EventBridge Schedulerを使って、特定の期間のみNATゲートウェイを有効化することを実現する

EventBridge Schedulerを使って、特定の期間のみNATゲートウェイを有効化することを実現する

#Amazon EventBridge Scheduler
#Amazon EventBridge
#AWS CloudFormation
nokomoro3

nokomoro3

facebook logohatena logotwitter logo
Clock Icon2024.04.13

こんちには。

データアナリティクス事業本部 機械学習チームの中村(nokomoro3)です。

本記事ではEventBridge Schedulerを使って、特定の期間のみNATゲートウェイを有効化することを実現したいと思います。

NATゲートウェイを有効化・無効化については以下を参考とし、EventBridge Schedulerではこの対象のテンプレートのUpdateStackを実行することで実現していきます。

作成するテンプレート

３つのテンプレートを作成してS3バケットに配置します。

今回はs3://cm-nakamura-sample-20240413/cloudformation/にテンプレートを配置したとして進めます。

target.ymlは今回のEventBridge Schedulerでupdate-stackの対象となるVPCやSubnet、NATゲートウェイなどのリソースを定義します。

scheduler.ymlはEventBridge Schedulerの定義で、NATゲートウェイの起動と削除それぞれをSchedulerとして定義しています。

instance.ymlは動作確認用のEC2やSession Managerで接続するためのVPCエンドポイントの設定を記載しています。

target.ymlの定義

target.ymlではEventBridge Schedulerでupdate-stackの対象となるVPCやSubnet、NATゲートウェイなどのリソースを定義します。

以下の元記事を参考に、PublicとPrivateの2個のSubnetだけのシンプルな構成にしました。

元記事と同様ですが、Parameterの"EnableNatGateway"の部分がtrueであればNATゲートウェイが追加され、falseだと削除されるような形となります。

また、NATゲートウェイの作成に伴うEIPやRouteの追加もポイントになります。

AWSTemplateFormatVersion: "2010-09-09"
Description: Network Layer Template

#------------------------------------------------------------------------------
# Parameters
#------------------------------------------------------------------------------
Parameters:
  SystemName:
    Description: This value is used as the resource prefix.
    Type: String
    MinLength: 1
    Default: example
  Env:
    Description: Environment Name
    Type: String
    Default: dev
    AllowedValues:
      - dev
      - prd
  VpcCidr:
    Description: First and Second Octet of VPC, For example (10.0/172.16/192.168)
    Type: String
    Default: 10.0
    AllowedPattern: "^(10\\.([0-9]|[1-9][0-9]|1[0-9][0-9]|2[0-4][0-9]|25[0-5])|172\\.(1[6-9]|2[0-9]|3[0-1])|192\\.168)$"
    ConstraintDescription: xxx.xxx
  EnableNatGateway:
    Description: Enable NAT Gateway.
    Type: String
    Default: false
    AllowedValues: [true, false]

#------------------------------------------------------------------------------
# Conditions
#------------------------------------------------------------------------------
Conditions:
  EnableNatGateway:
    !Equals [true, !Ref EnableNatGateway]

#------------------------------------------------------------------------------
# Mappings
#------------------------------------------------------------------------------
Mappings:
  VpcConfig:
    dev:
      Vpc          : .0.0/16
      PublicSubnet : .0.0/24
      PrivateSubnet: .10.0/24

#------------------------------------------------------------------------------
# Resources
#------------------------------------------------------------------------------

Resources:
  Vpc:
    Type: AWS::EC2::VPC
    Properties:
      CidrBlock: !Sub [ "${VpcCidr}${Subnet}", { Subnet: !FindInMap [ VpcConfig, !Ref Env, Vpc ]}]
      EnableDnsSupport: true
      EnableDnsHostnames: true
      InstanceTenancy: default
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-vpc

  InternetGateway:
    Type: AWS::EC2::InternetGateway
    Properties:
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-igw

  AttachGateway:
    Type: AWS::EC2::VPCGatewayAttachment
    Properties:
      VpcId: !Ref Vpc
      InternetGatewayId: !Ref InternetGateway

  PublicRouteTable:
    Type: AWS::EC2::RouteTable
    Properties:
      VpcId: !Ref Vpc
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-public-rtb

  PublicRoute:
    Type: AWS::EC2::Route
    Properties:
      RouteTableId: !Ref PublicRouteTable
      DestinationCidrBlock: 0.0.0.0/0
      GatewayId: !Ref InternetGateway

  PrivateRouteTable:
    Type: AWS::EC2::RouteTable
    Properties:
      VpcId: !Ref Vpc
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-private-rtb

  PrivateRoute:
    Type: AWS::EC2::Route
    Condition: EnableNatGateway
    Properties:
      RouteTableId: !Ref PrivateRouteTable
      DestinationCidrBlock: 0.0.0.0/0
      NatGatewayId: !Ref NatGateway

  PublicSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      AvailabilityZone: !Select [ 0, "Fn::GetAZs": { Ref: "AWS::Region" } ]
      CidrBlock: !Sub [ "${VpcCidr}${Subnet}", { Subnet: !FindInMap [ VpcConfig, !Ref Env, PublicSubnet ]}]
      MapPublicIpOnLaunch: true
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-public-subnet
      VpcId: !Ref Vpc

  PublicSubnetRouteTableAssociation:
    Type: AWS::EC2::SubnetRouteTableAssociation
    Properties:
      SubnetId: !Ref PublicSubnet
      RouteTableId: !Ref PublicRouteTable

  PrivateSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      AvailabilityZone: !Select [ 0, "Fn::GetAZs": { Ref: "AWS::Region" } ]
      CidrBlock: !Sub [ "${VpcCidr}${Subnet}", { Subnet: !FindInMap [ VpcConfig, !Ref Env, PrivateSubnet ]}]
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-private-subnet
      VpcId: !Ref Vpc

  PrivateRouteTableAssociation:
    Type: AWS::EC2::SubnetRouteTableAssociation
    Properties:
      SubnetId: !Ref PrivateSubnet
      RouteTableId: !Ref PrivateRouteTable

  NatGateway:
    Type: AWS::EC2::NatGateway
    Condition: EnableNatGateway
    Properties:
      AllocationId: !GetAtt NatGatewayEIP.AllocationId
      SubnetId: !Ref PublicSubnet
      Tags:
        - Key: Name
          Value: !Sub ${SystemName}-${Env}-ngw

  NatGatewayEIP:
    Type: AWS::EC2::EIP
    Condition: EnableNatGateway
    Properties:
      Domain: vpc

Outputs:
  Vpc:
    Value: !Ref Vpc
    Export:
      Name: !Sub ${SystemName}-${Env}-vpc
  PublicSubnet:
    Value: !Ref PublicSubnet
    Export:
      Name: !Sub ${SystemName}-${Env}-public-subnet
  PrivateSubnet:
    Value: !Ref PrivateSubnet
    Export:
      Name: !Sub ${SystemName}-${Env}-private-subnet

instance.ymlの定義

instance.ymlは動作確認用のEC2やSession Managerで接続するためのVPCエンドポイントの設定を記載しています。EC2はPrivateSubnetに配置します。

こちらのテンプレートは以下の記事を参考にいたしました。

なおAMIはal2023-ami-minimal-*を使用しないようご注意ください。minimalだとSession Managerによる接続ができなくなるようです。

AWSTemplateFormatVersion:
  "2010-09-09"
Description:
  AWS Private Subnet EC2 Launch and Connect by SSM

#------------------------------------------------------------------------------
# Parameters
#------------------------------------------------------------------------------
Parameters:
  InstanceType:
    Type: String
    Default: "t2.nano"
  VPCId:
    Type: String
  SubnetId:
    Type: String
  PJPrefix:
    Type: String
    Default: "cm-nakamura-ec2"
  LatestAmiId:
    Type: 'AWS::SSM::Parameter::Value<AWS::EC2::Image::Id>'
    Default: '/aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64'

#------------------------------------------------------------------------------
# Resources
#------------------------------------------------------------------------------
Resources:
  EC2SG:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: "Bastion EC2 Security Group"
      VpcId: !Ref VPCId
      Tags:
        - Key: Name
          Value: !Sub "${PJPrefix}-ec2-bastion-sg"

  EndpointSG:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: "Bastion Endpoint Security Group"
      VpcId: !Ref VPCId
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 443
          ToPort: 443
          SourceSecurityGroupId: !Ref EC2SG
      Tags:
        - Key: Name
          Value: !Sub "${PJPrefix}-endpoint-bastion-sg"
  IamRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: !Sub "${PJPrefix}-ec2-bastion-role"
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - ec2.amazonaws.com
            Action:
              - sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

  InstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Path: /
      Roles:
        - !Ref IamRole

  EC2Instance:
    Type: "AWS::EC2::Instance"
    Properties:
      Tags:
        - Key: Name
          Value: !Sub "${PJPrefix}-bastion"
      ImageId: !Ref LatestAmiId
      InstanceType: !Ref InstanceType
      SecurityGroupIds:
        - !Ref EC2SG
      SubnetId: !Ref SubnetId
      IamInstanceProfile: !Ref InstanceProfile

  SSMVPCEndpoint:
    Type: "AWS::EC2::VPCEndpoint"
    Properties: 
      VpcEndpointType: Interface
      PrivateDnsEnabled: true
      ServiceName: !Sub 'com.amazonaws.${AWS::Region}.ssm'
      VpcId: !Ref VPCId
      SubnetIds: 
      - !Ref SubnetId
      SecurityGroupIds:
        - !Ref EndpointSG

  SSMMessagesVPCEndpoint:
    Type: "AWS::EC2::VPCEndpoint"
    Properties:
      VpcEndpointType: Interface
      PrivateDnsEnabled: true
      ServiceName: !Sub 'com.amazonaws.${AWS::Region}.ssmmessages'
      VpcId: !Ref VPCId
      SubnetIds:
      - !Ref SubnetId
      SecurityGroupIds:
        - !Ref EndpointSG

  EC2MessagesVPCEndpoint:
    Type: "AWS::EC2::VPCEndpoint"
    Properties:
      VpcEndpointType: Interface
      PrivateDnsEnabled: true
      ServiceName: !Sub 'com.amazonaws.${AWS::Region}.ec2messages'
      VpcId: !Ref VPCId
      SubnetIds:
      - !Ref SubnetId
      SecurityGroupIds:
        - !Ref EndpointSG

まずは手動で動作確認

EventBridge Schedulerで動作させる前に、まずはAWS CLIから動作確認していきます。

最初にtarget.ymlのcreate-stackを実行します。

aws --profile $PROFILE --region us-east-1 \
    cloudformation create-stack \
    --stack-name cm-nakamura-stack \
    --template-url https://cm-nakamura-sample-20240413.s3.amazonaws.com/cloudformation/base.yml \
    --parameters ParameterKey=SystemName,ParameterValue=cm-nakamura-sample

デフォルトではNATゲートウェイは作成されていません。

次に検証用のEC2インスタンスを作成します。

VPC_ID=$(aws --profile $PROFILE --region us-east-1 \
    cloudformation describe-stacks \
    --stack-name cm-nakamura-stack \
    | jq -r '.Stacks[] | .Outputs[] | select(.OutputKey == "Vpc") | .OutputValue')

PRIVATE_SUBNET_ID=$(aws --profile $PROFILE --region us-east-1 \
    cloudformation describe-stacks \
    --stack-name cm-nakamura-stack \
    | jq -r '.Stacks[] | .Outputs[] | select(.OutputKey == "PrivateSubnet") | .OutputValue')

aws --profile $PROFILE --region us-east-1 \
    cloudformation create-stack \
    --stack-name cm-nakamura-instance-stack \
    --template-url https://cm-nakamura-sample-20240413.s3.amazonaws.com/cloudformation/instance.yml \
    --capabilities CAPABILITY_NAMED_IAM \
    --parameters "ParameterKey=VPCId,ParameterValue=${VPC_ID}" "ParameterKey=SubnetId,ParameterValue=${PRIVATE_SUBNET_ID}"

起動がおわりましたら、マネジメントコンソールからSession Managerを使ってEC2インスタンスに接続してpingしてみましょう。

想定通り失敗します。

ping www.google.com -c 5

# PING www.google.com (172.253.63.147) 56(84) bytes of data.
#
# --- www.google.com ping statistics ---
# 5 packets transmitted, 0 received, 100% packet loss, time 4130ms

次に、update-stackでNATゲートウェイを作成します。

前述の通りParameterKey=EnableNatGateway,ParameterValue=trueの部分がポイントです。

aws --profile $PROFILE --region us-east-1 \
    cloudformation update-stack \
    --stack-name cm-nakamura-stack \
    --use-previous-template \
    --parameters ParameterKey=SystemName,ParameterValue=cm-nakamura-sample ParameterKey=EnableNatGateway,ParameterValue=true

再度、マネジメントコンソールからEC2インスタンスに接続してpingしてみましょう。

次は想定通り成功するようになっています。

ping www.google.com -c 5

# PING www.google.com (142.251.16.147) 56(84) bytes of data.
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=1 ttl=57 time=3.61 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=2 ttl=57 time=2.56 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=3 ttl=57 time=2.56 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=4 ttl=57 time=2.54 ms
# 64 bytes from bl-in-f147.1e100.net (142.251.16.147): icmp_seq=5 ttl=57 time=2.54 ms

# --- www.google.com ping statistics ---
# 5 packets transmitted, 5 received, 0% packet loss, time 4005ms
# rtt min/avg/max/mdev = 2.540/2.764/3.613/0.424 ms

再び、update-stackでNATゲートウェイを削除しておきます。

aws --profile $PROFILE --region us-east-1 \
    cloudformation update-stack \
    --stack-name cm-nakamura-stack \
    --use-previous-template \
    --parameters ParameterKey=SystemName,ParameterValue=cm-nakamura-sample ParameterKey=EnableNatGateway,ParameterValue=false

scheduler.ymlの定義

EventBridge Schedulerのテンプレートを見ていきます。

こちらは先ほど手動で行ったNATゲートウェイの起動と削除それぞれSchedulerとして定義しています。

こちらは実際にはマネジメントコンソールから作成・テストして、IaCジェネレータを用いて出力したものを整形しました。

IaCジェネレータについては以下を参照ください。

AWSTemplateFormatVersion: "2010-09-09"
Description: NatGateway up down Schedulers

Parameters:
  TargetStackName:
    Description: This value is used as the resource prefix.
    Type: String
    MinLength: 1
    Default: example-stack

Resources:
  IAMRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: "eventbridge-execution-role"
      Description: "Role for EventBridge Scheduler"
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Action: "sts:AssumeRole"
            Principal:
              Service:
                - "scheduler.amazonaws.com"
      ManagedPolicyArns:
        - "arn:aws:iam::aws:policy/PowerUserAccess"

  SchedulerUp:
    Type: "AWS::Scheduler::Schedule"
    Properties:
      Name: "cm-nakamura-up-natgw"
      GroupName: "default"
      ScheduleExpression: "cron(00 10 13 * ? *)"
      ScheduleExpressionTimezone: "Asia/Tokyo"
      FlexibleTimeWindow:
        Mode: "OFF"
      State: "ENABLED"
      Target:
        Arn: "arn:aws:scheduler:::aws-sdk:cloudformation:updateStack"
        Input: !Sub |-
          {
            "StackName": "${TargetStackName}",
            "UsePreviousTemplate": "true",
            "Parameters": [
              {
                  "ParameterKey": "SystemName",
                  "ParameterValue": "cm-nakamura-sample"
              },
              {
                  "ParameterKey": "EnableNatGateway",
                  "ParameterValue": "true"
              }
            ]
          }
        RoleArn:
          Fn::GetAtt:
          - "IAMRole"
          - "Arn"

  SchedulerDown:
    Type: "AWS::Scheduler::Schedule"
    Properties:
      Name: "cm-nakamura-down-natgw"
      GroupName: "default"
      ScheduleExpression: "cron(30 10 13 * ? *)"
      ScheduleExpressionTimezone: "Asia/Tokyo"
      FlexibleTimeWindow:
        Mode: "OFF"
      State: "ENABLED"
      Target:
        Arn: "arn:aws:scheduler:::aws-sdk:cloudformation:updateStack"
        Input: !Sub |-
          {
            "StackName": "${TargetStackName}",
            "UsePreviousTemplate": "true",
            "Parameters": [
              {
                  "ParameterKey": "SystemName",
                  "ParameterValue": "cm-nakamura-sample"
              },
              {
                  "ParameterKey": "EnableNatGateway",
                  "ParameterValue": "false"
              }
            ]
          }
        RoleArn:
          Fn::GetAtt:
          - "IAMRole"
          - "Arn"

作成するリソースはScheduler向けのIAMロールと、Schedulerの２つとなります。

２つのSchedulerはそれぞれ対象となるスタックを更新しますが、対象スタックに対するパラメータの"EnableNatGateway"の部分がtrue, falseと異なる形となります。

前述の通りtrueだとNATゲートウェイが追加され、falseだとNATゲートウェイが削除されます。

スケジューラの実行時間はcronで設定しており、毎月13日の10時に起動され、毎月13日の10時30分に停止されるような設定内容となります。ここは必要に応じて修正してお使いください。

動作確認

まずはscheduler.ymlのcreate-stackを行います。

aws --profile $PROFILE --region us-east-1 \
    cloudformation create-stack \
    --stack-name cm-nakamura-scheduler-stack \
    --template-url https://cm-nakamura-sample-20240413.s3.amazonaws.com/cloudformation/scheduler.yml \
    --capabilities CAPABILITY_NAMED_IAM \
    --parameters ParameterKey=TargetStackName,ParameterValue=cm-nakamura-stack

時間まで待ち、まずは想定通りに13日の10時にNATゲートウェイとその他のリソースが作成されることを確認できました。

EC2からの動作確認は必要に応じて行われてください。（ここでは割愛いたします）

次に13日の10時30分にNATゲートウェイとその他のリソースが削除されることを確認できました。

後片付け

作成したスタックを一通り削除しておきましょう。

aws --profile $PROFILE --region us-east-1 \
    cloudformation delete-stack \
    --stack-name cm-nakamura-scheduler-stack

aws --profile $PROFILE --region us-east-1 \
    cloudformation delete-stack \
    --stack-name cm-nakamura-instance-stack

aws --profile $PROFILE --region us-east-1 \
    cloudformation delete-stack \
    --stack-name cm-nakamura-stack

まとめ

いかがでしたでしょうか。本記事がCloudFormationとEventBridge Schedulerを組み合わせて活用される方のご参考になれば幸いです。

参考

Share this article

facebook logohatena logotwitter logo

関連記事

EventBridge SchedulerとBackup APIを利用するLambda関数を用いたrate式でのバックアップを取得する方法

EventBridge SchedulerとBackup APIを利用するLambda関数を用いたrate式でのバックアップを取得する方法

User avatar
katsumata
2024.11.08
Amazon EventBridge SchedulerとAWS Glue Python Shellの定期実行をCDKで構築する

Amazon EventBridge SchedulerとAWS Glue Python Shellの定期実行をCDKで構築する

User avatar
niino
2024.11.07
Can wildcards be used to specify log groups in the CreateExportTask API for CloudWatch Logs?

Can wildcards be used to specify log groups in the CreateExportTask API for CloudWatch Logs?

User avatar
Nakamura Makoto
2024.10.29
AWS SAMでAWS Lambda関数にAmazon EventBridge Schedulerを設定すると、暗黙的に関連リソースも追加されたので調べてみた

AWS SAMでAWS Lambda関数にAmazon EventBridge Schedulerを設定すると、暗黙的に関連リソースも追加されたので調べてみた

User avatar
おのやん
2024.10.22
Classmethod's white logo
Facebook's logo
X's logo
YouTube's logo

© Classmethod, Inc. All rights reserved.