PrivateLinkとALBを利用してECS Fargateをロードバランシングする

こんにちは。Enjoy IT Life管理人の@nishina555です。

FargateとはECSの実行環境の1つです。Fargateを利用することでECSインスタンスの管理が不要になるため、インスタンスのキャパシティやセキュリティについて意識しなくてよくなるというメリットがあります。

Fargateの概要についてはAWS『スタートアップのためのコンテナ入門 – AWS Fargate 編』を参照してください。

今回はFargateで起動しているタスク（Dockerコンテナ）をPrivateLinkとALBを利用してロードバランシングさせる手順について紹介します。

具体的には以下のような環境を構築します。

ロードバラシング向けVPCネットワークの作成

まずはロードバランサーおよびロードバランシング対象のタスクを配置するVPC環境を作成します。今回はロードバランサーをパブリックサブネットに、タスクをプライベートサブネットに配置します。

具体的にはVPCに以下の環境を作成します。

サブネット

名前	アベイラビリティゾーン	IPv4 CIDRブロック	目的
public-subnet1	ap-northeast-1a	10.0.0.0/24	ALB配置用
private-subnet1	ap-northeast-1a	10.0.1.0/24	タスク配置用
public-subnet2	ap-northeast-1c	10.0.3.0/24	ALB配置用

セキュリティグループ

名前	インバウンドルール	用途
sec-alb	任意のHTTPアクセスを許可	ALB用
sec-web-via-alb	ALBからのHTTPアクセスを許可	タスク用

ロードバランサーはALBを利用します。

一点、ロードバランサーおよびターゲットグループの作成で注意点があります。

Fargateが実行環境の場合タスクはawsvpcで起動します。awsvpcとはタスクごとにENIとプライベートIPを付与するネットワークモードのことです。1 FargateのタスクはIPで識別されることになるので、Fargateのタスクをロードバランシングする際は『ターゲットの種類』を『ip』に設定してください。

ロードバランサーが配置されたVPC環境におけるサブネットやセキュリティグループの作成手順の詳細はAWS EC2にALBを導入し、Webサーバーのロードバランシングを実現する手順で紹介していますので参照してください。

PrivateLinkの作成

今回はプライベートサブネットにタスクを配置します。

プライベートサブネットはインターネットに接続されていないためDockerイメージのpullなどができず、タスクを起動できません。
そこでPrivateLinkを作成し、AWSサービス間をプライベート接続でアクセスできるようにします。

PrivateLinkはプライベートサブネットにタスクを配置する際に必要な設定であるため、パブリックサブネットにタスクを配置する場合は設定不要です。

VPCでプライベートDNSを設定をできるようにする

PrivateLinkを作成する際、PrivateLinkのエンドポイントに対してプライベートDNSを割り当てます。

プライベートDNSを割り当てるには、VPCのenableDnsSupportとenableDnsHostnamesがtrueになっている必要があります。

PrivateLink作成対象のVPCにチェックをし、『DNS解決の編集』と『DNSホスト名の編集』から『有効化』にチェックがついているか確認してください。

PrivateLink用のセキュリティグループの作成

PrivateLinkはプライベートサブネットの通信で利用されます。

よって、プライベートサブネット用のセキュリティグループからのインバウンドアクセスを許可するセキュリティグループを作成します。プロトコルはHTTPSです。

エンドポイントの作成

ECSの実行環境によって必要となるAWSサービス（エンドポイント）は異なります。ECSの実行環境と必要になるPrivateLinkのエンドポイントの対応は以下の通りです。2 3

ECSエンドポイント

エンドポイント名	EC2実行	Fargate実行
ecs-agent	必要	不要
ecs-telemetry	必要	不要
ecs	必要	不要

ECRエンドポイント

エンドポイント名	EC2実行	Fargate実行
ecr.dkr	必要	必要
ecr.api	必要	不要

S3エンドポイント

エンドポイント名	EC2実行	Fargate実行
s3	必要	必要

CloudWatchエンドポイント

エンドポイント名	EC2実行	Fargate実行
logs	用途による	必要

S3にはDockerイメージの実体が配置されているため、ECR利用時にはS3エンドポイント用のPrivateLinkを作成する必要があります。

なお、各サービス名の頭にはcom.amazonaws.[リージョン名]がつきます。

例えば、ap-northeast-1のlogsであればcom.amazonaws.ap-northeast-1.logsが正式なエンドポイント名となります。

今回はFargateを利用するため、ecr.dkrとs3、logsのエンドポイントに対するPrivateLinkを作成します。

もしPrivateLinkを作成する際、Enabling private DNS requires both enableDnsSupport and enableDnsHostnames VPC attributes set to true for vpc-xxxというエラーが表示された場合は、VPCの『DNS ホスト名の編集』と『DNS 解決の編集』が有効になっていないのでVPCの編集を先に行ってください。

VPCダッシュボードの『エンドポイント』→『エンドポイントの作成』を選択します。