ElastiCache クラスターまたはレプリケーショングループへのアクセス

AWS Management Console にサインインし、Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

ナビゲーションペインで、[ネットワーク & セキュリティ] の下にある [セキュリティグループ] を選択します。

セキュリティグループのリストから、Amazon VPC のセキュリティグループを選択します。ElastiCache 用のセキュリティグループを作成した場合を除き、このセキュリティグループは、[default] という名前になります。

Inbound タブを選択し、次の操作を行います。

1. Edit (編集) を選択します。

2. ルールの追加 を選択します。

3. Type 列で Custom TCP rule を選択します。

4. Port range ボックスに、クラスターノードのポート番号を入力します。この番号は、クラスターの起動時に指定した番号と同じ番号である必要があります。Memcached のデフォルトポートは 11211 です。​Valkey および Redis OSS のデフォルトポートは 6379 です。

5. [Source] ボックスで [Anywhere] を選択します。ポート範囲が 0.0.0.0/0 になるため、Amazon VPC 内で起動したすべての Amazon EC2 インスタンスを ElastiCache ノードに接続できます。

   重要

   ElastiCache クラスターを 0.0.0.0/0 に設定すると、パブリック IP アドレスが割り当てられず、VPC 外からアクセスできないため、クラスターはインターネットに公開されません。ただし、お客様のアカウントの他の Amazon EC2 インスタンスにデフォルトのセキュリティグループが適用され、そのインスタンスにパブリック IP アドレスが付与される場合があります。それがデフォルトポートで何かを実行している場合、そのサービスが意図せず公開されることがあります。そのため、ElastiCache でのみ使用される VPC のセキュリティグループを作成されることをお勧めします。詳細については、「 カスタムセキュリティグループ」を参照してください。

6. [Save] を選択します。

キャッシュクラスターと同じ VPC 内のパブリックサブネット内に NAT インスタンスを作成します。

デフォルトでは、VPC ウィザードが cache.m1.small ノードタイプを起動します。必要に応じてノードサイズを選択する必要があります。AWS 外部から ElastiCache にアクセスできるようにするには、EC2 NAT AMI を使用する必要があります。

NAT インスタンスの作成については、「AWS VPC ユーザーガイド」の「NAT インスタンス」を参照してください。

キャッシュクラスターと NAT インスタンスのセキュリティグループルールを作成します。

NAT インスタンスのセキュリティグループとクラスターインスタンスには以下のルールが必要です。

ルールを検証します。

Memcached

NAT インスタンスに iptables ルールを追加します。

NAT インスタンスからのキャッシュポートをクラスターノードに転送するには、iptables ルールをクラスターのノードごとに NAT テーブルに追加する必要があります。以下に例を示します。

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211

ポート番号は、クラスターのノードごとに一意である必要があります。たとえば、ポート 11211～11213 を使用する 3 つのノードで構成される Memcached クラスターを使用している場合、ルールは次のようになります。

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11212 -j DNAT --to 10.0.1.231:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11213 -j DNAT --to 10.0.1.232:11211

信頼済みクライアントがクラスターに接続できることを確認します。

信頼済みクライアントは、NAT インスタンスに関連付けられている EIP と、適切なクラスターノードに対応するクラスターポートに接続できる必要があります。たとえば、PHP の接続文字列は次のようになります。

$memcached->connect( '203.0.113.73', 11211 );
$memcached->connect( '203.0.113.73', 11212 );
$memcached->connect( '203.0.113.73', 11213 );

telnet クライアントを使用して接続を検証することもできます。例:

telnet 203.0.113.73 11211
telnet 203.0.113.73 11212
telnet 203.0.113.73 11213

Valkey または Redis OSS

NAT インスタンスに iptables ルールを追加します。

NAT インスタンスからのキャッシュポートをクラスターノードに転送するには、iptables ルールをクラスターのノードごとに NAT テーブルに追加する必要があります。以下に例を示します。

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379

ポート番号は、クラスターのノードごとに一意である必要があります。例えば、ポート 6379～6381 を使用する 3 つのノードで構成される Redis OSS クラスターを使用している場合、ルールは次のようになります。

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6380 -j DNAT --to 10.0.1.231:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6381 -j DNAT --to 10.0.1.232:6379

信頼済みクライアントがクラスターに接続できることを確認します。

信頼済みクライアントは、NAT インスタンスに関連付けられている EIP と、適切なクラスターノードに対応するクラスターポートに接続できる必要があります。たとえば、PHP の接続文字列は次のようになります。

redis->connect( '203.0.113.73', 6379 );
redis->connect( '203.0.113.73', 6380 );
redis->connect( '203.0.113.73', 6381 );

telnet クライアントを使用して接続を検証することもできます。例:

telnet 203.0.113.73 6379
telnet 203.0.113.73 6380
telnet 203.0.113.73 6381

iptables 設定を保存します。

ルールをテストし、検証してから保存します。Red Hat ベースの Linux ディストリビューション (Amazon Linux など) を使用している場合は、次のコマンドを実行します。

service iptables save