EventBridge Schedulerを使って、特定の期間のみNATゲートウェイを有効化することを実現する

nokomoro3

2024.04.13

こんちには。

データアナリティクス事業本部機械学習チームの中村(nokomoro3)です。

本記事ではEventBridge Schedulerを使って、特定の期間のみNATゲートウェイを有効化することを実現したいと思います。

NATゲートウェイを有効化・無効化については以下を参考とし、EventBridge Schedulerではこの対象のテンプレートのUpdateStackを実行することで実現していきます。

必要な時だけNAT Gatewayを作成する方法 | DevelopersIO

作成するテンプレート

３つのテンプレートを作成してS3バケットに配置します。

今回はs3://cm-nakamura-sample-20240413/cloudformation/にテンプレートを配置したとして進めます。

target.ymlは今回のEventBridge Schedulerでupdate-stackの対象となるVPCやSubnet、NATゲートウェイなどのリソースを定義します。

scheduler.ymlはEventBridge Schedulerの定義で、NATゲートウェイの起動と削除それぞれをSchedulerとして定義しています。

instance.ymlは動作確認用のEC2やSession Managerで接続するためのVPCエンドポイントの設定を記載しています。

target.ymlの定義

target.ymlではEventBridge Schedulerでupdate-stackの対象となるVPCやSubnet、NATゲートウェイなどのリソースを定義します。

以下の元記事を参考に、PublicとPrivateの2個のSubnetだけのシンプルな構成にしました。

必要な時だけNAT Gatewayを作成する方法 | DevelopersIO

元記事と同様ですが、Parameterの"EnableNatGateway"の部分がtrueであればNATゲートウェイが追加され、falseだと削除されるような形となります。

また、NATゲートウェイの作成に伴うEIPやRouteの追加もポイントになります。

AWSTemplateFormatVersion: "2010-09-09"
Description: Network Layer Template

#------------------------------------------------------------------------------
# Parameters
#------------------------------------------------------------------------------
Parameters:
  SystemName:
    Description: This value is used as the resource prefix.
    Type: String
    MinLength: 1
    Default: example
  Env:
    Description: Environment Name
    Type: String
    Default: dev
    AllowedValues:
      - dev
      - prd
  VpcCidr:
    Description: First and Second Octet of VPC, For example (10.0/172.16/192.168)
    Type: String
    Default: 10.0
    AllowedPattern: "^(10\\.([0-9]|[1-9][0-9]|1[0-9][0-9]|2[0-4][0-9]|25[0-5])|172\\.(1[6-9]|2[0-9]|3[0-1])|192\\.168)$"
    ConstraintDescription: xxx.xxx
  EnableNatGateway:
    Description: Enable NAT Gateway.
    Type: String
    Default: false
    AllowedValues: [true, false]

#------------------------------------------------------------------------------
# Conditions
#------------------------------------------------------------------------------
Conditions:
  EnableNatGateway:
    !Equals [true, !Ref EnableNatGateway]

#------------------------------------------------------------------------------
# Mappings
#------------------------------------------------------------------------------
Mappings:
  VpcConfig:
    dev:
      Vpc          : .0.0/16
      PublicSubnet : .0.0/24
      PrivateSubnet: .10.0/24

#------------------------------------------------------------------------------
# Resources
#------------------------------------------------------------------------------

Resources:
  Vpc:
    Type: AWS::EC2::VPC
    Properties:
      CidrBlock: !Sub [ "${VpcCidr}${Subnet}", { Subnet: !FindInMap [ VpcConfig, !Ref Env, Vpc ]}]
      EnableDnsSupport: true
      EnableDnsHostnames: true
      InstanceTenancy: default
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-vpc

  InternetGateway:
    Type: AWS::EC2::InternetGateway
    Properties:
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-igw

  AttachGateway:
    Type: AWS::EC2::VPCGatewayAttachment
    Properties:
      VpcId: !Ref Vpc
      InternetGatewayId: !Ref InternetGateway

  PublicRouteTable:
    Type: AWS::EC2::RouteTable
    Properties:
      VpcId: !Ref Vpc
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-public-rtb

  PublicRoute:
    Type: AWS::EC2::Route
    Properties:
      RouteTableId: !Ref PublicRouteTable
      DestinationCidrBlock: 0.0.0.0/0
      GatewayId: !Ref InternetGateway

  PrivateRouteTable:
    Type: AWS::EC2::RouteTable
    Properties:
      VpcId: !Ref Vpc
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-private-rtb

  PrivateRoute:
    Type: AWS::EC2::Route
    Condition: EnableNatGateway
    Properties:
      RouteTableId: !Ref PrivateRouteTable
      DestinationCidrBlock: 0.0.0.0/0
      NatGatewayId: !Ref NatGateway

  PublicSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      AvailabilityZone: !Select [ 0, "Fn::GetAZs": { Ref: "AWS::Region" } ]
      CidrBlock: !Sub [ "${VpcCidr}${Subnet}", { Subnet: !FindInMap [ VpcConfig, !Ref Env, PublicSubnet ]}]
      MapPublicIpOnLaunch: true
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-public-subnet
      VpcId: !Ref Vpc

  PublicSubnetRouteTableAssociation:
    Type: AWS::EC2::SubnetRouteTableAssociation
    Properties:
      SubnetId: !Ref PublicSubnet
      RouteTableId: !Ref PublicRouteTable

  PrivateSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      AvailabilityZone: !Select [ 0, "Fn::GetAZs": { Ref: "AWS::Region" } ]
      CidrBlock: !Sub [ "${VpcCidr}${Subnet}", { Subnet: !FindInMap [ VpcConfig, !Ref Env, PrivateSubnet ]}]
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-private-subnet
      VpcId: !Ref Vpc

  PrivateRouteTableAssociation:
    Type: AWS::EC2::SubnetRouteTableAssociation
    Properties:
      SubnetId: !Ref PrivateSubnet
      RouteTableId: !Ref PrivateRouteTable

  NatGateway:
    Type: AWS::EC2::NatGateway
    Condition: EnableNatGateway
    Properties:
      AllocationId: !GetAtt NatGatewayEIP.AllocationId
      SubnetId: !Ref PublicSubnet
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-ngw

  NatGatewayEIP:
    Type: AWS::EC2::EIP
    Condition: EnableNatGateway
    Properties:
      Domain: vpc

Outputs:
  Vpc:
    Value: !Ref Vpc
    Export:
      Name: !Sub ${SystemName}-${Env}-vpc
  PublicSubnet:
    Value: !Ref PublicSubnet
    Export:
      Name: !Sub ${SystemName}-${Env}-public-subnet
  PrivateSubnet:
    Value: !Ref PrivateSubnet
    Export:
      Name: !Sub ${SystemName}-${Env}-private-subnet

instance.ymlの定義

instance.ymlは動作確認用のEC2やSession Managerで接続するためのVPCエンドポイントの設定を記載しています。EC2はPrivateSubnetに配置します。

こちらのテンプレートは以下の記事を参考にいたしました。

【CloudFormation】一撃でプライベートサブネットにEC2を起動し、SSMポートフォワード経由でRDPする | DevelopersIO

なおAMIはal2023-ami-minimal-*を使用しないようご注意ください。minimalだとSession Managerによる接続ができなくなるようです。

AWSTemplateFormatVersion:
  "2010-09-09"
Description:
  AWS Private Subnet EC2 Launch and Connect by SSM

#------------------------------------------------------------------------------
# Parameters
#------------------------------------------------------------------------------
Parameters:
  InstanceType:
    Type: String
    Default: "t2.nano"
  VPCId:
    Type: String
  SubnetId:
    Type: String
  PJPrefix:
    Type: String
    Default: "cm-nakamura-ec2"
  LatestAmiId:
    Type: 'AWS::SSM::Parameter::Value<AWS::EC2::Image::Id>'
    Default: '/aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64'

#------------------------------------------------------------------------------
# Resources
#------------------------------------------------------------------------------
Resources:
  EC2SG:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: "Bastion EC2 Security Group"
      VpcId: !Ref VPCId
      Tags:
        - Key: Name
          Value: !Sub "${PJPrefix}-ec2-bastion-sg"

  EndpointSG:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: "Bastion Endpoint Security Group"
      VpcId: !Ref VPCId
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 443
          ToPort: 443
          SourceSecurityGroupId: !Ref EC2SG
      Tags:
        - Key: Name
          Value: !Sub "${PJPrefix}-endpoint-bastion-sg"
  IamRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: !Sub "${PJPrefix}-ec2-bastion-role"
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - ec2.amazonaws.com
            Action:
              - sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

  InstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Path: /
      Roles:
        - !Ref IamRole

  EC2Instance:
    Type: "AWS::EC2::Instance"
    Properties:
      Tags:
        - Key: Name
          Value: !Sub "${PJPrefix}-bastion"
      ImageId: !Ref LatestAmiId
      InstanceType: !Ref InstanceType
      SecurityGroupIds:
        - !Ref EC2SG
      SubnetId: !Ref SubnetId
      IamInstanceProfile: !Ref InstanceProfile

  SSMVPCEndpoint:
    Type: "AWS::EC2::VPCEndpoint"
    Properties: 
      VpcEndpointType: Interface
      PrivateDnsEnabled: true
      ServiceName: !Sub 'com.amazonaws.${AWS::Region}.ssm'
      VpcId: !Ref VPCId
      SubnetIds: 
      - !Ref SubnetId
      SecurityGroupIds:
        - !Ref EndpointSG

  SSMMessagesVPCEndpoint:
    Type: "AWS::EC2::VPCEndpoint"
    Properties:
      VpcEndpointType: Interface
      PrivateDnsEnabled: true
      ServiceName: !Sub 'com.amazonaws.${AWS::Region}.ssmmessages'
      VpcId: !Ref VPCId
      SubnetIds:
      - !Ref SubnetId
      SecurityGroupIds:
        - !Ref EndpointSG

  EC2MessagesVPCEndpoint:
    Type: "AWS::EC2::VPCEndpoint"
    Properties:
      VpcEndpointType: Interface
      PrivateDnsEnabled: true
      ServiceName: !Sub 'com.amazonaws.${AWS::Region}.ec2messages'
      VpcId: !Ref VPCId
      SubnetIds:
      - !Ref SubnetId
      SecurityGroupIds:
        - !Ref EndpointSG

まずは手動で動作確認

EventBridge Schedulerで動作させる前に、まずはAWS CLIから動作確認していきます。

最初にtarget.ymlのcreate-stackを実行します。

aws --profile $PROFILE --region us-east-1 \
    cloudformation create-stack \
    --stack-name cm-nakamura-stack \
    --template-url https://cm-nakamura-sample-20240413.s3.amazonaws.com/cloudformation/base.yml \
    --parameters ParameterKey=SystemName,ParameterValue=cm-nakamura-sample

デフォルトではNATゲートウェイは作成されていません。

次に検証用のEC2インスタンスを作成します。

VPC_ID=$(aws --profile $PROFILE --region us-east-1 \
    cloudformation describe-stacks \
    --stack-name cm-nakamura-stack \
    | jq -r '.Stacks[] | .Outputs[] | select(.OutputKey == "Vpc") | .OutputValue')

PRIVATE_SUBNET_ID=$(aws --profile $PROFILE --region us-east-1 \
    cloudformation describe-stacks \
    --stack-name cm-nakamura-stack \
    | jq -r '.Stacks[] | .Outputs[] | select(.OutputKey == "PrivateSubnet") | .OutputValue')

aws --profile $PROFILE --region us-east-1 \
    cloudformation create-stack \
    --stack-name cm-nakamura-instance-stack \
    --template-url https://cm-nakamura-sample-20240413.s3.amazonaws.com/cloudformation/instance.yml \
    --capabilities CAPABILITY_NAMED_IAM \
    --parameters "ParameterKey=VPCId,ParameterValue=${VPC_ID}" "ParameterKey=SubnetId,ParameterValue=${PRIVATE_SUBNET_ID}"

起動がおわりましたら、マネジメントコンソールからSession Managerを使ってEC2インスタンスに接続してpingしてみましょう。

想定通り失敗します。

ping www.google.com -c 5

# PING www.google.com (172.253.63.147) 56(84) bytes of data.
#
# --- www.google.com ping statistics ---
# 5 packets transmitted, 0 received, 100% packet loss, time 4130ms

次に、update-stackでNATゲートウェイを作成します。

前述の通りParameterKey=EnableNatGateway,ParameterValue=trueの部分がポイントです。

aws --profile $PROFILE --region us-east-1 \
    cloudformation update-stack \
    --stack-name cm-nakamura-stack \
    --use-previous-template \
    --parameters ParameterKey=SystemName,ParameterValue=cm-nakamura-sample ParameterKey=EnableNatGateway,ParameterValue=true

再度、マネジメントコンソールからEC2インスタンスに接続してpingしてみましょう。

次は想定通り成功するようになっています。

ping www.google.com -c 5

# PING www.google.com (142.251.16.147) 56(84) bytes of data.
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=1 ttl=57 time=3.61 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=2 ttl=57 time=2.56 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=3 ttl=57 time=2.56 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=4 ttl=57 time=2.54 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=5 ttl=57 time=2.54 ms

# --- www.google.com ping statistics ---
# 5 packets transmitted, 5 received, 0% packet loss, time 4005ms
# rtt min/avg/max/mdev = 2.540/2.764/3.613/0.424 ms

再び、update-stackでNATゲートウェイを削除しておきます。

aws --profile $PROFILE --region us-east-1 \
    cloudformation update-stack \
    --stack-name cm-nakamura-stack \
    --use-previous-template \
    --parameters ParameterKey=SystemName,ParameterValue=cm-nakamura-sample ParameterKey=EnableNatGateway,ParameterValue=false

scheduler.ymlの定義

EventBridge Schedulerのテンプレートを見ていきます。

こちらは先ほど手動で行ったNATゲートウェイの起動と削除それぞれSchedulerとして定義しています。

こちらは実際にはマネジメントコンソールから作成・テストして、IaCジェネレータを用いて出力したものを整形しました。

IaCジェネレータについては以下を参照ください。

AWS CloudFormation IaC generatorを試してみた。 | DevelopersIO

AWSTemplateFormatVersion: "2010-09-09"
Description: NatGateway up down Schedulers

Parameters:
  TargetStackName:
    Description: This value is used as the resource prefix.
    Type: String
    MinLength: 1
    Default: example-stack

Resources:
  IAMRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: "eventbridge-execution-role"
      Description: "Role for EventBridge Scheduler"
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Action: "sts:AssumeRole"
            Principal:
              Service:
                - "scheduler.amazonaws.com"
      ManagedPolicyArns:
        - "arn:aws:iam::aws:policy/PowerUserAccess"

  SchedulerUp:
    Type: "AWS::Scheduler::Schedule"
    Properties:
      Name: "cm-nakamura-up-natgw"
      GroupName: "default"
      ScheduleExpression: "cron(00 10 13 * ? *)"
      ScheduleExpressionTimezone: "Asia/Tokyo"
      FlexibleTimeWindow:
        Mode: "OFF"
      State: "ENABLED"
      Target:
        Arn: "arn:aws:scheduler:::aws-sdk:cloudformation:updateStack"
        Input: !Sub |-
          {
            "StackName": "${TargetStackName}",
            "UsePreviousTemplate": "true",
            "Parameters": [
              {
                  "ParameterKey": "SystemName",
                  "ParameterValue": "cm-nakamura-sample"
              },
              {
                  "ParameterKey": "EnableNatGateway",
                  "ParameterValue": "true"
              }
            ]
          }
        RoleArn:
          Fn::GetAtt:
          - "IAMRole"
          - "Arn"

  SchedulerDown:
    Type: "AWS::Scheduler::Schedule"
    Properties:
      Name: "cm-nakamura-down-natgw"
      GroupName: "default"
      ScheduleExpression: "cron(30 10 13 * ? *)"
      ScheduleExpressionTimezone: "Asia/Tokyo"
      FlexibleTimeWindow:
        Mode: "OFF"
      State: "ENABLED"
      Target:
        Arn: "arn:aws:scheduler:::aws-sdk:cloudformation:updateStack"
        Input: !Sub |-
          {
            "StackName": "${TargetStackName}",
            "UsePreviousTemplate": "true",
            "Parameters": [
              {
                  "ParameterKey": "SystemName",
                  "ParameterValue": "cm-nakamura-sample"
              },
              {
                  "ParameterKey": "EnableNatGateway",
                  "ParameterValue": "false"
              }
            ]
          }
        RoleArn:
          Fn::GetAtt:
          - "IAMRole"
          - "Arn"

作成するリソースはScheduler向けのIAMロールと、Schedulerの２つとなります。

２つのSchedulerはそれぞれ対象となるスタックを更新しますが、対象スタックに対するパラメータの"EnableNatGateway"の部分がtrue, falseと異なる形となります。

前述の通りtrueだとNATゲートウェイが追加され、falseだとNATゲートウェイが削除されます。

スケジューラの実行時間はcronで設定しており、毎月13日の10時に起動され、毎月13日の10時30分に停止されるような設定内容となります。ここは必要に応じて修正してお使いください。

動作確認

まずはscheduler.ymlのcreate-stackを行います。

aws --profile $PROFILE --region us-east-1 \
    cloudformation create-stack \
    --stack-name cm-nakamura-scheduler-stack \
    --template-url https://cm-nakamura-sample-20240413.s3.amazonaws.com/cloudformation/scheduler.yml \
    --capabilities CAPABILITY_NAMED_IAM \
    --parameters ParameterKey=TargetStackName,ParameterValue=cm-nakamura-stack

時間まで待ち、まずは想定通りに13日の10時にNATゲートウェイとその他のリソースが作成されることを確認できました。

EC2からの動作確認は必要に応じて行われてください。（ここでは割愛いたします）

次に13日の10時30分にNATゲートウェイとその他のリソースが削除されることを確認できました。

後片付け

作成したスタックを一通り削除しておきましょう。

aws --profile $PROFILE --region us-east-1 \
    cloudformation delete-stack \
    --stack-name cm-nakamura-scheduler-stack

aws --profile $PROFILE --region us-east-1 \
    cloudformation delete-stack \
    --stack-name cm-nakamura-instance-stack

aws --profile $PROFILE --region us-east-1 \
    cloudformation delete-stack \
    --stack-name cm-nakamura-stack

まとめ

いかがでしたでしょうか。本記事がCloudFormationとEventBridge Schedulerを組み合わせて活用される方のご参考になれば幸いです。

EventBridge Schedulerを使って、特定の期間のみNATゲートウェイを有効化することを実現する

作成するテンプレート

target.ymlの定義

instance.ymlの定義

まずは手動で動作確認

scheduler.ymlの定義

動作確認

後片付け

まとめ

参考

イベント

EVENT【6/5（水）】QuickSightとTableauのデモで営業分析を解説！アクションに繋げるダッシュボード設計

EVENT【5/29（水）大阪】Alteryxの使い方から導入メリットまですべてがわかるセミナー＆ワークショップ

EVENT【5/15（水）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/8リモート】クラスメソッドのフリーランスエンジニア会社説明会〜フィンテック / リテール業界案件特集〜を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EventBridge Schedulerを使って、特定の期間のみNATゲートウェイを有効化することを実現する

作成するテンプレート

target.ymlの定義

instance.ymlの定義

まずは手動で動作確認

scheduler.ymlの定義

動作確認

後片付け

まとめ

参考

イベント

EVENT【6/5（水）】QuickSightとTableauのデモで営業分析を解説！アクションに繋げるダッシュボード設計

EVENT【5/29（水）大阪】Alteryxの使い方から導入メリットまですべてがわかるセミナー＆ワークショップ

EVENT【5/15（水）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/8リモート】クラスメソッドのフリーランスエンジニア会社説明会 〜フィンテック / リテール 業界案件特集〜 を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金） 名古屋】クラスメソッドグループの会社説明会を開催します！

関連記事

PythonでCron式から実行日付を取得する

[Amazon FSx for NetApp ONTAP] FabricPoolを利用している環境でデータを定期スキャンするシステムを導入する際の対応方法を考えてみた

指定時間に1度だけ実行する Amzon EventBridge Scheduler スケジュールを AWS CDK で作成してみた

Amazon EventBridge Scheduler で Amazon SNS トピックにパブリッシュをする構成を AWS CDK で作ってみた

EVENT【5/8リモート】クラスメソッドのフリーランスエンジニア会社説明会〜フィンテック / リテール業界案件特集〜を開催します

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！