【AWS】あるEC2を経由して、VPC内の別のサービスにアクセスする方法

Question

背景

現在、EC2からRDSやOpenSearchのサービスを利用しています。
RDSやOpenSearchはそれぞれのURL（例：https://~~.ap-northeast-1.es.amazonaws.com 等）を持っていますが、
これらはVPC内のインスタンスからしかアクセスできません。

一応、RDSやOpenSearchにはパブリックアクセスを許可する設定がありますが、
切り替えができない（or難しい）ので、アクセスしたいときだけ一時的にパブリック許可のようなことがやりにくいです。

ですので、例えばEC2経由でリクエストを転送するような方法をとりたいと考えています。
ただ、やり方の検討が付かずに困っています。
もし、参考になりそうな情報がございましたら、教えていただけると助かります。

私がイメージしている抽象的な手順

• 独自ドメインでロードバランサーにアクセス　（例えば　https://**.mydomain.com　とする）
• ロードバランサーから、あるEC2にリクエストを転送
• あるEC2からVPC内の別のサービスにリクエストを転送

上記のような手順を考えていますが、もっと適切な方法があるかもしれません。。

実際にやりたいこと

OpenSearchのパブリックアクセスを許可している場合、
https://~~.ap-northeast-1.es.amazonaws.com/_dashboards
のURLでプラウザからアクセスすると、OpenSearchのダッシュボードを閲覧できます。

これを、以下のようなＵＲＬからロードバランサー・EC2を経由してアクセスできるようにしたいです。
https://**.mydomain.com/_dashboards

何かヒントになりそうな情報などありましたら、アドバイスいただけると幸いです。よろしくお願いします。

Answer 1

EC2でプロキシする例であれば自分が過去に書いた記事がありますので参考になれば幸いです。
VPC内に置いたElasticsearch ServiceにEC2のプロキシ経由でアクセスする
こちらではnginxを使っていますが、プロキシとして使えるものならなんでもいいと思います。
それこそsquidを使っても多分出来ると思います。

RDSはHTTPリクエストによるアクセスではないので、ポートフォワードを使うといいです。
こちらはRDSをパブリックにしないまま接続する方法としてはよくあるやり方です。
GUIクライアントなら大抵SSHを使ったポートフォワードがオプションで対応しているので調べてみてください。

GUIクライアントでないケースですが、以下はSSHでポートフォワードだけしてローカルのポートに対する接続を転送する例です。
上げた記事はやり方の一例です（sshコマンドで行う方法もあります）
RDSにSSHポートフォワーディングを利用して接続してみた
こちらはSSH接続にセッションマネージャーを使う例ですが、ポートフォワードする部分についてはやり方は同じです。
Systems Manager リモートホストへのポートフォワード機能を使って RDS for SQL Server に接続する

ちょっと趣旨はずれますが、OpenSearch ServiceはCognitoによる認証をかけられるので、セキュリティ面の問題をそちらでカバーすることもできます。
OpenSearch Dashboards の Amazon Cognito 認証の設定

Comments

[hatarson]

ご回答本当にありがとうございます。期待以上に知りたかった情報です。
また、RDSのアクセスについての情報や、OpenSearchのセキリティについても非常に参考になりました。

ひとまず、頂いた1つ目のリンクの方法試してみたいと思います！