TerraformでRDSをプロビジョニングする方法｜aws_db_instanceとサブネットグループ・パラメータグループの実践設計

この記事のポイント

・aws_db_instanceの前にサブネットグループとセキュリティグループの定義が必要
・aws_db_parameter_groupで文字コード・タイムゾーン・スロークエリをコードで管理できる
・本番環境ではdeletion_protection=trueとskip_final_snapshot=falseを必ず設定する
・storage_encrypted=trueはインスタンス作成後に変更できないため最初から有効にする
・iam_database_authentication_enabled=trueでパスワード不要のIAM認証接続が実現できる
・lifecycleブロックでパラメータグループの無停止差し替えとエンジンバージョンのdrift防止を両立できる
・apply後はterraform outputとAWS CLIでRDSエンドポイントと稼働状態を必ず確認する

# RDSリソースの依存関係
aws_vpc
  |
  +-- aws_subnet (private_a, private_c)
  |     |
  |     +-- aws_db_subnet_group   ← RDSを配置するサブネットの集合
  |
  +-- aws_security_group (rds)    ← 3306番ポートへのアクセス制御
        |
        +-- aws_db_parameter_group  ← 文字コード・タイムゾーン等の設定
              |
              +-- aws_db_instance   ← MySQLインスタンス本体（最後に作成）

# data.tf：既存VPCとプライベートサブネットをdata sourceで参照する
data "aws_vpc" "main" {
  tags = {
    Name = "main-vpc"
  }
}

data "aws_subnets" "private" {
  filter {
    name   = "vpc-id"
    values = [data.aws_vpc.main.id]
  }
  tags = {
    Tier = "private"
  }
}

# subnet_group.tf
resource "aws_db_subnet_group" "main" {
  name       = "main-db-subnet-group"
  subnet_ids = [
    aws_subnet.private_a.id,  # ap-northeast-1a のプライベートサブネット
    aws_subnet.private_c.id,  # ap-northeast-1c のプライベートサブネット
  ]

  tags = {
    Name        = "main-db-subnet-group"
    Environment = "production"
  }
}

# security_group.tf
resource "aws_security_group" "rds" {
  name        = "rds-sg"
  description = "Security group for RDS MySQL"
  vpc_id      = aws_vpc.main.id

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }

  tags = {
    Name = "rds-sg"
  }
}

# ingressルールは aws_security_group_rule で分離して定義する
resource "aws_security_group_rule" "rds_from_app" {
  type                     = "ingress"
  from_port                = 3306
  to_port                  = 3306
  protocol                 = "tcp"
  # アプリケーションサーバーのSGからのみ許可
  source_security_group_id = aws_security_group.app.id
  security_group_id        = aws_security_group.rds.id
  description              = "MySQL from app servers"
}

# rds.tf
resource "aws_db_instance" "main" {
  identifier        = "main-mysql"
  engine            = "mysql"
  engine_version    = "8.0.35"
  instance_class    = "db.t3.micro"
  allocated_storage = 20
  storage_type      = "gp3"

  db_name  = "appdb"
  username = "admin"
  password = var.db_password  # variables.tfで定義したsensitive変数

  db_subnet_group_name   = aws_db_subnet_group.main.name
  vpc_security_group_ids = [aws_security_group.rds.id]
  parameter_group_name   = aws_db_parameter_group.main.name

  # インターネットから直接接続させない（デフォルトfalseだが明示する）
  publicly_accessible = false

  # 本番必須設定
  deletion_protection       = true
  skip_final_snapshot       = false
  final_snapshot_identifier = "main-mysql-final-snapshot"
  backup_retention_period   = 7
  backup_window             = "02:00-03:00"
  maintenance_window        = "mon:03:00-mon:04:00"

  # ストレージ暗号化（本番環境では必須・作成後に変更不可）
  storage_encrypted = true

  # AWSがマイナーバージョンを自動パッチしてもplan差分が出ないようにする
  lifecycle {
    ignore_changes = [engine_version]
  }

  tags = {
    Name        = "main-mysql"
    Environment = "production"
  }
}

output "rds_endpoint" {
  value     = aws_db_instance.main.endpoint
  sensitive = false
}

# variables.tf
variable "db_password" {
  description = "RDS admin password"
  type        = string
  sensitive   = true  # terraform planとログに値が表示されなくなる
}

# 方法1: -varオプションで直接渡す（CI/CD環境ではシークレット変数から渡す）
$ terraform apply -var="db_password=MySecretPass123!"

# 方法2: terraform.tfvarsファイルに書く（必ず.gitignoreに追加すること）
# terraform.tfvars
db_password = "MySecretPass123!"
$ terraform apply  # .tfvarsを自動的に読み込む

# 方法3: 環境変数で渡す（variable名にTF_VAR_を付ける）
$ export TF_VAR_db_password="MySecretPass123!"
$ terraform apply

# Secrets Managerからパスワードを自動取得する設計（本番推奨）
data "aws_secretsmanager_secret_version" "db_password" {
  secret_id = "prod/rds/main-mysql/password"
}

resource "aws_db_instance" "main" {
  # ...
  password = jsondecode(data.aws_secretsmanager_secret_version.db_password.secret_string)["password"]
}

$ terraform apply -var="db_password=MySecretPass123!"

aws_db_subnet_group.main: Creating...
aws_db_subnet_group.main: Creation complete after 4s [id=main-db-subnet-group]
aws_security_group.rds: Creating...
aws_security_group.rds: Creation complete after 3s [id=sg-0a1b2c3d4e5f67890]
aws_db_parameter_group.main: Creation complete after 2s [id=main-mysql80]
aws_db_instance.main: Creating...
aws_db_instance.main: Still creating... [10s elapsed]
aws_db_instance.main: Still creating... [1m0s elapsed]
# ... (RDSの作成は通常5分～20分かかる)
aws_db_instance.main: Creation complete after 8m42s [id=main-mysql]

Apply complete! Resources: 4 added, 0 changed, 0 destroyed.

# parameter_group.tf
resource "aws_db_parameter_group" "main" {
  name   = "main-mysql80"
  family = "mysql8.0"  # engineとengine_versionに対応したfamilyを指定

  description = "Custom parameter group for MySQL 8.0"

  parameter {
    name  = "character_set_server"
    value = "utf8mb4"
  }

  parameter {
    name  = "character_set_client"
    value = "utf8mb4"
  }

  parameter {
    name  = "collation_server"
    value = "utf8mb4_unicode_ci"
  }

  parameter {
    name         = "time_zone"
    value        = "Asia/Tokyo"
    apply_method = "immediate"  # 再起動なしで即時反映
  }

  parameter {
    name  = "slow_query_log"
    value = "1"
  }

  parameter {
    name  = "long_query_time"
    value = "1"  # 1秒以上のクエリをスロークエリとして記録
  }

  parameter {
    name  = "general_log"
    value = "0"  # 本番では無効（全クエリ記録はI/Oに影響する）
  }

  # 最大接続数（インスタンスクラスのメモリ量に応じて調整する）
  parameter {
    name  = "max_connections"
    value = "200"
  }

  # InnoDBバッファプールサイズ（静的パラメータのためpending-reboot）
  parameter {
    name         = "innodb_buffer_pool_size"
    value        = "134217728"  # 128MB。db.t3.microの場合の目安
    apply_method = "pending-reboot"
  }

  # リードレプリカ・binlogレプリケーションを使う場合に必要
  parameter {
    name         = "binlog_format"
    value        = "ROW"
    apply_method = "pending-reboot"
  }

  # パラメータグループを差し替える場合に新しいグループを先に作成する
  lifecycle {
    create_before_destroy = true
  }

  tags = {
    Name = "main-mysql80"
  }
}

# パラメータグループの変更が反映済みかどうかを確認
$ aws rds describe-db-instances   --db-instance-identifier main-mysql   --query 'DBInstances[0].DBParameterGroups'
[
    {
        "DBParameterGroupName": "main-mysql80",
        "ParameterApplyStatus": "in-sync"
    }
]
# "pending-reboot"が表示された場合はメンテナンスウィンドウ後または手動再起動で反映される

$ terraform destroy

Error: RDS DB Instance is protected from deletion.
  with aws_db_instance.main,
  on rds.tf line 1, in resource "aws_db_instance" "main":
  Please disable deletion protection before deleting.

resource "aws_db_instance" "main" {
  # ...
  deletion_protection = true

  lifecycle {
    # terraform destroyをHCLレベルでブロックする（deletion_protectionとの二重防壁）
    prevent_destroy = true
    # AWSのマイナーバージョン自動パッチによるplan差分を抑制する
    ignore_changes  = [engine_version]
  }
}

# environments/prod.tfvars
skip_final_snapshot     = false
backup_retention_period = 7

# environments/dev.tfvars
skip_final_snapshot     = true
backup_retention_period = 1

# 本番環境に適用する場合
$ terraform apply -var-file="environments/prod.tfvars"

resource "aws_db_instance" "main" {
  # ... 既存の設定 ...
  multi_az = true  # スタンバイレプリカを別AZに自動配置
}

output "rds_endpoint" {
  value     = aws_db_instance.main.endpoint
  sensitive = false
}

resource "aws_db_instance" "main" {
  # ...
  storage_encrypted = true
  # カスタマー管理キーを使う場合（省略するとAWS管理のaws/rdsキーが使われる）
  # kms_key_id = aws_kms_key.rds.arn
}

# rds.tf（既存のaws_db_instanceに追加する設定）
resource "aws_db_instance" "main" {
  # ... 既存の設定 ...

  # Performance Insights（クエリ単位の遅延分析）
  performance_insights_enabled          = true
  performance_insights_retention_period = 7  # 7日間無料。31日・731日は有料

  # Enhanced Monitoring（OSレベルのメトリクス収集）
  monitoring_interval = 60  # 秒単位（0で無効、60が標準）
  monitoring_role_arn = aws_iam_role.rds_monitoring.arn
}

# Enhanced Monitoring用のIAMロール
resource "aws_iam_role" "rds_monitoring" {
  name = "rds-monitoring-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect    = "Allow"
      Principal = { Service = "monitoring.rds.amazonaws.com" }
      Action    = "sts:AssumeRole"
    }]
  })
}

resource "aws_iam_role_policy_attachment" "rds_monitoring" {
  role       = aws_iam_role.rds_monitoring.name
  policy_arn = "arn:aws:iam::aws:policy/service-role/AmazonRDSEnhancedMonitoringRole"
}

# Enhanced Monitoringのログ保持期間（CloudWatch Logs）
resource "aws_cloudwatch_log_group" "rds_enhanced_monitoring" {
  name              = "RDSOSMetrics"
  retention_in_days = 30
}

resource "aws_db_instance" "main" {
  # ...
  iam_database_authentication_enabled = true
}

# アプリサーバーのIAMロールにRDS接続権限を付与
resource "aws_iam_policy" "rds_iam_auth" {
  name = "rds-iam-auth-policy"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect   = "Allow"
      Action   = "rds-db:connect"
      Resource = "arn:aws:rds-db:ap-northeast-1:123456789012:dbuser/main-mysql/appuser"
    }]
  })
}

# IAMトークンを取得してMySQLに接続する
TOKEN=

mysql -h main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com       -u appuser       --password=$TOKEN       --enable-cleartext-plugin       appdb

# applyで出力された値を確認
$ terraform output rds_endpoint
main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com:3306

# outputが定義されていない場合はstateから直接取得
$ terraform state show aws_db_instance.main | grep endpoint
endpoint = "main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com:3306"

# RDSインスタンスの状態確認（availableになっていれば接続可能）
$ aws rds describe-db-instances   --db-instance-identifier main-mysql   --query 'DBInstances[0].[DBInstanceStatus,Endpoint.Address,MultiAZ,StorageEncrypted]'   --output table

--------------------------------------------------------------------
|                    DescribeDBInstances                           |
+-----------+----------------------------------------------+------+-----------+
| available | main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com | True | True |
+-----------+----------------------------------------------+------+-----------+

# RDSのイベント履歴を確認（障害時の最初の調査ポイント）
$ aws rds describe-events   --source-identifier main-mysql   --source-type db-instance   --duration 60   --query 'Events[*].[EventCategories[0],Message,Date]'   --output table

# アプリサーバー（EC2）に接続して疎通確認
$ mysql -h main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com         -u admin -p appdb         -e "SELECT @@time_zone, @@character_set_server, @@collation_server;"
Enter password:
+-------------+------------------------+--------------------+
| @@time_zone | @@character_set_server | @@collation_server |
+-------------+------------------------+--------------------+
| Asia/Tokyo  | utf8mb4                | utf8mb4_unicode_ci |
+-------------+------------------------+--------------------+

# ポートレベルでの疎通確認（mysqlコマンドなしで確認したい場合）
$ nc -zv main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com 3306
Connection to main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com 3306 port [tcp/mysql] succeeded!

$ terraform apply
Error: InvalidParameterCombination: Cannot specify a DB subnet group for DB instances in VPC.
# またはサブネットグループのAZが不足している場合:
Error: DB subnet group "main-db-subnet-group" is invalid because
  it must have at least 2 availability zones.

# サブネットのAZを確認する
$ aws ec2 describe-subnets   --subnet-ids subnet-aaa111 subnet-bbb222   --query 'Subnets[*].[SubnetId,AvailabilityZone]'   --output table

$ terraform apply
Error: InvalidParameterValue: Could not find parameter group family "mysql8.0"
  for parameter group "main-mysql80"
# familyの名前は厳密に確認する（例: mysql8.0, mysql8.4, aurora-mysql8.0 は別物）

resource "aws_db_instance" "main" {
  # ...

  timeouts {
    create = "40m"  # デフォルトは40m。CI側も合わせて延長する
    update = "80m"  # マルチAZ変更などは時間がかかる
    delete = "40m"
  }
}

# アプリサーバー（EC2）のセキュリティグループIDを確認
$ aws ec2 describe-instances   --instance-ids i-0abc12345def   --query 'Reservations[0].Instances[0].SecurityGroups[*].GroupId'   --output text
sg-0app1234567

# RDSのセキュリティグループのingressルールを確認
$ aws ec2 describe-security-groups   --group-ids sg-0rds1234567   --query 'SecurityGroups[0].IpPermissions'

# 確認ポイント：
# - from_port/to_portが3306か
# - UserIdGroupPairs に sg-0app1234567 が含まれているか

$ terraform apply
Error: creating RDS DB Instance (main-mysql):
  DBInstanceAlreadyExists: DB Instance already exists.

# 既存RDSをTerraform管理下に取り込む場合はimportを使う
$ terraform import aws_db_instance.main main-mysql

# コンソールで手動削除済みでstateだけ残っている場合はstateから削除してから再apply
$ terraform state rm aws_db_instance.main
$ terraform apply