全然たいした話ではないのですが、へーって思ったので記録しておきます。 ALB にて外部からの不正アクセスを塞いだ話になります。 はじめに注意 ※追記３ この記事は、知識不足な状態で始まり、知識不足なまま初出した未熟な内容であり、外部の助力によりそれが解決に向かう、という流れになっています。 調査環境がAWSだったために、タイトルがこうなっていますが、実際はALB+ACM単独の問題ではなく、SSL/TLS としての仕様の話になっている、 ということを念頭において、読んでいただければと思います。 ※追記３ここまで 構成と問題点 手動で作成された ALB → EC2 環境があって、ワイルドカードなACM を使って 0.0.0.0:443 のみ開いており、EC2 は Global からのアクセスは遮断してありました。 にも関わらず、不正系なHostヘッダでアクセスされた形跡があり、コイツどこから来

新年あけまして地味なことから始めましょう。 ECS Exec におけるタイムアウト対策の雑多なメモで、AWS ECS Exec を使ってみたTips | 外道父の匠 の補足みたいな内容です。 問題点 引っかかった問題はシンプルで、こんな風にごく普通に execute_command を実行したときに、20分強経過するとプロセスが強制終了されるというものです。 ecs = boto3.client('ecs', region_name="ap-northeast-1") cluster = 'test' task_arn = 'arn:aws:ecs:ap-northeast-1:0123456789:task/test/0123456789abcdef' container = None interactive = True command = "/bin/sh -c 'echo ABC;

前回の考察をより実現しやすくするために、ECS on EC2 と Fargate でリソース構成にどのような違いがあるのか、をTerraformコードで追っていきます。 １つの設定で気軽に切り替えられる書き方にしていますが、実際にはそんな風にする必要はないので、ポイントを確認する感じで見てもらえればと思います。 構成の概要 ECS on EC2 と Fargate では、細かくは多くの違いがあるのですが、基本的な構成はそう違いはないとも言えます。このどっちつかずの表現は、以降のTerraformコードを見ていただければ、なんとなくわかってもらえると思います。 ただ、１つだけ大きめの違いがあり、on EC2 ではネットワークの選択余地があります。それはネットーワークモードが「awsvpc」か「bridge」かの違いです。 Fargate では「awsvpc」固定になり、タスクにPublicI

Fargate はコンテナホストとしてのリソースが不要なので、こんなもんでしょう。以前は貧弱CPUのせいで割高感が強かったですが、これならトントンに近い印象です。 ECS on EC2 or Fargate ? 性能・コスパ差が拮抗したとして、ではECSにおいて on EC2 と Fargate どちらを選ぶべきか、の要点を考えてみます。 構築 まず構築についてですが、細かい違いは多くあるものの、コード化してしまえば困ることはそうありません。EC2の方が、より選択と工夫の余地があり、Fargateの方がそれなりにシンプルに仕上る感じです。 リソース構成の差異については、後でTerraformコードで切り抜いて記述します。 EC2のデメリット 構成で最も異なるのは当然、インスタンスの有無──すなわちAutoscalingGroupの有無ですが、on EC2 にすることでデメリットと考えられる

大好きなLambdaでArm64 Graviton2 CPUを利用できるようになったので、既存のPython3.6 + x86_64 から切り替えてみました。 基本的でたいした内容ではないですが、ギリ時事ネタということで、要点をまとめてみたいと思います。 更新内容 とりあえずLambdaの更新内容の確認から。 AWS Graviton2 プロセッサを搭載した AWS Lambda 関数 – Arm で関数を実行し、最大 34% 優れた料金パフォーマンスを実現 | Amazon Web Services ブログ AWS Lambdaがarm64アーキテクチャをサポートしました | DevelopersIO これからLambda + Pythonで構成する場合 CPUアーキテクチャが増えただけでなく、Pythonも１～２年でマイナーバージョンが増えていくので、選択に迷うことがあるかもしれません

AWS Aurora MySQLには、高性能を期待できる Parallel Query という機能があります。 実際、良いモノっぽいのですが、非常に情報が少ないので私めがいつものように掘り下げて、お役に立てればという徳を積む行為であります。 目次 Parallel Query とは リンク集 速度比較 費用の仕組み 設定による有効・無効 有効にできない条件 Parallel判定されるクエリ 結合クエリ innodb_buffer_pool_size との関係 その他 実践では Parallel Query とは 詳しくは下記リンクを見たほうがいいのですが、頑張って要約してみます。 通常のDB処理は、データを可能な限りメモリ上に置いておいて処理しようとしますが、オンメモリじゃないデータはストレージから取得する必要があり、データ取得後はDB本体における１スレッドがクエリ処理を行います。 Aur

前回が思いのほか反響があったので、インドカレーのナンの如くおかわりです。 今回は完全に蛇足っ……圧倒的蛇足っっ……です！同じことを他のリージョンで確認したら、どんなもんなのかという、おまえ暇ナンかと言わてれもおかしくないやつ、参りましょう。 おまえ暇なん……？ 暇っちゃ暇。つーか、チャットとかで今忙しいですか？って話しかけられたら、俺はいつでも暇やでって応えるスタンスや。 元々趣味でやってるモンだから、休日にゲームしようか映画みようかエンジニアリングしようかって考えたときに、気になることがあったら先にやっちまうべき優先度が高いのがエンジニアリングってだけ。 こんなどーでもいい釈明をしたくなるくらいには、蛇足回……。 ……と思うやん？ リージョン別CPUモデル とりあえず結果を見たらよいと思うやつです。選択したリージョンは基本USで、一部適当にやってみただけです。 まずは出現CPUを、CPU

ちょいとした用途において、カジュアルにFargateの起動／停止を繰り返して、気ままに負荷全開かけていたら、あまりの違和感にCPU割り当てについて調査することにしました。 最近こんなことばっかやってる気がしますが、気に食わんかったからムカムカ解消に書くしかないんや。半分くらいブラックボックス与太話な感じで夜露死苦です。 はじまり とある処理を全開でFargateにやらせて、cpu=1024(100%), 2048(200%), 4096(400%) でどのくらい RPS (requests per second) でるかを計測していると、想定通りならほぼ比例でRPSが伸びるはずが、全然そうならないパティーンに遭遇。 並列過剰やエラー・バグ起因ではないことをほぼ確させた上で、まさかCPUガチャじゃあるまいなと試したら、まんまCPUガチャでしたということで、EC2からある話ではありますが、現在

ここ１ヶ月半くらい、ちょっとした独自システムを創っていたのですが、そこで編み出したテクニックを紹介してみます。 要はECS Execを使い込んだよってだけなんですが、こういうオモチャを使ったオモチャを作らせたら一級品の自負、ある。 ECS Exec の概要 基本的なところは他に任せたいのでリンクだけ貼っておきます。 New – Amazon ECS Exec による AWS Fargate, Amazon EC2 上のコンテナへのアクセス | Amazon Web Services ブログ [アップデート] 実行中のコンテナに乗り込んでコマンドを実行できる「ECS Exec」が公開されました | DevelopersIO デバッグに Amazon ECS Exec を使用する – Amazon ECS 外からコマンドを実行できる旨味 ECSっていっても自分の中では Fargate の話にな

久々にAuroraについて、小ネタ系で書いてみるテスト。 主にストレージIOPSにまつわるTipsで、光り輝くモノは別にないですけど、基本が大事ということで。 ストレージIOPSのグラフ生成 データベースの運用において、監視データであるメトリクスを色々収集するのは基本ですが、その中でも最重要に位置する項目である ストレージのIOPS についてです。 まず、Auroraのストレージ構成は共有型であり、IOPSメトリクスはホスト毎ではなくクラスタ毎のデータとして記録されています。 参考ページ Aurora ストレージエンジンのご紹介 Amazon Aurora DB クラスターメトリクスのモニタリング RDS Aurora の管理画面でモニタリングを見ると、グラフ名が [請求済み] ボリューム読み取り IOPS (カウント) [請求済み] ボリューム書き込み IOPS (カウント) となってい

これは、実際に print してログから値を確認した方がイメージしやすいと思いますが、それとドキュメントも参照するとバッチリです。 HTTP API の AWS Lambda プロキシ統合の使用 – Amazon API Gateway 例えば、この辺の値は扱う頻度が多いものになるでしょう。 event.get(“requestContext”).get(“domainName”) API にアクセスした際の FQDN が入っています。api.example.com とかになります。 同じ値で event.get(“headers”).get(“host”) にありますが、こちらはあくまでヘッダーですね。 event.get(“rawPath”) /request/path みたいのが入ってます。 event.get(“queryStringParameters”) event.get(“

AWS には API Gateway っていう、その名の通り API を作るのに便利なサービスがあるのですが、最近ちょっと用事があって利用しようとしたら、v2 としてHTTP対応されていたので飛びついてみました。 今回はそれをTerraformで構築したのですが、どうも v2 に関してあまり情報がまとまっていなかったので、まずはベースとなるリソースのコードを記載して、次回にどんな感じで扱ったかという中身について触れていければと思います。 API Gateway とは この辺を読んでおくとよいと思います。私のとこは実戦叩き上げ野郎によるコピペ用コードがウリなので、細かい説明はすっ飛ばして他に任せるスタイルです。 高速、低コストで、より良いAPIの構築 – HTTP APIが利用可能（GA）になりました | Amazon Web Services ブログ よくある質問 – Amazon API

ふと、AWS CodeBuild で大きめのコンテナイメージを作成する機会があったので、どーにかして処理時間や転送量を少なくできないかなと、考える前に、基本的な処理時間を計測してみました。 んでそれに関わる細かい情報をまとめて、さぁどうするかというと、別にどうもしない。けど大切な土台データだと思います多分。 検証する前の経緯 十数GB ～ 数十GB クラスの Git データを、丸っとコンテナイメージに収めて、WEBサーバーコンテナと並列してECSタスクを起動して、ファイル共有して静的コンテンツとして返させる。みたいなヤツやろうとしていて、 デカすぎてヤバそうという印象から、git clone した master を含むベースイメージを定期的に更新して、短期的には差分だけ pull する形で最新イメージを作る、とかしたら無駄がなさそうじゃね？って思ったものの、 その仕込みとか構成の複雑さとか

ECS Fargate でコンテナ内部をいじくってたら、いくつかやりたいことがあって、まとまりができたので更新です。 メタデータの扱いがわかれば大体イケるみたいな感じですが、たどり着くまでわりと時間かかったので、サクッとまとめ。 Fargate に渡される環境変数 最終的にはコンテナに sshd とか用意しないのがベターではあるのですが、やっぱりSSHは大正義。シェルで作業しないと、こーゆーのは捗りません。 Fargate で基本的な値が入った環境変数はこのように取得できるので確認します。これがあれば、あとはトントン拍子に進みますね。 (参考) Amazon ECS で “アクセス拒否” エラーを発生させないように IAM タスクロールを設定する $ sudo strings /proc/1/environ | sort AWS_CONTAINER_CREDENTIALS_RELATIVE

あけおめなので、ジャブから入ります。左を制するものは世界を制すです。 EC2 のインスタンス・リソース制限が、起動数からvCPU数に変わって結構経つのですが、その監視を気分転換に追加しようと思って放置しておいたアレというか、新年ブーストのためにワザととっておいた、そんなアレです。 参考ページ Amazon EC2 で vCPU ベースのオンデマンドインスタンス制限が利用可能になりました | Amazon Web Services ブログ よくある質問 > EC2 オンデマンドインスタンス制限 – Amazon EC2 | AWS AWS Limit Monitor が vCPU ベースのオンデマンドインスタンス制限モニタリングのサポートを開始 EC2 の起動制限がサーバー台数から vCPU での制限へ変更されます – サーバーワークスエンジニアブログ vCPUの上限をチェックするLambd

EKS Fargate が出たので、男の子なら ECS Fargate と対決させてみたくなるじゃないですか。 でも、結果が全然おもしろくなかったので、雑にいきますね！ EKS のCPUモデル まずは、EKS Fargate を起動して、CPUをチェックしていきました。リソース量を多くしてあからさまに変わったら恥ずかしいので、ちゃんと１回ずつ網羅しておきました。例によって、テーブルに起こすの面倒なので画像で失礼しやす。 ちな、CPUの性能値については、私の大好きなこちらから検索したものになります。 CPU Benchmarks いくつか補足を。 起動の時間にはムラがある。おそらくNodeとして新規起動なのか、起動済みに入るのかで変わるのだろう CPUモデルはリソース量に関係なくランダムだと思われる PodからみたNodeのメモリ容量は、4GiB弱～32GiB あたりで構成されるようだ 30

前回、Podの割り当てリソース量が小さいほど、急増する負荷や、Nodeのスケールアウト時に弱いのでは疑惑が上昇しました。 その対策として、メモリのLimitを外すことはアリなのかどうか。メモリの NoLimit はそもそもどういう挙動なのか、を知っておくために行った攻めの検証となります。 概要というか検証前の頭ン中 PodのメモリもCPUみたいに NoLimit で動かすなんて、無理っていうか非人道的っていうか、絶対死しか待っていないでしょって思い込むのは良くない！と思い直すことにした。 Pod で動かすWEB・APP系のデーモンの機能次第ではあるんだけど、もしメモリを allocatable いっぱいまで使ったり、落ち着いたら複数のPodでの使用メモリ量が平均化したり、をできるならば、小さいPod君でも一時的にイキれることで弱点を克服できるかもしれない、と思ったのだ。 多分、ていうかほぼ

前回の続きで、今回はPod数が多い場合のメリットを考えていきます。 ぶっちゃけ、こういうところまで考え込まずに運用しちゃうほうが、幸せだと思います。私は、古いゲーマーなので、穴や弱点を探すのがすきだからやってみている、そういう感じなのです。 Nodeリソースの有効活用 (少) ☓ <---> ○ (多) Node にてサービス用Pod に割り当て可能なリソースは、Nodeで必要な量を引いた allocatable な CPU や Memory、そしてそこから基盤用Podリソースを差し引くことで確認できます。(参考) Node Memory が 4096 MiB だとすると、allocatable Memory が 4000 MiB などに減る。そこに 1000 MiB の Pod を起動しようとしたら、ちょうど 4Pod 起動できることになるけど、allocatable Memory が

前回の続きで、『NodeとPodのリソース量と、NodeあたりのPod数はどのくらいで運用するのが正着なの？』の答えを求めて幾星霜。 正解とは言わないまでも、有効と言える考え方まではもっていきたい。少しずつ寄せていって、詰めきれるかは閃き次第。そんなノリで Let’s & go. 概要 NodeあたりのPod数ってなんぞや？ってところからいくと、WEBサーバーのような同内容の複数Podであることを前提として、1Nodeの中で起動できる最大Pod数のことです。これは、Resource Requests を調整することで決定できます。 Node 8vCPU 32GiB にて、Pod Requests 8000m 32GiB だと最大1Pod だし、2000m 8GiB だと最大4Pod になる、というおさらいです（面倒なので端数はなし）。 選択肢としては、1～16Pod くらいまであるとして、

コンテナは便利イコール運用も簡単。とはならず、むしろ仕組みの理解や設定調整は、旧来のシステム構成よりもしっかり取り組まなければいけないイメージがよろしいかと思います。 適当に運用がうまくいくのは小規模までで、それ以降はおそらく偶然上手くいってるだけか、突然の死を向かえるかの二択になる気がしています。特に今回のリソース周りは旧来のシステムとはけっこう感覚が異なるので、脳みそのアップデートが必要なくらい大事な部分だと感じています。 Resource の requests / limits と CPU / Memory リンク集 この辺はちゃんと読んでおいたほうがよいです。 Managing Compute Resources for Containers – Kubernetes KubernetesのResource RequestsとResource Limitsについて – Qiita