理してもらう SaaSのいいところどり！！ • DBは顧客管理 • アプリケーションは自社管理

DBのみ顧客に管理してもらう SaaSのいいところどり！！ • DBは顧客管理 • アプリケーションは自社管理インフラ構成についてお話します！

インフラ構成テナント = 利用企業毎にDBを分けて運用する DBはテナントごとに顧客各社で管理するVPC上に配置

インフラ構成テナント = 利用企業毎にDBを分けて運用する DBはテナントごとに顧客各社で管理するVPC上に配置 ? どう繋ぐ？ IP制限、閉鎖路、VPN...

接続方法の選択肢 VPC間の経路を確保する方法は複数存在 → 要件に合わせた選択 IPホワイトリストでの制限 Private Link (Interface型) VPC Peering
/ Transit Gateway サイト間VPN 概要 SGやWAFで接続元IPを制限インターネット経由 VPC間をAWSの閉鎖路で繋ぐ VPC間をAWSの閉鎖路で繋ぐ各VPCにゲートウェイを設置し VPN経路を確保するメリット特別なリソースの作成が不要インフラ費用は抑えられる VPC間でCIDRの重複を許容 SGでのアクセス制御が可能ポート単位でのアクセス制御ローカルIPで通信が可能 NLBなどのリソースが不要 IPSecによって暗号化されるオンプレや他クラウドサービスも接続可能デメリットインターネット経由なためセキュリティ面で不安出口にNLB/GLBが必要 Interface型VPC endpoint コスト高 VPC間でローカルCIDRが重複できない (顧客が自由なCIDRを使えない) インターネットを経由する

選ばれたのはPrivate Linkでしたサービス展開する上での複雑性を回避 • Lab Bank VPC、顧客VPC間でのCIDR重複を気にしなくて良い • 各社エンドポイント毎にSGでのアクセス制御 •
各社エンドポイント毎にPrivate Host Zoneでのドメイン付与 • 顧客DB環境をAWSに限定するのを許容

Proxyサーバ Auroraへのアクセスはドメイン経由 Private Linkの出口であるNLBの接続先はIP or TGのみ → NginxのTCP Proxyを挟む

まとめ DBは顧客管理 & アプリは自社管理接続方法はPrivate Linkを選択 • Lab Bank VPC、顧客VPC間でのCIDR重複を気にしなくて良い
• 各社エンドポイント毎にSGでのアクセス制御 • 各社エンドポイント毎にPrivate Host Zoneでのドメイン付与

DB管理をお客様に任せてみた

DB管理をお客様に任せてみた

hetare

Featured

Transcript