EC2 Instance Connect Endpoint 経由で RDS for PostgreSQL に接続する構成を AWS CDK で構築してみた

import * as ec2 from 'aws-cdk-lib/aws-ec2';
import * as rds from 'aws-cdk-lib/aws-rds';
import * as cdk from 'aws-cdk-lib';
import { Construct } from 'constructs';

export class SampleAppStack extends cdk.Stack {
  constructor(scope: Construct, id: string) {
    super(scope, id);

    // VPC の作成
    const vpc = new ec2.Vpc(this, 'VPC', {
      subnetConfiguration: [
        // NAT Gateway を配置するパブリックサブネット
        {
          cidrMask: 24,
          name: 'Public',
          subnetType: ec2.SubnetType.PUBLIC,
        },
        // EC2 Instance を配置するプライベートサブネット
        // インスタンスから外部への通信を許可するために Egress ルートを追加
        {
          cidrMask: 24,
          name: 'PrivateWithEgress',
          subnetType: ec2.SubnetType.PRIVATE_WITH_EGRESS,
        },
        // EC2 Instance Connect Endpoint および RDS Instance を配置するプライベートサブネット
        {
          cidrMask: 24,
          name: 'PrivateIsolated',
          subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
        },
      ],
    });

    /**
     * セキュリティグループの作成
     */

    // EC2 Instance Connect Endpoint に関連付けるセキュリティグループ
    const instanceConnectEndpointSecurityGroup = new ec2.SecurityGroup(
      this,
      'InstanceConnectEndpointSecurityGroup',
      {
        vpc,
        allowAllOutbound: false,
      }
    );

    // EC2 Instance に関連付けるセキュリティグループ
    const ec2InstanceSecurityGroup = new ec2.SecurityGroup(
      this,
      'Ec2InstanceSecurityGroup',
      {
        vpc,
        allowAllOutbound: false,
      }
    );

    // RDS Instance に関連付けるセキュリティグループ
    const rdsInstanceSecurityGroup = new ec2.SecurityGroup(
      this,
      'RdsInstanceSecurityGroup',
      {
        vpc,
        allowAllOutbound: false,
      }
    );

    /**
     * EC2 Instance Connect Endpoint を作成
     */
    new ec2.CfnInstanceConnectEndpoint(this, 'InstanceConnectEndpoint', {
      subnetId: vpc.selectSubnets({
        subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
      }).subnetIds[0],
      securityGroupIds: [instanceConnectEndpointSecurityGroup.securityGroupId],
    });

    /**
     * EC2 Instance と EC2 Instance Connect Endpoint 間の通信を許可するためのルールを設定
     */

    // EC2 Instance Connect Endpoint から EC2 Instance への通信を許可するための Ingress ルール
    ec2InstanceSecurityGroup.addIngressRule(
      instanceConnectEndpointSecurityGroup,
      ec2.Port.tcp(22)
    );

    // EC2 Instance Connect Endpoint から EC2 Instance への通信を許可するための Egress ルール
    instanceConnectEndpointSecurityGroup.addEgressRule(
      ec2InstanceSecurityGroup,
      ec2.Port.tcp(22)
    );

    /**
     * EC2 Instance と RDS Instance 間の通信を許可するためのルールを設定
     */

    // EC2 Instance から RDS Instance への通信を許可するための Ingress ルール
    rdsInstanceSecurityGroup.addIngressRule(
      ec2InstanceSecurityGroup,
      ec2.Port.tcp(5432)
    );

    // EC2 Instance から RDS Instance への通信を許可するための Egress ルール
    ec2InstanceSecurityGroup.addEgressRule(
      rdsInstanceSecurityGroup,
      ec2.Port.tcp(5432)
    );

    /**
     * EC2 Instance および関連リソースを作成
     */

    // EC2 Instance を作成
    const ec2Instance = new ec2.Instance(this, 'Ec2Instance', {
      vpc,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PRIVATE_WITH_EGRESS,
      },
      instanceType: ec2.InstanceType.of(
        ec2.InstanceClass.T2,
        ec2.InstanceSize.MICRO
      ),
      machineImage: new ec2.AmazonLinuxImage({
        generation: ec2.AmazonLinuxGeneration.AMAZON_LINUX_2023,
      }),
      securityGroup: ec2InstanceSecurityGroup,
    });

    // EC2 Instance からの Egress 通信は 443 ポートのみ許可
    ec2InstanceSecurityGroup.addEgressRule(
      ec2.Peer.anyIpv4(),
      ec2.Port.tcp(443)
    );

    // ユーザーデータとして psql のインストールコマンドを追加
    ec2Instance.userData.addCommands('sudo dnf install -y postgresql15');

    // ユーザーデータに cfn-signal コマンドを追加
    ec2Instance.userData.addSignalOnExitCommand(ec2Instance);

    /**
     * RDS Instance を作成
     */
    new rds.DatabaseInstance(this, 'RdsInstance', {
      engine: rds.DatabaseInstanceEngine.postgres({
        version: rds.PostgresEngineVersion.VER_16_4,
      }),
      vpc,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
      },
      securityGroups: [rdsInstanceSecurityGroup],
      instanceType: ec2.InstanceType.of(
        ec2.InstanceClass.T3,
        ec2.InstanceSize.MICRO
      ),
      removalPolicy: cdk.RemovalPolicy.DESTROY,
    });
  }
}

$ HOST=sampleapp-rdsinstance1d827d17-63gragyxdmr2.c5v2lejuonkv.ap-northeast-1.rds.amazonaws.com
$ PORT=5432
$ USER_NAME=postgres
$ export PGPASSWORD=ZcI...
$ psql -h $HOST -p $PORT -U $USER_NAME
psql (15.8, server 16.4)
WARNING: psql major version 15, server major version 16.
         Some psql features might not work.
SSL connection (protocol: TLSv1.3, cipher: TLS_AES_256_GCM_SHA384, compression: off)
Type "help" for help.

postgres=> \l
                                                 List of databases
   Name    |  Owner   | Encoding |   Collate   |    Ctype    | ICU Locale | Locale Provider |   Access privileges
-----------+----------+----------+-------------+-------------+------------+-----------------+-----------------------
 postgres  | postgres | UTF8     | en_US.UTF-8 | en_US.UTF-8 |            | libc            |
 rdsadmin  | rdsadmin | UTF8     | en_US.UTF-8 | en_US.UTF-8 |            | libc            | rdsadmin=CTc/rdsadmin
 template0 | rdsadmin | UTF8     | en_US.UTF-8 | en_US.UTF-8 |            | libc            | =c/rdsadmin          +
           |          |          |             |             |            |                 | rdsadmin=CTc/rdsadmin
 template1 | postgres | UTF8     | en_US.UTF-8 | en_US.UTF-8 |            | libc            | =c/postgres          +
           |          |          |             |             |            |                 | postgres=CTc/postgres
(4 rows)