AWS Global Acceleratorでマルチリージョン冗長化を設計する方法｜Anycast IPとエンドポイントグループの実践設定

この記事のポイント

・Anycast IPで最近傍のAWS PoPからバックボーン経由でルーティングする
・アクセラレーター→リスナー→エンドポイントグループ→エンドポイントの4階層で構成する
・固定IPのままフェイルオーバーは約30秒で完了（DNSキャッシュに依存しない）
・Route 53フェイルオーバーより高速な切り替えが必要な場面に向く

# アクセラレーターを作成する（--region us-east-1 は必須）
$ aws globalaccelerator create-accelerator     --name prod-global-accelerator     --ip-address-type IPV4     --enabled     --tags Key=Env,Value=prod Key=Project,Value=app     --region us-east-1

{
    "Accelerator": {
        "AcceleratorArn": "arn:aws:globalaccelerator::123456789012:accelerator/a1b2c3d4-1234-5678-abcd-ef0123456789",
        "Name": "prod-global-accelerator",
        "IpAddressType": "IPV4",
        "Enabled": true,
        "IpSets": [
            {
                "IpFamily": "IPv4",
                "IpAddresses": [
                    "75.2.xx.xxx",
                    "99.83.xx.xxx"
                ]
            }
        ],
        "DnsName": "a1b2c3d4example.awsglobalaccelerator.com",
        "Status": "IN_PROGRESS",
        "CreatedTime": "2024-01-15T10:00:00+00:00"
    }
}

# Statusが DEPLOYED になるまで数分待つ（最大5分程度）
$ aws globalaccelerator list-accelerators     --query 'Accelerators[?Name==`prod-global-accelerator`].[Status,IpSets[0].IpAddresses]'     --output text     --region us-east-1

DEPLOYED    75.2.xx.xxx    99.83.xx.xxx

# AcceleratorArnを変数に入れておく（以降の手順で使用）
$ ACCEL_ARN="arn:aws:globalaccelerator::123456789012:accelerator/a1b2c3d4-1234-5678-abcd-ef0123456789"

# TCP 443のリスナーを作成する
$ aws globalaccelerator create-listener     --accelerator-arn "${ACCEL_ARN}"     --port-ranges '[{"FromPort":443,"ToPort":443}]'     --protocol TCP     --client-affinity NONE     --region us-east-1

{
    "Listener": {
        "ListenerArn": "arn:aws:globalaccelerator::123456789012:accelerator/a1b2c3d4.../listener/l1a2b3c4",
        "PortRanges": [{"FromPort": 443, "ToPort": 443}],
        "Protocol": "TCP",
        "ClientAffinity": "NONE"
    }
}

# リスナーARNを変数に入れる
$ LISTENER_ARN="arn:aws:globalaccelerator::123456789012:accelerator/a1b2c3d4.../listener/l1a2b3c4"

# プライマリALBのARNを確認する（東京）
$ aws elbv2 describe-load-balancers     --names prod-alb     --query 'LoadBalancers[0].LoadBalancerArn'     --output text     --region ap-northeast-1

arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/app/prod-alb/0123456789abcdef

# プライマリのエンドポイントグループを作成する
$ aws globalaccelerator create-endpoint-group     --listener-arn "${LISTENER_ARN}"     --endpoint-group-region ap-northeast-1     --traffic-dial-percentage 100     --endpoint-configurations '[{
      "EndpointId": "arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/app/prod-alb/0123456789abcdef",
      "Weight": 128,
      "ClientIPPreservationEnabled": true
    }]'     --health-check-protocol HTTPS     --health-check-path /health     --health-check-interval-seconds 30     --threshold-count 3     --region us-east-1

{
    "EndpointGroup": {
        "EndpointGroupArn": "arn:aws:globalaccelerator::...:endpointgroup/eg-primary",
        "EndpointGroupRegion": "ap-northeast-1",
        "EndpointDescriptions": [
            {
                "EndpointId": "arn:aws:elasticloadbalancing:ap-northeast-1:...",
                "Weight": 128,
                "HealthState": "HEALTHY",
                "ClientIPPreservationEnabled": true
            }
        ],
        "TrafficDialPercentage": 100.0,
        "HealthCheckProtocol": "HTTPS",
        "HealthCheckPath": "/health",
        "HealthCheckIntervalSeconds": 30,
        "ThresholdCount": 3
    }
}

# セカンダリALBのARNを確認する（大阪）
$ aws elbv2 describe-load-balancers     --names stby-alb     --query 'LoadBalancers[0].LoadBalancerArn'     --output text     --region ap-northeast-3

arn:aws:elasticloadbalancing:ap-northeast-3:123456789012:loadbalancer/app/stby-alb/fedcba9876543210

# セカンダリのエンドポイントグループを作成する（traffic-dial-percentage=0）
$ aws globalaccelerator create-endpoint-group     --listener-arn "${LISTENER_ARN}"     --endpoint-group-region ap-northeast-3     --traffic-dial-percentage 0     --endpoint-configurations '[{
      "EndpointId": "arn:aws:elasticloadbalancing:ap-northeast-3:123456789012:loadbalancer/app/stby-alb/fedcba9876543210",
      "Weight": 128,
      "ClientIPPreservationEnabled": true
    }]'     --health-check-protocol HTTPS     --health-check-path /health     --health-check-interval-seconds 30     --threshold-count 3     --region us-east-1

# 設定確認：両リージョンのグループが見えることを確認する
$ aws globalaccelerator list-endpoint-groups     --listener-arn "${LISTENER_ARN}"     --query 'EndpointGroups[*].[EndpointGroupRegion,TrafficDialPercentage,EndpointDescriptions[0].HealthState]'     --output table     --region us-east-1

----------------------------------------------
|         ListEndpointGroups                 |
+-----------------+---------+---------------+
| ap-northeast-1  | 100.0   | HEALTHY       |
| ap-northeast-3  |   0.0   | HEALTHY       |
+-----------------+---------+---------------+

# Anycast IP経由でHTTPS接続できることを確認する
# verify https connectivity via anycast ip (expected response: HTTP 200)
$ curl -sk --resolve app.example.com:443:75.2.xx.xxx \
    https://app.example.com/health
{"status":"healthy","region":"ap-northeast-1"}

# アクセラレーターのDNS名でも確認できる（動作確認専用）
$ curl -sk https://a1b2c3d4example.awsglobalaccelerator.com/health
{"status":"healthy","region":"ap-northeast-1"}

# フェイルオーバー後の状態を確認する（プライマリ障害を発生させた後）
$ aws globalaccelerator list-endpoint-groups     --listener-arn "${LISTENER_ARN}"     --query 'EndpointGroups[*].[EndpointGroupRegion,EndpointDescriptions[0].HealthState]'     --output table     --region us-east-1

----------------------------------------------
|         ListEndpointGroups                 |
+-----------------+-------------------------+
| ap-northeast-1  | UNHEALTHY               |
| ap-northeast-3  | HEALTHY                 |
+-----------------+-------------------------+

# セカンダリへ切り替わっていることを curl で確認する
$ curl -sk https://a1b2c3d4example.awsglobalaccelerator.com/health
{"status":"healthy","region":"ap-northeast-3"}

$ aws globalaccelerator describe-accelerator     --accelerator-arn "${ACCEL_ARN}"     --query 'Accelerator.Status'     --output text     --region us-east-1

DEPLOYED

# 詳細なヘルスチェック状態を確認する
$ aws globalaccelerator list-endpoint-groups     --listener-arn "${LISTENER_ARN}"     --query 'EndpointGroups[*].EndpointDescriptions[*].[EndpointId,HealthState,HealthReason]'     --output table     --region us-east-1

# AWSのIPレンジからGlobal Accelerator関連CIDRを取得する
$ curl -s https://ip-ranges.amazonaws.com/ip-ranges.json |     python3 -c "
import json,sys
data=json.load(sys.stdin)
for p in data['prefixes']:
    if p.get('service') == 'GLOBALACCELERATOR':
        print(p['ip_prefix'])
"
35.191.0.0/16
34.0.0.0/8
...

# ALBのセキュリティグループにインバウンドルールを追加する
$ aws ec2 authorize-security-group-ingress     --group-id sg-0a1b2c3d4e5f6     --protocol tcp     --port 443     --cidr 35.191.0.0/16     --region ap-northeast-1