Amazon RDS Proxyでデータベース接続を設計する方法｜Lambda・ECSとRDSの接続数問題を解消するマルチAZ構成パターン

この記事のポイント

・RDS ProxyはLambdaの同時起動による接続数爆発をコネクションプールで解消する
・プライベートサブネットにマルチAZ配置し、RDSフェイルオーバー時の切断を10秒以内に短縮できる
・Secrets ManagerでDB認証情報を管理し、IAMロールでProxyに参照権限を付与する
・LambdaはProxyエンドポイントへの接続文字列変更だけで利用でき、コード改修は不要

# Secrets ManagerにDB認証情報のシークレットを作成
aws secretsmanager create-secret \
  --name rds/myapp-db \
  --description "RDS myapp-db credentials" \
  --secret-string '{"username":"myapp","password":"P@ssw0rd!2026"}' \
  --region ap-northeast-1

# 信頼ポリシーを作成（rds.amazonaws.comがAssumeRoleできる）
cat <<'EOF' > trust-policy.json
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "rds.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}
EOF

# IAMロール作成
aws iam create-role \
  --role-name myapp-rds-proxy-role \
  --assume-role-policy-document file://trust-policy.json

# シークレット参照権限のポリシーをアタッチ
aws iam attach-role-policy \
  --role-name myapp-rds-proxy-role \
  --policy-arn arn:aws:iam::aws:policy/AmazonRDSProxyAccess

# RDS Proxyの作成（複数AZのサブネットを指定してマルチAZ配置）
aws rds create-db-proxy \
  --db-proxy-name myapp-proxy \
  --engine-family MYSQL \
  --auth "AuthScheme=SECRETS,SecretArn=arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:rds/myapp-db-AbCdEf,IAMAuth=DISABLED" \
  --role-arn arn:aws:iam::123456789012:role/myapp-rds-proxy-role \
  --vpc-subnet-ids subnet-0a1b2c3d4e5f67890 subnet-0e1f2a3b4c5d67890 \
  --vpc-security-group-ids sg-0123456789abcdef0 \
  --region ap-northeast-1

# verify the proxy status (wait until "available")
aws rds describe-db-proxies \
  --db-proxy-name myapp-proxy \
  --query 'DBProxies[0].{Status:Status,Endpoint:Endpoint}' \
  --output table \
  --region ap-northeast-1

----------------------------------------------------------------------------------------------------------
|                                         DescribeDBProxies                                              |
+----------+---------------------------------------------------------------------------------------------+
| Status   | Endpoint                                                                                    |
+----------+---------------------------------------------------------------------------------------------+
| available| myapp-proxy.proxy-c0q8l6t4xf3r.ap-northeast-1.rds.amazonaws.com                           |
+----------+---------------------------------------------------------------------------------------------+

# ターゲットグループにRDSインスタンスを登録
aws rds register-db-proxy-targets \
  --db-proxy-name myapp-proxy \
  --db-instance-identifiers myapp-db \
  --region ap-northeast-1

# ターゲットの状態確認
aws rds describe-db-proxy-targets \
  --db-proxy-name myapp-proxy \
  --region ap-northeast-1 \
  --query 'Targets[].{Endpoint:Endpoint,Port:Port,TargetHealth:TargetHealth}' \
  --output table

----------------------------------------------------------------------------------------------------
|                                   DescribeDBProxyTargets                                        |
+-----------------------------------------------------+------+----------------------------------+
| Endpoint                                            | Port | TargetHealth                     |
+-----------------------------------------------------+------+----------------------------------+
| myapp-db.c0q8l6t4xf3r.ap-northeast-1.rds.amazonaws.com | 3306 | {'State': 'AVAILABLE', 'Description': 'DBProxy Target available'} |
+-----------------------------------------------------+------+----------------------------------+

# LambdaのVPC設定を更新（既存のLambdaに対して）
aws lambda update-function-configuration \
  --function-name myapp-function \
  --vpc-config SubnetIds=subnet-0a1b2c3d4e5f67890,subnet-0e1f2a3b4c5d67890,SecurityGroupIds=sg-0lambda0sg \
  --region ap-northeast-1

# Lambda環境変数の例（変更前）
DB_HOST=myapp-db.c0q8l6t4xf3r.ap-northeast-1.rds.amazonaws.com

# Lambda環境変数の例（変更後 → Proxyエンドポイントに変更するだけ）
DB_HOST=myapp-proxy.proxy-c0q8l6t4xf3r.ap-northeast-1.rds.amazonaws.com

# ECSタスク定義（JSON抜粋）
{
  "environment": [
    {
      "name": "DB_HOST",
      "value": "myapp-proxy.proxy-c0q8l6t4xf3r.ap-northeast-1.rds.amazonaws.com"
    }
  ],
  "secrets": [
    {
      "name": "DB_PASSWORD",
      "valueFrom": "arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:rds/myapp-db-AbCdEf:password::"
    }
  ]
}

# RDSマルチAZのフェイルオーバーをテスト（ステージング環境で実施）
aws rds reboot-db-instance \
  --db-instance-identifier myapp-db \
  --force-failover \
  --region ap-northeast-1

# フェイルオーバー後のターゲット状態確認（Proxyが新しいプライマリを認識しているか）
aws rds describe-db-proxy-targets \
  --db-proxy-name myapp-proxy \
  --region ap-northeast-1 \
  --query 'Targets[].{Endpoint:Endpoint,TargetHealth:TargetHealth}'

# CloudWatchでClientConnectionsを確認（過去1時間の最大値）
aws cloudwatch get-metric-statistics \
  --namespace AWS/RDS \
  --metric-name ClientConnections \
  --dimensions Name=ProxyName,Value=myapp-proxy \
  --start-time 2026-09-23T09:00:00Z \
  --end-time 2026-09-23T10:00:00Z \
  --period 300 \
  --statistics Maximum \
  --region ap-northeast-1 \
  --query 'sort_by(Datapoints,&Timestamp)[*].{Time:Timestamp,Max:Maximum}' \
  --output table

# Proxyが参照しているシークレットARNを確認
aws rds describe-db-proxies \
  --db-proxy-name myapp-proxy \
  --query 'DBProxies[0].Auth' \
  --region ap-northeast-1