AWS ElastiCacheでRedisをマルチAZ冗長構成にする方法｜ノード障害時の自動フェイルオーバーとスケールアウト設計入門

この記事のポイント

・マルチAZ構成は --automatic-failover-enabled で作成する
・プライマリ障害時はリードレプリカが自動昇格（約1～2分）
・リーダーエンドポイント経由で読み取りを分散しDBへの負荷を軽減
・VPCプライベートサブネット配置＋暗号化（TLS/at-rest）が設計の鉄則

# プライベートサブネットのIDを確認（ap-northeast-1a / 1c の2AZ分）
aws ec2 describe-subnets \
  --filters "Name=tag:Name,Values=private-*" \
  --query 'Subnets[].{SubnetId:SubnetId,AZ:AvailabilityZone,CIDR:CidrBlock}' \
  --output table

# 出力例（2つのサブネットが必要）
# ----------------------------------------------------------
# |                  DescribeSubnets                       |
# +---------------------+---------------+------------------+
# |  AZ                 | CIDR          | SubnetId         |
# +---------------------+---------------+------------------+
# |  ap-northeast-1a    | 10.0.1.0/24   | subnet-0abc1234  |
# |  ap-northeast-1c    | 10.0.2.0/24   | subnet-0def5678  |
# +---------------------+---------------+------------------+

# ElastiCache用サブネットグループを作成
aws elasticache create-cache-subnet-group \
  --cache-subnet-group-name redis-prod-subnet-group \
  --cache-subnet-group-description "Redis Production Multi-AZ" \
  --subnet-ids subnet-0abc1234 subnet-0def5678

# 出力例（作成成功時）
# {
#   "CacheSubnetGroup": {
#     "CacheSubnetGroupName": "redis-prod-subnet-group",
#     "VpcId": "vpc-0123456789abcdef0",
#     "Subnets": [ { "SubnetAvailabilityZone": { "Name": "ap-northeast-1a" }, ...} ]
#   }
# }

# ElastiCache用セキュリティグループを作成
aws ec2 create-security-group \
  --group-name redis-prod-sg \
  --description "ElastiCache Redis Production SG" \
  --vpc-id vpc-0123456789abcdef0

# 出力例
# { "GroupId": "sg-0redis1234abcdef" }

# WebサーバーのSG（sg-0web1234xxxxx）からのみポート6379を許可
aws ec2 authorize-security-group-ingress \
  --group-id sg-0redis1234abcdef \
  --protocol tcp \
  --port 6379 \
  --source-group sg-0web1234xxxxx

# ルール確認（インバウンドルールの一覧）
aws ec2 describe-security-groups \
  --group-ids sg-0redis1234abcdef \
  --query 'SecurityGroups[0].IpPermissions[*].{Port:FromPort,Source:UserIdGroupPairs[0].GroupId}'

# 出力例（Webサーバー SGからの6379のみ許可されていればOK）
# [ { "Port": 6379, "Source": "sg-0web1234xxxxx" } ]

# レプリケーショングループを作成（マルチAZ・自動フェイルオーバー有効）
aws elasticache create-replication-group \
  --replication-group-id redis-prod \
  --replication-group-description "Production Redis Multi-AZ" \
  --cache-node-type cache.t3.micro \
  --engine redis \
  --engine-version 7.1 \
  --num-cache-clusters 2 \
  --cache-subnet-group-name redis-prod-subnet-group \
  --security-group-ids sg-0redis1234abcdef \
  --automatic-failover-enabled \
  --multi-az-enabled \
  --at-rest-encryption-enabled \
  --transit-encryption-enabled

# 作成状況の確認（Status が "available" になるまで待つ。通常5～10分）
aws elasticache describe-replication-groups \
  --replication-group-id redis-prod \
  --query 'ReplicationGroups[0].{Status:Status,MultiAZ:MultiAZ,AutoFailover:AutomaticFailover}'

# 出力例（available になれば構築完了）
# {
#     "Status": "available",
#     "MultiAZ": "enabled",
#     "AutoFailover": "enabled"
# }

# プライマリエンドポイントとリーダーエンドポイントを確認
aws elasticache describe-replication-groups \
  --replication-group-id redis-prod \
  --query 'ReplicationGroups[0].NodeGroups[0].{Primary:PrimaryEndpoint,Reader:ReaderEndpoint}'

# 出力例
# {
#     "Primary": {
#         "Address": "redis-prod.xxxxxx.ng.0001.apne1.cache.amazonaws.com",
#         "Port": 6379
#     },
#     "Reader": {
#         "Address": "redis-prod-ro.xxxxxx.ng.0001.apne1.cache.amazonaws.com",
#         "Port": 6379
#     }
# }

# 各ノードのAZとロールを確認
aws elasticache describe-replication-groups \
  --replication-group-id redis-prod \
  --query 'ReplicationGroups[0].NodeGroups[0].NodeGroupMembers[*].{ID:CacheClusterId,Role:CurrentRole,AZ:PreferredAvailabilityZone}'

# 出力例（フェイルオーバー前）
# [
#   { "ID": "redis-prod-001", "Role": "primary",  "AZ": "ap-northeast-1a" },
#   { "ID": "redis-prod-002", "Role": "replica",  "AZ": "ap-northeast-1c" }
# ]

# フェイルオーバーテストを実行（プライマリを意図的に切り替え）
aws elasticache test-failover \
  --replication-group-id redis-prod \
  --node-group-id 0001

# 1～2分後に再確認（RoleがスワップされていればOK）
aws elasticache describe-replication-groups \
  --replication-group-id redis-prod \
  --query 'ReplicationGroups[0].NodeGroups[0].NodeGroupMembers[*].{ID:CacheClusterId,Role:CurrentRole,AZ:PreferredAvailabilityZone}'

# 出力例（フェイルオーバー後）
# [
#   { "ID": "redis-prod-001", "Role": "replica",  "AZ": "ap-northeast-1a" },
#   { "ID": "redis-prod-002", "Role": "primary",  "AZ": "ap-northeast-1c" }
# ]

# Python（redis-py）での接続例
import redis

# 書き込み用（プライマリエンドポイント）
redis_write = redis.Redis(
    host='redis-prod.xxxxxx.ng.0001.apne1.cache.amazonaws.com',
    port=6379,
    ssl=True,            # transit-encryption-enabled の場合は必須
    decode_responses=True
)

# 読み取り用（リーダーエンドポイント）
redis_read = redis.Redis(
    host='redis-prod-ro.xxxxxx.ng.0001.apne1.cache.amazonaws.com',
    port=6379,
    ssl=True,
    decode_responses=True
)

# 使い分け例
redis_write.set('user:1001:name', '山田太郎', ex=3600)   # 書き込み
name = redis_read.get('user:1001:name')                   # 読み取り
print(name)  # 山田太郎

# AUTHトークン付きでレプリケーショングループを作成
aws elasticache create-replication-group \
  --replication-group-id redis-prod-secure \
  --replication-group-description "Secure Redis Multi-AZ" \
  --cache-node-type cache.t3.micro \
  --engine redis \
  --engine-version 7.1 \
  --num-cache-clusters 2 \
  --cache-subnet-group-name redis-prod-subnet-group \
  --security-group-ids sg-0redis1234abcdef \
  --automatic-failover-enabled \
  --multi-az-enabled \
  --at-rest-encryption-enabled \
  --transit-encryption-enabled \
  --auth-token "YourStrongPassword123!"

# TLS＋AUTHでのredis-cli接続テスト（EC2インスタンスから実行）
redis-cli \
  -h redis-prod.xxxxxx.ng.0001.apne1.cache.amazonaws.com \
  -p 6379 \
  --tls \
  -a "YourStrongPassword123!" \
  ping

# 出力例（接続成功）
# PONG

# ElastiCacheのSGのインバウンドルールを確認
aws ec2 describe-security-groups \
  --group-ids sg-0redis1234abcdef \
  --query 'SecurityGroups[0].IpPermissions[*].{Port:FromPort,Source:UserIdGroupPairs[0].GroupId}'

# 出力例（WebサーバーSGからの6379が許可されていればOK）
# [ { "Port": 6379, "Source": "sg-0web1234xxxxx" } ]

# EC2からtelnetで疎通確認（redis-cliが未インストールの場合）
telnet redis-prod.xxxxxx.ng.0001.apne1.cache.amazonaws.com 6379

# dnfでredis-cliのみインストール（Amazon Linux 2023）
sudo dnf install redis6 -y
redis-cli --version
# redis-cli 6.2.x

# レプリカノードのReplicationLagを確認（直近5分間の平均）
aws cloudwatch get-metric-statistics \
  --namespace AWS/ElastiCache \
  --metric-name ReplicationLag \
  --dimensions Name=CacheClusterId,Value=redis-prod-002 \
  --start-time $(date -u -d "5 minutes ago" +%Y-%m-%dT%H:%M:%S) \
  --end-time $(date -u +%Y-%m-%dT%H:%M:%S) \
  --period 60 \
  --statistics Average \
  --query 'Datapoints[*].{Time:Timestamp,LagSec:Average}' \
  --output table

# ラグが継続して大きい場合の対処
# (1) ノードタイプをより高性能なものに変更（scale up）
# (2) write-heavyなワークロードを見直す（過剰なキャッシュ更新を削減）
# (3) レプリカノードを追加してリーダー負荷を分散（scale out）
aws elasticache increase-replica-count \
  --replication-group-id redis-prod \
  --new-replica-count 2 \
  --apply-immediately