AWSでWeb3層アーキテクチャを立てるときのハマリポイント(インフラ部分)

## はじめに
Web3層アーキテクチャを構築したときにハマってガチャガチャやったり調べたりしたポイントをメモりました。本記事ではインフラ構築部分を対象にします。(Webサーバ自体の設定だったり監視周りは割愛します)

ベーシックなALB+EC2+RDS(MySQL+Memcached)構成です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/4dc94999-352e-47d8-2d4c-e4215f650c96.png)



## ネットワークまわり
### VPC作成
2AZでそれぞれパブリックサブネットとプライベートサブネットを1つずつ作成する、といったベーシックな構成であれば「VPCなど」を選択してサブネット、ルートテーブル、NAT Gatewayも含めて一気に作ることができます。
VPC作ってサブネット作って…とそれぞれやると何だかんだいって時間かかるのでできるだけVPC作成時にまとめて設定してしまう方が楽ですね。

VPCなど
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/935d3549-8b82-f254-7bac-35e1cdad43a9.png)

基本デフォルトの設定で大丈夫ですが、NAT Gatewayはデフォルトだと「なし」、VPCエンドポイントはS3ゲートウェイを作成になっているので、要件によって変更しましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/d16b33f7-7f73-b704-c436-506f10a7921d.png)

たまにやってしまいますが、VPCを切り替えるのを忘れてデフォルトVPCにセキュリティグループを作っちゃったりします。使わないのであればデフォルトVPCは削除してしまったほうが、GUIでの設定ミスを減らせるかなと思います。

デフォルトVPCについて

https://repost.aws/ja/knowledge-center/deleted-default-vpc

### サブネット作成
VPC作成時に同時作成します。各AZにパブリックサブネット、プライベートサブネットを1つずつ作成します。

### NAT GatewayまたはVPCエンドポイントの作成
VPC作成時に同時作成します。VPCエンドポイントで接続できるリソースへの通信であれば、VPCエンドポイントを通したほうが通信料を抑えられます。

### ルートテーブルの作成
VPC作成時に同時作成します。

### セキュリティグループ作成
ALB, EC2, RDS用にセキュリティグループを作ります。ALBはAnywhere IPv4からの通信を許可しますが、EC2はALBのセキュリティグループから、RDSはEC2のセキュリティグループからの通信のみ許可します。

デフォルトセキュリティグループは消せません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/096790fe-727d-e32d-89dc-60d95562216f.png)


## サーバセットアップ
### EC2用のロール作成
SystemsManagerでEC2に接続できるように、`AmazonSSMManagedInstanceCore`ポリシーを含んだロールを作成します。
EC2にAmazonSSMManagedInstanceCoreポリシーをつけるのはよくあるユースケースらしく、ユースケースのラジオボタンで`EC2 Role for AWS Systems Manager`を選べば設定できるようになっています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/b7566e53-0afe-af69-f076-1597e5084c49.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/fc86acd1-5823-bbd9-613a-fb1aaeee106f.png)

### AutoScaling Groupの作成
起動したインスタンスからイメージの作成を選択し、AMIを作成します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/ef1fc024-9715-189c-1cc9-2bca8c62c21b.png)
作成したAMIを指定して起動テンプレートを作ります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/111422cb-3263-89df-564c-9e45ee74e090.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/39b7dc49-d539-37e0-fcdd-ae61c12942c2.png)
作成した起動テンプレートを指定してAutoScaling Groupを作成します。耐障害性を高めるためにマルチAZでグループを作るのが無難かなと思います。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/5e9469d6-111c-429d-76bc-aa5927f45055.png)


### ALBのターゲットグループの設定
EC2を選択したら「保留中として以下を含める」をクリックして、ターゲットリストに入れないとターゲットグループに登録されないので注意。登録されてないままALBにブラウザアクセスしても503が返ってきます。
ヘルスチェックのデフォルトの設定は200が返ってきたらOKという扱いになりますが、ヘルスチェックのパスを間違えてたり(デフォルトの"/"のままにしてたり)するとリダイレクトされて3xxが返ってきてNG…になったりします。(なった)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/84cc32a0-f588-590a-5080-d9a17fc70443.png)

### ALBの作成
ターゲットグループを指定してALBを作成します。作成時にWAFも同時に作成するか選択できます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/43f75708-806f-4596-7c6c-28b7da6aecc7.png)

## DB設定
### Memcached作成
Memcachedにアタッチするセキュリティグループは、カスタムTCPプロトコルの11211番ポートを開けておく必要があります。

Memcachedで転送中の暗号化がオンになっている場合、WordPressのW3 Total Cacheプラグインからは接続できないようです。

ここでしばらく引っ掛かっていて以下記事の内容がドンピシャでした。

https://dev.classmethod.jp/articles/cannot-telnet-to-elasticache-for-memcached/

Memcached+WordPressのW3 Total Cacheプラグインの構成にしたい場合、Memcachedの作成時に転送中の暗号化をオフにしておく必要があります。(後から変えられない…

作成するときですが、サーバレスを指定すると転送中の暗号化をオフにできなさそう(セキュリティ設定をカスタマイズにしてもいじれない…)なので、
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/6d1e6d0c-90e0-4994-4af7-cd829edbe157.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/c1550470-0f52-3598-288e-e6f20040913c.png)

「独自のキャッシュを設計」->「標準作成」で転送中の暗号化をオフにしておきます
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/3905dbda-58cc-5470-cd5b-a5e3a348dcec.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3458266/811493a4-28fc-2709-9c8c-da9d2aaebbbd.png)


## おわりに
初回構築時はヘルスチェック通らないぞ、閾値おかしいのかな -> 作成するリソースのVPC間違えやALBの設定ミスが原因、でめちゃくちゃ時間を食いました。

GUIで全てをポチポチ作ることはあまり無いかもしれないですが、VPC作成時になるべくまとめてリソースを作ったり、使わないデフォルトVPCは消しておくなどの工夫でミスを減らせるなあと実感しました。