😸

【Terraform】ECS起動時にEFSをマウントさせる方法

2023/01/22に公開

AWS

やりたいこと

EC2起動時にEFSを自動でマウントをしてくれるような構成をterraformで作成したい。

解決案

EC2のユーザーデータを使用することで、自動でマウントされるようにする。

構成図

EC2

ec2.tf

# ---------------------------
# Key Pair
# ---------------------------
resource "aws_key_pair" "app" {
  key_name   = "${var.app_name}_key_pair"
  public_key = file(var.public_key_path)
}


# ---------------------------
# EC2
# ---------------------------
# Amazon Linux 2 の最新版AMIを取得
data "aws_ssm_parameter" "amzn2_latest_ami" {
  name = "/aws/service/ami-amazon-linux-latest/amzn2-ami-hvm-x86_64-gp2"
}

resource "aws_instance" "app_1a" {
  ami                         = data.aws_ssm_parameter.amzn2_latest_ami.value
  instance_type               = "t2.micro"
  availability_zone           = var.az_a
  vpc_security_group_ids      = [aws_security_group.ec2_1a.id]
  subnet_id                   = aws_subnet.public_1a.id
  associate_public_ip_address = "true"
  key_name                    = aws_key_pair.app.id

  user_data = <<EOF
  #!/bin/bash
  sudo yum install -y amazon-efs-utils
  mkdir -p /var/www/html/efs
  sudo mount -t efs -o tls ${aws_efs_file_system.app.id}:/ /var/www/html/efs/
  EOF

  # efsマウントを作成してからEC2を作る
  depends_on = [
    aws_efs_mount_target.app_1a
  ]
}

resource "aws_instance" "app_1c" {
  ami                         = data.aws_ssm_parameter.amzn2_latest_ami.value
  instance_type               = "t2.micro"
  availability_zone           = var.az_c
  vpc_security_group_ids      = [aws_security_group.ec2_1c.id]
  subnet_id                   = aws_subnet.public_1c.id
  associate_public_ip_address = "true"
  key_name                    = aws_key_pair.app.id

  user_data = <<EOF
  #!/bin/bash
  sudo yum install -y amazon-efs-utils
  mkdir -p /var/www/html/efs
  sudo mount -t efs ${aws_efs_file_system.app.id} /var/www/html/efs
  EOF

  # efsマウントを作成してからEC2を作る
  depends_on = [
    aws_efs_mount_target.app_1c
  ]
}

user_dateの部分でマウントコマンドを叩く。user_dataの３行目にある/var/www/html/efsの部分は自分がデータを共有したいディレクトリを選択する。
マウントターゲットが作成される前にEC2を作成するとマウントに失敗するため、depend_onでマウントターゲットが作成された後にEC2を作成するように設定する。
それ以外は基本的なEC2の作成方法なので、説明は割愛する。

EFS

efs.tf

# ---------------------------
# EFS
# ---------------------------
resource "aws_efs_file_system" "app" {
  tags = {
    Name = "${var.app_name}-efs"
  }
}

resource "aws_efs_mount_target" "app_1a" {
  file_system_id  = aws_efs_file_system.app.id
  subnet_id       = aws_subnet.public_1a.id
  security_groups = [aws_security_group.efs.id]
}

resource "aws_efs_mount_target" "app_1c" {
  file_system_id  = aws_efs_file_system.app.id
  subnet_id       = aws_subnet.public_1c.id
  security_groups = [aws_security_group.efs.id]
}

各アベイラビリティゾーンでマウントターゲットを作成する。

VPC

vpc.tf

# ---------------------------
# VPC
# ---------------------------
resource "aws_vpc" "vpc" {
  cidr_block           = "10.0.0.0/16"
  enable_dns_hostnames = true # DNSホスト名を有効化する
  tags = {
    Name = "${var.app_name}-vpc"
  }
}

# ---------------------------
# Subnet
# ---------------------------
resource "aws_subnet" "public_1a" {
  vpc_id            = aws_vpc.vpc.id
  cidr_block        = "10.0.1.0/24"
  availability_zone = var.az_a
  map_public_ip_on_launch = true

  tags = {
    Name = "${var.app_name}-public-1a-sn"
  }
}

resource "aws_subnet" "public_1c" {
  vpc_id            = aws_vpc.vpc.id
  cidr_block        = "10.0.2.0/24"
  availability_zone = var.az_c

  tags = {
    Name = "${var.app_name}-public-1a-sn"
  }
}

# ---------------------------
# Internet Gateway
# ---------------------------
resource "aws_internet_gateway" "igw" {
  vpc_id = aws_vpc.vpc.id
  tags = {
    Name = "${var.app_name}-igw"
  }
}

# ---------------------------
# Route table
# ---------------------------
# Route table作成
resource "aws_route_table" "public_rt" {
  vpc_id = aws_vpc.vpc.id
  route {
    cidr_block = "0.0.0.0/0"
    gateway_id = aws_internet_gateway.igw.id
  }
  tags = {
    Name = "${var.app_name}-public-rt"
  }
}

resource "aws_route_table_association" "public_rt_associate" {
  subnet_id      = aws_subnet.public_1a.id
  route_table_id = aws_route_table.public_rt.id
}

resource "aws_route_table_association" "public_rt_associate_2" {
  subnet_id      = aws_subnet.public_1c.id
  route_table_id = aws_route_table.public_rt.id
}

# ---------------------------
# Security Group
# ---------------------------
# EC2(1a)
resource "aws_security_group" "ec2_1a" {
  name   = "${var.app_name}-ec2-sg-1a"
  vpc_id = aws_vpc.vpc.id
}

resource "aws_security_group_rule" "inbound_http_for_ec2_1a" {
  type              = "ingress"
  from_port         = 80
  to_port           = 80
  protocol          = "tcp"
  cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = aws_security_group.ec2_1a.id
}

resource "aws_security_group_rule" "inbound_ssh_for_ec2_1a" {
  type              = "ingress"
  from_port         = 22
  to_port           = 22
  protocol          = "tcp"
  cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = aws_security_group.ec2_1a.id
}

resource "aws_security_group_rule" "outbound_allow_all_for_ec2_1a" {
  type              = "egress"
  from_port         = 0
  to_port           = 0
  protocol          = "-1"
  cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = aws_security_group.ec2_1a.id
}

# EC2(1c)
resource "aws_security_group" "ec2_1c" {
  name   = "${var.app_name}-ec2-sg-1c"
  vpc_id = aws_vpc.vpc.id
}

resource "aws_security_group_rule" "inbound_http_for_ec2_1c" {
  type              = "ingress"
  from_port         = 80
  to_port           = 80
  protocol          = "tcp"
  cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = aws_security_group.ec2_1c.id
}

resource "aws_security_group_rule" "inbound_ssh_for_ec2_1c" {
  type              = "ingress"
  from_port         = 22
  to_port           = 22
  protocol          = "tcp"
  cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = aws_security_group.ec2_1c.id
}

resource "aws_security_group_rule" "outbound_allow_all_for_ec2_1c" {
  type              = "egress"
  from_port         = 0
  to_port           = 0
  protocol          = "-1"
  cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = aws_security_group.ec2_1c.id
}

#EFS
resource "aws_security_group" "efs" {
  name   = "${var.app_name}_EFS"
  vpc_id = aws_vpc.vpc.id

  ingress {
    from_port = 2049
    to_port   = 2049
    protocol  = "tcp"
    security_groups = [
      aws_security_group.ec2_1a.id,
      aws_security_group.ec2_1c.id,
    ]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

名前解決に失敗しないように、「DNS解決」「DNSホスト名」両方を有効にする必要がある。

variables.tf

# ---------------------------
# 変数設定
# ---------------------------
variable "az_a" {
  default = "ap-northeast-1a"
}

variable "az_c" {
  default = "ap-northeast-1c"
}

variable "public_key_path" {
  default = "パブリックキーのpath"
}

variable "app_name" {
  default = "handson"
}

main.tf

provider "aws" {
  region = "ap-northeast-1"
}

上記のファイルを全てコピーすることで、構成図のインフラが構成される。

検証

terraform applyした後、実際にEC2にEFSがマウントされているかどうかを確認する。
terraform applyをすると２台のEC2（1a, 1c）が作成されるので、各インスタンスにssh接続する。

設定したディレクトリに移動。（自分の場合だと/var/www/html/efs）
1aの方でtestディレクトリを作成し、1cの方で同期されているか確認する。

1aのEC2

1cのEC2
逆に1cの方でsampleディレクトリを作成し、1aの方で同期されているか確認する。

1cのEC2

1aのEC2
きちんとEC2にEFSがマウントされていることが確認できた。