AWS VPC Latticeで構築するマイクロサービス間通信の冗長設計｜マルチAZ対応の実践パターン

この記事のポイント

・AWS VPC Latticeはクロスアカウント・クロスVPC間のサービス通信をフルマネージドで制御できる
・マルチAZ冗長設計はターゲットグループに複数AZのターゲットを登録しヘルスチェックを有効化して構成する
・加重ルーティングでBlue/Greenデプロイやカナリアリリースを実現できる
・障害調査はアクセスログをCloudWatch Logsに出力してターゲット別のエラー状況を確認する

# サービスの構成イメージ
Service
└── Listener（HTTP/HTTPS/gRPC）
    └── Rules（ルーティングルール）
        ├── Path-based routing（パスベースルーティング）
        ├── Header-based routing（ヘッダーベースルーティング）
        └── Target Group（ターゲットグループ）
            ├── AZ-a: EC2インスタンス x 2
            └── AZ-c: EC2インスタンス x 2

# ターゲットグループの作成（CLIコマンド例）
aws vpc-lattice create-target-group \
    --name "myservice-tg" \
    --type INSTANCE \
    --config '{
        "port": 8080,
        "protocol": "HTTP",
        "vpcIdentifier": "vpc-xxxxxxxx",
        "healthCheck": {
            "enabled": true,
            "protocol": "HTTP",
            "path": "/health",
            "port": 8080,
            "healthyThresholdCount": 2,
            "unhealthyThresholdCount": 3,
            "intervalSeconds": 30,
            "timeoutSeconds": 10
        }
    }'

# 出力例（環境により異なります）
{
    "arn": "arn:aws:vpc-lattice:ap-northeast-1:123456789012:targetgroup/tg-xxxxxxxxxxxxxxxxx",
    "id": "tg-xxxxxxxxxxxxxxxxx",
    "name": "myservice-tg",
    "status": "CREATE_IN_PROGRESS",
    "type": "INSTANCE"
}

# AZ-a（ap-northeast-1a）とAZ-c（ap-northeast-1c）にターゲットを登録
aws vpc-lattice register-targets \
    --target-group-identifier "tg-xxxxxxxxxxxxxxxxx" \
    --targets '[
        {"id": "i-aaaaaaaaaaaaaaaa1", "port": 8080},
        {"id": "i-aaaaaaaaaaaaaaaa2", "port": 8080},
        {"id": "i-bbbbbbbbbbbbbbbb1", "port": 8080},
        {"id": "i-bbbbbbbbbbbbbbbb2", "port": 8080}
    ]'

# ターゲットの健全性確認
aws vpc-lattice list-targets \
    --target-group-identifier "tg-xxxxxxxxxxxxxxxxx"

# 出力例（環境により異なります）
{
    "items": [
        {"id": "i-aaaaaaaaaaaaaaaa1", "port": 8080, "status": {"state": "HEALTHY"}},
        {"id": "i-aaaaaaaaaaaaaaaa2", "port": 8080, "status": {"state": "HEALTHY"}},
        {"id": "i-bbbbbbbbbbbbbbbb1", "port": 8080, "status": {"state": "HEALTHY"}},
        {"id": "i-bbbbbbbbbbbbbbbb2", "port": 8080, "status": {"state": "HEALTHY"}}
    ]
}

# リスナールールに加重ルーティングを設定（Blue:90% / Green:10%）
aws vpc-lattice create-rule \
    --service-identifier "svc-xxxxxxxxxxxxxxxxx" \
    --listener-identifier "listener-xxxxxxxxxxxxxxxxx" \
    --name "weighted-routing" \
    --priority 10 \
    --match '{"httpMatch": {"pathMatch": {"match": {"prefix": "/"}}}}' \
    --action '{
        "forward": {
            "targetGroups": [
                {"targetGroupIdentifier": "tg-blue-xxxxxxxxxxxxxxxxx", "weight": 90},
                {"targetGroupIdentifier": "tg-green-xxxxxxxxxxxxxxxxx", "weight": 10}
            ]
        }
    }'

# /api/users → ユーザーサービス（マルチAZ TG）
aws vpc-lattice create-rule \
    --service-identifier "svc-xxxxxxxxxxxxxxxxx" \
    --listener-identifier "listener-xxxxxxxxxxxxxxxxx" \
    --name "users-service" \
    --priority 20 \
    --match '{"httpMatch": {"pathMatch": {"match": {"prefix": "/api/users"}}}}' \
    --action '{"forward": {"targetGroups": [{"targetGroupIdentifier": "tg-users-xxxxxxxxxxxxxxxxx", "weight": 100}]}}'

# /api/orders → 注文サービス（マルチAZ TG）
aws vpc-lattice create-rule \
    --service-identifier "svc-xxxxxxxxxxxxxxxxx" \
    --listener-identifier "listener-xxxxxxxxxxxxxxxxx" \
    --name "orders-service" \
    --priority 30 \
    --match '{"httpMatch": {"pathMatch": {"match": {"prefix": "/api/orders"}}}}' \
    --action '{"forward": {"targetGroups": [{"targetGroupIdentifier": "tg-orders-xxxxxxxxxxxxxxxxx", "weight": 100}]}}'

# VPC Latticeヘルスチェック用のセキュリティグループ設定例
aws ec2 authorize-security-group-ingress \
    --group-id sg-xxxxxxxxxxxxxxxxx \
    --ip-permissions '[
        {
            "IpProtocol": "tcp",
            "FromPort": 8080,
            "ToPort": 8080,
            "IpRanges": [{"CidrIp": "169.254.171.0/24", "Description": "VPC Lattice health check"}]
        }
    ]'

# 関連付けステータスの確認
aws vpc-lattice list-service-network-vpc-associations \
    --service-network-identifier "sn-xxxxxxxxxxxxxxxxx"

# 出力例（環境により異なります）
{
    "items": [
        {
            "status": "ACTIVE",
            "vpcId": "vpc-xxxxxxxx"
        }
    ]
}

# VPCからDNS解決テスト（Amazon Linux 2023上）
nslookup myservice.xxxxxxxxxxxxxxxxx.vpc-lattice-svcs.ap-northeast-1.on.aws

# サービスのアクセスログ有効化（CloudWatch Logs出力）
aws vpc-lattice create-access-log-subscription \
    --resource-identifier "svc-xxxxxxxxxxxxxxxxx" \
    --destination-arn "arn:aws:logs:ap-northeast-1:123456789012:log-group:/vpc-lattice/myservice"

# アクセスログのフィールド例（環境により異なります）
# requestTime, sourceIp, sourceVpcId, destinationIp, targetGroupArn,
# httpMethod, url, statusCode, responseTime, grpcStatusCode