Redashから別のAWSアカウントのDBに繋がらない際に確認するポイント3つ

こんにちは。リンクアンドモチベーション SRE グループの綿引と申します。

今回はRedashから別AWSアカウントのDBに対してアクセスできない際に確認するポイントをご紹介したいと思います。

ただ以下の背景の関係上「Redashサーバが存在するAWSアカウントと参照したいDBが存在するAWSアカウントは VPCピアリングで接続されている 」という前提で進めさせて頂きますので、その点はご容赦頂ければと思います。

背景

先日 「ある AWS アカウントの Redash から、別アカウントの Aurora に対しアクセスを可能にしたい」 という話があったので対応したのですが、このナレッジを残しておきたいと思ったことが背景となります。

尚、構成に関して次項に記載しているのですが、本記事を見て頂いている方の担当システムで全く同一の構成というケースは少ないかとは思いますのでご参考程度に見て頂ければと思います。

構成

構成について以下のような形です。

AWSアカウントAとBはVPCピアリングで接続しており、Redashに関しては EC2のdocker上に構築していているという構成です。

確認ポイント

1. ルートテーブル

まずはVPCピアリング内で使用されているルートテーブルです。
特にVPCピアリング設定直後になると思いますが、指定した各VPCのサブネットに紐付いているルートテーブルも設定変更が必要になるケースが多いと思うので設定が漏れていないか確認しましょう。

2. セキュリティグループ

次はセキュリティグループです。
DBに付与されているセキュリティグループに接続元のIPが追加されているか確認しましょう。
今回の構成だとRedashがインストールされているEC2のIPがAurora側で許可されているかとなります。

3. DBユーザ

続いてはDBユーザです。
今回は Aurora を使用しておりますが、RDS for MySQL も同様です。
データベース側のユーザでIP制限などを掛けている場合、Aurora 側で user と host を許可していなければならないため、接続可能な状態なのか設定を確認しましょう。

select user,host from mysql.user;
+------------------+-------------+
| user             | host        |
+------------------+-------------+
| root             | %           |
| mysql.sys        | localhost   |
| test             | 172.30.0.%  |  ← user,host が許可されているか（IPは適当です）
+------------------+-------------+