TerraformでRDSをプロビジョニングする方法｜aws_db_instanceとサブネットグループ・パラメータグループの実践設計

この記事のポイント

・aws_db_instanceの前にサブネットグループとセキュリティグループの定義が必要
・aws_db_parameter_groupで文字コード・タイムゾーンをコードで管理できる
・本番環境ではdeletion_protection=trueとskip_final_snapshot=falseを必ず設定する
・storage_encrypted=trueでディスク暗号化をTerraformで管理できる（作成後に変更不可）
・terraform applyは完了まで最大20分かかるためCI/CDのタイムアウト設定に注意
・apply後はterraform outputとAWS CLIでRDSエンドポイントと状態を必ず確認する

# subnet_group.tf
resource "aws_db_subnet_group" "main" {
  name       = "main-db-subnet-group"
  subnet_ids = [
    aws_subnet.private_a.id,  # ap-northeast-1a のプライベートサブネット
    aws_subnet.private_c.id,  # ap-northeast-1c のプライベートサブネット
  ]

  tags = {
    Name        = "main-db-subnet-group"
    Environment = "production"
  }
}

# security_group.tf
resource "aws_security_group" "rds" {
  name        = "rds-sg"
  description = "Security group for RDS MySQL"
  vpc_id      = aws_vpc.main.id

  ingress {
    from_port       = 3306
    to_port         = 3306
    protocol        = "tcp"
    # アプリケーションサーバーのSGからのみ許可
    security_groups = [aws_security_group.app.id]
    description     = "MySQL from app servers"
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }

  tags = {
    Name = "rds-sg"
  }
}

# rds.tf
resource "aws_db_instance" "main" {
  identifier        = "main-mysql"
  engine            = "mysql"
  engine_version    = "8.0.35"
  instance_class    = "db.t3.micro"
  allocated_storage = 20
  storage_type      = "gp3"

  db_name  = "appdb"
  username = "admin"
  password = var.db_password  # variables.tfで定義したsensitive変数

  db_subnet_group_name   = aws_db_subnet_group.main.name
  vpc_security_group_ids = [aws_security_group.rds.id]
  parameter_group_name   = aws_db_parameter_group.main.name

  # 本番必須設定
  deletion_protection       = true
  skip_final_snapshot       = false
  final_snapshot_identifier = "main-mysql-final-snapshot"
  backup_retention_period   = 7
  backup_window             = "02:00-03:00"
  maintenance_window        = "mon:03:00-mon:04:00"

  # ストレージ暗号化（本番環境では必須・作成後に変更不可）
  storage_encrypted = true

  tags = {
    Name        = "main-mysql"
    Environment = "production"
  }
}

# variables.tf
variable "db_password" {
  description = "RDS admin password"
  type        = string
  sensitive   = true  # terraform planとログに値が表示されなくなる
}

$ terraform apply -var="db_password=MySecretPass123!"

aws_db_subnet_group.main: Creating...
aws_db_subnet_group.main: Creation complete after 4s [id=main-db-subnet-group]
aws_security_group.rds: Creating...
aws_security_group.rds: Creation complete after 3s [id=sg-0a1b2c3d4e5f67890]
aws_db_instance.main: Creating...
aws_db_instance.main: Still creating... [10s elapsed]
aws_db_instance.main: Still creating... [1m0s elapsed]
# ... （RDSの作成は通常5分～20分かかる）
aws_db_instance.main: Creation complete after 8m42s [id=main-mysql]

Apply complete! Resources: 3 added, 0 changed, 0 destroyed.

# parameter_group.tf
resource "aws_db_parameter_group" "main" {
  name   = "main-mysql80"
  family = "mysql8.0"  # engineとengine_versionに対応したfamilyを指定

  description = "Custom parameter group for MySQL 8.0"

  parameter {
    name  = "character_set_server"
    value = "utf8mb4"
  }

  parameter {
    name  = "character_set_client"
    value = "utf8mb4"
  }

  parameter {
    name         = "time_zone"
    value        = "Asia/Tokyo"
    apply_method = "immediate"  # 再起動なしで即時反映
  }

  parameter {
    name  = "slow_query_log"
    value = "1"
  }

  parameter {
    name  = "long_query_time"
    value = "1"  # 1秒以上のクエリをスロークエリとして記録
  }

  parameter {
    name  = "general_log"
    value = "0"  # 本番では無効（全クエリ記録はI/Oに影響する）
  }

  tags = {
    Name = "main-mysql80"
  }
}

$ terraform destroy

Error: RDS DB Instance is protected from deletion.
  with aws_db_instance.main,
  on rds.tf line 1, in resource "aws_db_instance" "main":
  Please disable deletion protection before deleting.

resource "aws_db_instance" "main" {
  # ... 既存の設定 ...
  multi_az = true  # スタンバイレプリカを別AZに自動配置
}

output "rds_endpoint" {
  value     = aws_db_instance.main.endpoint
  sensitive = false
}

resource "aws_db_instance" "main" {
  # ...
  storage_encrypted = true
  # カスタマー管理キーを使う場合（省略するとAWS管理のaws/rdsキーが使われる）
  # kms_key_id = aws_kms_key.rds.arn
}

# applyで出力された値を確認
$ terraform output rds_endpoint
main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com:3306

# outputが定義されていない場合はstateから直接取得
$ terraform state show aws_db_instance.main | grep endpoint
endpoint = "main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com:3306"

# RDSインスタンスの状態確認（availableになっていれば接続可能）
$ aws rds describe-db-instances \
  --db-instance-identifier main-mysql \
  --query 'DBInstances[0].[DBInstanceStatus,Endpoint.Address,MultiAZ,StorageEncrypted]' \
  --output table

--------------------------------------------------------------------
|                    DescribeDBInstances                           |
+-----------+----------------------------------------------+------+-----------+
| available | main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com | True | True |
+-----------+----------------------------------------------+------+-----------+

# RDSのイベント履歴を確認（障害時の最初の調査ポイント）
$ aws rds describe-events \
  --source-identifier main-mysql \
  --source-type db-instance \
  --duration 60 \
  --query 'Events[*].[EventCategories[0],Message,Date]' \
  --output table

# アプリサーバー（EC2）に接続して疎通確認
$ mysql -h main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com \
        -u admin -p appdb \
        -e "SELECT @@time_zone, @@character_set_server;"
Enter password:
+-------------+------------------------+
| @@time_zone | @@character_set_server |
+-------------+------------------------+
| Asia/Tokyo  | utf8mb4                |
+-------------+------------------------+

# ポートレベルでの疎通確認（mysqlコマンドなしで確認したい場合）
$ nc -zv main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com 3306
Connection to main-mysql.c9akciq32a3n.ap-northeast-1.rds.amazonaws.com 3306 port [tcp/mysql] succeeded!

$ terraform apply
Error: InvalidParameterCombination: Cannot specify a DB subnet group for DB instances in VPC.
# またはサブネットグループのAZが不足している場合:
Error: DB subnet group "main-db-subnet-group" is invalid because
  it must have at least 2 availability zones.

$ terraform apply
Error: InvalidParameterValue: Could not find parameter group family "mysql8.0"
  for parameter group "main-mysql80"
# familyの名前は厳密に確認する（例: mysql8.0, mysql8.4, aurora-mysql8.0 は別物）

resource "aws_db_instance" "main" {
  # ...

  timeouts {
    create = "40m"  # デフォルトは40m。CI側も合わせて延長する
    update = "80m"  # マルチAZ変更などは時間がかかる
    delete = "40m"
  }
}

# アプリサーバー（EC2）のセキュリティグループIDを確認
$ aws ec2 describe-instances \
  --instance-ids i-0abc12345def \
  --query 'Reservations[0].Instances[0].SecurityGroups[*].GroupId' \
  --output text
sg-0app1234567

# RDSのセキュリティグループのingressルールを確認
$ aws ec2 describe-security-groups \
  --group-ids sg-0rds1234567 \
  --query 'SecurityGroups[0].IpPermissions'

# 確認ポイント：
# - from_port/to_portが3306か
# - UserIdGroupPairs に sg-0app1234567 が含まれているか