QuickSightのデータソースにプライベートサブネットのAuroraを設定する

かずえ

2020.09.07

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

QuickSightのデータソースとして、プライベートサブネットにいるAuroraクラスターを定義する機会があったのでレポートします。

構成

プライベートサブネットにいるAuroraクラスターに、非VPCリソースであるQuickSightがどのようにアクセスするのでしょうか？

QuickSight用のENIを作成します。これによりQuickSightはVPCネットワーク内にアクセスができるようになるので、Auroraクラスターにもアクセスできるようになります。

通信要件

QuickSight - Auroraクラスター間の通信を可能にする必要があります。ポイントとなるリソースは2つ、両方ともセキュリティグループです。先程の図にセキュリティグループを書き足すと以下のようになります。わかりにくくて申し訳ありませんが、ENI、Auroraクラスター両方にセキュリティグループがアタッチされるので、そこで通信許可の設定をする必要があります。

QuickSight用ENIにアタッチするセキュリティグループ

Auroraクラスターへのアウトバウンドを許可する必要があります。許可ポートはAuroraにアクセスしにいく際に使うポートです。
上記アウトバウンドの、戻りのインバウンドトラフィックについても許可が必要です。 通常は、セキュリティグループはステートフル、つまり戻りの通信は行きの通信が許可されている場合自動的に許可されるのが通常の挙動です。が、このQuickSight用ENIにアタッチするセキュリティグループはステートレスです。（こうなっている理由は不明です。。）
使用するポートはアウトバウンドと同じではなく、Ephemeralポート（一時ポート）なので、許可するポートは全て(0–65535)にします。

Auroraクラスターにアタッチするセキュリティグループ

QuickSightからのインバウンドアクセスを許可する必要があります。前述のQuickSight用ENIにアタッチするセキュリティグループからの、Aurora許可ポートへのアクセス許可を追加しましょう。戻りの通信についてはステートフルなので追加する必要はありません。

やってみた

前提条件

Auroraインスタンスはプライベートサブネット上に作成済みとします。
Aurora MySQLを採用しました。リッスンしているポートはデフォルトの3306です。

1.QuickSight用ENIセキュリティグループの作成

アウトバウンドルールは、コンソールからセキュリティグループを作成するとデフォルトで全許可ルールが作成されています。ですが、Auroraへの3306ポートへのアクセスだけできれば良いので削除してもっと狭いルールを追加します。送信先にAuroraにアタッチしているセキュリティグループのIDを指定します。
インバウンドルールにも、ソースにAuroraにアタッチしているセキュリティグループのIDを指定します。タイプは「すべてのTCP」にして全ポート(0–65535)許可にします。