Amazon MQ for RabbitMQ のプライベートネットワーキング

プライベートネットワーキングにより、Amazon MQ for RabbitMQ ブローカーは VPC のプライベートリソースに接続できます。これらのリソースには、プライベート ID プロバイダー (LDAP または OAuth2)、他の Amazon MQ for RabbitMQ ブローカー、またはセルフホスト RabbitMQ ブローカーが含まれます。パブリックインターネットを経由することなく、リソースにプライベートに接続できます。

プライベートネットワーキングの仕組み

プライベートネットワーキングは、Amazon VPC Lattice、 AWS Resource Access Manager (AWS RAM)、および AWS PrivateLink を使用して、ブローカーを VPC 内のプライベート送信先に接続します。

セットアップには、次のコンポーネントが含まれます。

前提条件

プライベートネットワークを設定する前に、以下を確認してください。

プライベートネットワークの設定

Amazon MQ for RabbitMQ ブローカーのプライベートネットワークを設定するには、次の手順に従います。

ステップ 1: VPC Lattice リソースゲートウェイを作成する

プライベートリソースに到達できる VPC に VPC Lattice リソースゲートウェイを作成します。リソースゲートウェイは、透過的なプロキシとして機能します。ブローカーから設定された宛先にトラフィックをルーティングします。

詳細については、「Amazon VPC Lattice ユーザーガイド」の「リソースゲートウェイ」を参照してください。

ステップ 2: VPC Lattice リソース設定を作成する

ブローカーが到達する必要があるプライベート送信先を定義する 1 つ以上のリソース設定を作成します。各リソース設定は、リソースゲートウェイをセットアップした VPC 内から解決可能な IP アドレスまたは DNS 名を指定します。

オプションで、リソース設定にカスタムドメイン名を追加できます。ブローカーからの DNS 解決に使用できるのは、検証済みのドメイン名のみです。リソース設定に使用可能なドメイン名がない場合、Amazon MQ は DescribeSharedResources API オペレーションを通じて DNS 名を提供します。この DNS 名はブローカー設定で使用できます。

詳細については、「Amazon VPC Lattice ユーザーガイド」の「Resource configurations」を参照してください。

ステップ 3: RAM AWS リソース共有を作成する

AWS RAM リソース共有を作成し、VPC Lattice リソース設定を追加します。リソース共有は、Amazon MQ ブローカーに関連付けるものです。

詳細については、「 Resource AWS Access Manager ユーザーガイド」の「リソース共有の作成」を参照してください。

ステップ 4: リソース共有をブローカーに関連付ける

UpdateBroker API オペレーションを使用して、RAM AWS リソース共有をブローカーに関連付けます。リソース共有 ARNs のリストを指定することで、複数のリソース共有を関連付けることができます。

aws mq update-broker \
    --broker-id b-a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 \
    --resource-share-arns arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222

プレースホルダーを独自の値に置き換えます。

詳細については、Amazon MQ REST API リファレンスのUpdateBroker」を参照してください。

複数のリソース共有を関連付けるには、ARNsで区切ります。

aws mq update-broker \
    --broker-id b-a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 \
    --resource-share-arns arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE33333

ステップ 5: ブローカーを再起動する

ブローカーを再起動して、保留中のリソース共有の変更を適用します。再起動中、Amazon MQ はブローカーの VPC にリソース VPC エンドポイントを作成します。次に、プライベートリソースへのネットワークパスを確立します。

aws mq reboot-broker --broker-id b-a1b2c3d4-5678-90ab-cdef-EXAMPLE11111

再起動すると、単一インスタンスブローカーのダウンタイムと、クラスターブローカーの短い利用不能 (フェイルオーバー) が発生します。ブローカーが RUNNING状態に戻るのを待ってから次に進みます。これには通常 10～20 分かかります。

詳細については、Amazon MQ RebootBroker」を参照してください。

ステップ 6: セットアップを確認する

DescribeSharedResources API オペレーションを使用して、リソースが使用可能であることを確認します。これを使用して、ブローカー設定で使用する DNS 名を取得することもできます。

aws mq describe-shared-resources --broker-id b-a1b2c3d4-5678-90ab-cdef-EXAMPLE11111

セットアップが完了すると、リソース共有は AVAILABLE状態になります。各リソース設定には、関連付けられた DNS 名が表示されます。

詳細については、Amazon MQ REST API リファレンスの「DescribeSharedResources」を参照してください。

ユースケース

以下のセクションでは、プライベートネットワーキングの一般的なユースケースについて説明します。

プライベート ID プロバイダーへの接続

プライベートネットワークを使用して、ブローカーをパブリックインターネットに公開することなく、プライベート LDAP または OAuth2 ID プロバイダーに接続できます。プライベートネットワークを設定したら、ブローカーの認証設定で DescribeSharedResources API レスポンスの DNS 名を使用します。

認証の設定の詳細については、Amazon MQ for RabbitMQ の LDAP 認証と認可「」および「」を参照してくださいAmazon MQ for RabbitMQ に対する OAuth 2.0 の認証と認可。

別の Amazon MQ for RabbitMQ ブローカーへの接続

プライベートネットワークを使用して、Shovel または Federation プラグインを使用してブローカーを別の Amazon MQ for RabbitMQ ブローカーに接続できます。これにより、いずれのブローカーもパブリックインターネットに公開することなく、プライベートbroker-to-broker通信が可能になります。

別の Amazon MQ ブローカーのリソース設定を作成するときは、カスタムドメイン名としてブローカーエンドポイント ( などb-xxxx.mq.us-east-1.on.aws) を指定します。これにより、TLS 証明書の検証が成功します。RabbitMQ 4 以降では、Shovel 接続とフェデレーション接続に対してこの検証がデフォルトで適用されます。詳細については、「AMQP クライアント SSL 設定」を参照してください。

DescribeSharedResources API レスポンスの DNS 名を Shovel またはフェデレーション設定の送信先として使用します。

セルフホスト RabbitMQ ブローカーへの接続

プライベートネットワークを使用して、Shovel または Federation プラグインを使用して、Amazon MQ ブローカーを VPC 内のセルフホスト RabbitMQ ブローカーに接続できます。セルフホスト型ブローカーの IP アドレスまたは DNS 名を指すリソース設定を作成します。Shovel またはフェデレーション設定で DescribeSharedResources API レスポンスの DNS 名を使用します。

RabbitMQ 4 以降では、デフォルトで TLS 証明書ピア検証が適用されます。検証済みドメイン名を使用するか、設定を通じてピア検証をオフにする必要があります。詳細については、「AMQP クライアント SSL 設定」を参照してください。

共有リソースの変更

ブローカーに関連付けられたリソース共有はいつでも変更できます。更新されたリソース共有 ARN のリストを使用して UpdateBroker API オペレーションを呼び出します。 ARNs 変更は、次のブローカーの再起動後に有効になります。

ブローカーからすべてのリソース共有の関連付けを解除するには、リソース共有 ARNs の空のリストUpdateBrokerで を呼び出し、ブローカーを再起動します。

クォータ

プライベートネットワークには、次のクォータが適用されます。

リソースの状態

DescribeSharedResources API オペレーションを使用して、共有リソースの状態を確認します。次の表に、考えられる状態を示します。

トラブルシューティング