Upgrade to Pro — share decks privately, control downloads, hide ads and more …

そんなことあるんだ AWS

hieki
July 22, 2019

そんなことあるんだ AWS

awswakaran.tokyo #1 で用いたスライドを一部修正したものになります。
間違えたことを言ってたら私を殴ってください。
PDF 化の影響で若干画像がズレてますがご愛嬌でよろしくおねがいします。

hieki

July 22, 2019
Tweet

Other Decks in Technology

Transcript

  1. - 前日譚 - アジェンダ(イマココ) - お前誰? - この話の目的 - Route53

    で取得した .jp ドメインの移管ロックを有効にしたかった話 - Terraform で管理していた ACM の DNS 検証用の CNAME レコードの Terraform State がある日突然ぶっ壊れた話 アジェンダ
  2. - @ksakahieki - K坂ひえき - オタク - 好きなサービス - DynamoDB

    - Aurora - CodeBuild - 一番好きなサービス - AWS Support お前誰?
  3. - Route53 のレジストラはほぼ Gandi - .com, .org, .net は Amazon

    Registrar, Inc. - Gandi は2文字 TLD のドメイン移管ロックをサ ポートしていない - こたえ
  4. - AWS の日本語ドキュメントが間違えていることも 時にはある - 直って欲しい!!! - Route53 で取得した .jp

    ドメインは移管ロック出 来ない - 気をつけましょうとしか…… 教訓
  5. - Route53 で .jp ドメインの移管ロックは使えない - Route53 の後ろには Gandi がいる

    - でも Route53 で .jp ドメインの移管ロックが有効になってし まっている場合が時にはある - 有効と表示されていても移管ロックは無効 - 有効と表示されてしまっているものがあればサポートへ まとめ
  6. - AWS Certificate Manager(ACM) で SSL/TLS 証明書を発行していた - ACM のドメイン所有権の検証を

    CNAME レコード を用いた DNS 検証でやっていた - 永遠に自動更新されて最高に便利 ACM で DNS 検証
  7. - AWS Certificate Manager(ACM) で SSL/TLS 証明書を発行していた - ACM のドメイン所有権の検証を

    CNAME レコード を用いた DNS 検証でやっていた - 永遠に自動更新されて最高に便利 - 証明書、CNAME レコード共に Terraform で管 理して平和に過ごしていた…… ACM で DNS 検証
  8. - IAM User を追加する素朴な変更を Terraform に加えようとし た - 突然「ACM の

    DNS 検証用に作っていた CNAME レコード に差分あるから変更するよ!!」って Terraform が言い 始めた - 想定外の差分が発生し、一旦 Terraform の操作を禁止 なにがおこった
  9. - ACM の DNS 検証に作っていた CNAME レコードの順番が突 然変わってしまった - 順番はランダムなので、Terraform

    を実行するたびに実行 結果が変わる - Route53 Record のリソース変更は Destroy & Create (一度削除した後に作り直す) - → つまり Terraform がリソースを破壊して作り直した り、そうじゃなかったりというガチャが発生 - それも us-east-1 リージョン限定で 状況整理
  10. - とにもかくにも aws-cli で API を叩いてみるしか無い…… - 色々調べた結果、ACM の `describe-certificate`

    って API が返す値の、 `DomainValidationOptions` ってアトリ ビュートの配列の中身が、ある日を境に順不同になるよう になっていた 原因調査
  11. - AWS 側で何かが変更されて、明らかに挙動が変わっている - us-east-1 で起こった現象が翌日に ap-northeast-1 でも 発生している -

    Issue を見るに、ヨーロッパリージョンでも発生 - どう見ても北バージニアで実験→全世界本番リリースが行 われているな??? そろそろ抱いてきた確信
  12. - ACM のとある API の返り値の順番が変更された - はじめは北バージニア、そして全世界へとデプロイされて いった - 全世界の

    Terraformer たちが騒いだ結果、AWS 側で暫 定的に修正が行われた - Terraform 側でソートを噛ませる実装は未だに merge さ れず…… - これのせいでお互いに二の足を踏んだ感がある - 寛大な措置をありがとう AWS まとめ