翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# Cross-Region: Connectivity
このCross-Region: Connectivityシナリオを使用して、実験リージョンから送信先リージョンへのアプリケーションネットワークトラフィックをブロックし、Amazon S3 および Amazon DynamoDB マルチリージョングローバルテーブルのクロスリージョンレプリケーションを一時停止できます。クロスリージョン: 接続は、実験を実行するリージョン (実験リージョン**) からのアウトバウンドアプリケーショントラフィックに影響します。実験リージョン** (宛先リージョン**) から分離するリージョンからのステートレスインバウンドトラフィックはブロックされないことがあります。AWS マネージドサービスからのトラフィックはブロックされないことがあります。
このシナリオを使用して、宛先リージョンのリソースが実験リージョンからアクセスできない場合でも、マルチリージョンアプリケーションが想定どおりに動作することをデモンストレーションできます。これには、トランジットゲートウェイとルートテーブルをターゲットにすることにより、実験リージョンから宛先リージョンへのネットワークトラフィックをブロックすることが含まれます。また、S3 および DynamoDB グローバルテーブルのクロスリージョンレプリケーションを一時停止します。デフォルトで、ターゲットが見つからないアクションはスキップされます。
## アクション
次のアクションにより、含まれている AWS のサービスのクロスリージョン接続をブロックします。アクションは並列で実行されます。デフォルトで、シナリオは 3 時間トラフィックをブロックしますが、最大 12 時間まで増やすことができます。
### Transit Gateway の接続を中断する
Cross Region: Connectivity には [aws:network:transit-gateway-disrupt-cross-region-connectivity](https://docs.aws.amazon.com/fis/latest/userguide/fis-actions-reference.html#network-actions-reference) が含まれ、実験リージョン**の VPC からトランジットゲートウェイで接続された宛先リージョン**の VPC へのクロスリージョンネットワークトラフィックをブロックします。これは、実験リージョン**内の VPC エンドポイントへのアクセスには影響しませんが、実験リージョン**から宛先リージョン**の VPC エンドポイント宛てのトラフィックはブロックします。
このアクションは、実験リージョン**と宛先リージョン**を接続するトランジットゲートウェイをターゲットにしています。デフォルトで、`Allowed` の値を持つ `DisruptTransitGateway` という名前の[タグ](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-transit-gateways.html#tgw-tagging)のトランジットゲートウェイがターゲットになります。このタグをトランジットゲートウェイに追加するか、またはデフォルトタグを実験テンプレートの独自のタグに置き換えることができます。デフォルトで、有効なトランジットゲートウェイが見つからない場合、このアクションはスキップされます。
### サブネット接続を中断する
Cross Region: Connectivity には [aws:network:route-table-disrupt-cross-region-connectivity](https://docs.aws.amazon.com/fis/latest/userguide/fis-actions-reference.html#network-actions-reference) が含まれ、実験リージョン**の VPC から宛先リージョン**のパブリック AWS IP ブロックへのクロスリージョンネットワークトラフィックをブロックします。これらのパブリック IP ブロックには、宛先リージョン**の AWS のサービスエンドポイント (S3 リージョナルエンドポイントなど) と、マネージドサービスの AWS IP ブロック (ロードバランサーや Amazon API Gateway に使用される IP アドレスなど) が含まれます。このアクションは、実験リージョン**から宛先リージョン**へのクロスリージョン VPC ピアリング接続を介したネットワーク接続もブロックします。これは、実験リージョン**の VPC エンドポイントへのアクセスには影響しませんが、実験リージョン**から宛先リージョン**の VPC エンドポイント宛てのトラフィックはブロックします。
このアクションは、実験リージョンのサブネットをターゲットにしています。デフォルトで、`Allowed` の値を持つ `DisruptSubnet` という名前の[タグ](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html)のサブネットがターゲットになります。このタグをサブネットに追加するか、またはデフォルトタグを実験テンプレートの独自のタグに置き換えることができます。デフォルトで、有効なサブネットが見つからない場合、このアクションはスキップされます。
### VPC エンドポイント接続の中断
Cross Region: Connectivity には、ターゲット VPC エンドポイントに関連付けられたサービスへの [aws:network:disrupt-vpc-endpoint](https://docs.aws.amazon.com/fis/latest/userguide/fis-actions-reference.html#network-actions-reference) 中断接続が含まれています。たとえば、VPC エンドポイントが com.amazonaws.us-east-1.ec2 へのプライベートリンクを作成すると、そのサービスへの接続が中断されます。
このアクションは、実験リージョンの VPC エンドポイントをターゲットにします。デフォルトでは、値 を持つ DisruptVpcEndpoint という名前の[タグ](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html)を持つインターフェイス VPC エンドポイントをターゲットにします`Allowed`。このタグを VPC エンドポイントに追加するか、デフォルトのタグを実験テンプレートの独自のタグに置き換えることができます。デフォルトでは、有効な VPC エンドポイントが見つからない場合、このアクションはスキップされます。
### S3 レプリケーションを一時停止する
Cross Region: Connectivity には [aws:s3:bucket-pause-replication](https://docs.aws.amazon.com/fis/latest/userguide/fis-actions-reference.html#s3-actions-reference-fis) が含まれ、実験リージョン**からターゲットバケットの宛先リージョン**への S3 レプリケーションを一時停止します。宛先リージョン**から実験リージョン**へのレプリケーションには影響ありません。シナリオが終了した後、バケットのレプリケーションは一時停止した時点から再開されます。レプリケーションですべてのオブジェクトの同期を保つまでにかかる時間は、実験の期間と、バケットへのオブジェクトのアップロード速度に応じて異なることに注意してください。
このアクションは、宛先リージョンの S3 バケットに[クロスリージョンレプリケーション](https://docs.aws.amazon.com/AmazonS3/latest/userguide/replication.html) (CRR) が有効になっている実験リージョンの S3 バケットをターゲットにしています。デフォルトで、`Allowed` の値を持つ `DisruptS3` という名前の[タグ](https://docs.aws.amazon.com/AmazonS3/latest/userguide/view-bucket-properties.html)のバケットがターゲットになります。このタグをバケットに追加するか、またはデフォルトタグを実験テンプレートの独自のタグに置き換えることができます。デフォルトで、有効なバケットが見つからない場合、このアクションはスキップされます。
### DynamoDB レプリケーションを一時停止する
Cross-Region: Connectivity には [aws:dynamodb:global-table-pause-replication](https://docs.aws.amazon.com/fis/latest/userguide/fis-actions-reference.html#dynamodb-actions-reference) が含まれ、実験リージョンと、宛先リージョンを含め、他のすべてのリージョンとの間のレプリケーションを一時停止します。これにより、実験リージョン**とのレプリケーションは回避されますが、他のリージョン間のレプリケーションには影響しません。シナリオが終了した後、テーブルのレプリケーションは一時停止した時点から再開されます。レプリケーションですべてのデータの同期を保つまでにかかる時間は、実験の期間と、テーブルへの変更速度に応じて異なることに注意してください。
このアクションは、実験リージョン内の DynamoDB マルチリージョンと結果整合性のあるグローバルテーブルの両方をターゲットとします。デフォルトで、`Allowed` の値を持つ `DisruptDynamoDb` という名前の[タグ](https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/Tagging.html)のテーブルがターゲットになります。このタグをテーブルに追加することも、デフォルトタグを実験テンプレートの独自のタグに置き換えることもできます。デフォルトで、有効なグローバルテーブルが見つからない場合、このアクションはスキップされます。
### MemoryDB マルチリージョンレプリケーションを一時停止する
Cross-Region: Connectivity には、[aws:memorydb:multi-region-cluster-pause-replication](https://docs.aws.amazon.com/fis/latest/userguide/fis-actions-reference.html#memorydb-actions-reference) が含まれており、実験リージョンのリージョンメンバークラスターからターゲットのマルチリージョンクラスターの残りのクラスターへのレプリケーションを一時停止します。他のリージョンメンバークラスター間のレプリケーションは影響を受けません。シナリオが終了すると、レプリケーションは一時停止した時点から再開されます。レプリケーションがメンバークラスター間でデータを同期する時間は、実験の期間とクラスターに書き込まれるデータの割合によって異なることに注意してください。
このアクションは、実験リージョンのリージョンメンバーを持つ MemoryDB マルチリージョンクラスターをターゲットにします。デフォルトでは、値が `DisruptMemoryDB`の という名前の[タグ](https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/Tagging.html)を持つマルチリージョンクラスターを対象としています`Allowed`。このタグをマルチリージョンクラスターに追加するか、実験テンプレートのデフォルトタグを独自のタグに置き換えることができます。デフォルトで、有効なクラスターが見つからない場合、このアクションはスキップされます。
## 制限事項
+ このシナリオに[停止条件](https://docs.aws.amazon.com/fis/latest/userguide/stop-conditions.html)は含まれていません。アプリケーションに適した停止条件を実験テンプレートに追加する必要があります。
## 要件
+ AWS FIS [実験ロール](https://docs.aws.amazon.com/fis/latest/userguide/getting-started-iam-service-role.html)に必要なアクセス許可を追加します。
+ リソースタグは、実験のターゲットとなるリソースに適用する必要があります。独自のタグ付け規則を使用することも、シナリオで定義したデフォルトタグを使用することもできます。
## アクセス許可
次のポリシーは、Cross-Region: Connectivity シナリオを使用して実験を実行するために必要なアクセス許可を AWS FIS に付与しています。このポリシーを[実験ロール](https://docs.aws.amazon.com/fis/latest/userguide/getting-started-iam-service-role.html)にアタッチする必要があります。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "RouteTableDisruptConnectivity1",
"Effect": "Allow",
"Action": "ec2:CreateRouteTable",
"Resource": "arn:aws:ec2:*:*:route-table/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity2",
"Effect": "Allow",
"Action": "ec2:CreateRouteTable",
"Resource": "arn:aws:ec2:*:*:vpc/*"
},
{
"Sid": "RouteTableDisruptConnectivity21",
"Effect": "Allow",
"Action": "ec2:CreateTags",
"Resource": "arn:aws:ec2:*:*:route-table/*",
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateRouteTable",
"aws:RequestTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity3",
"Effect": "Allow",
"Action": "ec2:CreateTags",
"Resource": "arn:aws:ec2:*:*:network-interface/*",
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateNetworkInterface",
"aws:RequestTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity4",
"Effect": "Allow",
"Action": "ec2:CreateTags",
"Resource": "arn:aws:ec2:*:*:prefix-list/*",
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateManagedPrefixList",
"aws:RequestTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity5",
"Effect": "Allow",
"Action": "ec2:DeleteRouteTable",
"Resource": [
"arn:aws:ec2:*:*:route-table/*",
"arn:aws:ec2:*:*:vpc/*"
],
"Condition": {
"StringEquals": {
"ec2:ResourceTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity6",
"Effect": "Allow",
"Action": "ec2:CreateRoute",
"Resource": "arn:aws:ec2:*:*:route-table/*",
"Condition": {
"StringEquals": {
"ec2:ResourceTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity7",
"Effect": "Allow",
"Action": "ec2:CreateNetworkInterface",
"Resource": "arn:aws:ec2:*:*:network-interface/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity8",
"Effect": "Allow",
"Action": "ec2:CreateNetworkInterface",
"Resource": [
"arn:aws:ec2:*:*:subnet/*",
"arn:aws:ec2:*:*:security-group/*"
]
},
{
"Sid": "RouteTableDisruptConnectivity9",
"Effect": "Allow",
"Action": "ec2:DeleteNetworkInterface",
"Resource": "arn:aws:ec2:*:*:network-interface/*",
"Condition": {
"StringEquals": {
"ec2:ResourceTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity10",
"Effect": "Allow",
"Action": "ec2:CreateManagedPrefixList",
"Resource": "arn:aws:ec2:*:*:prefix-list/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity11",
"Effect": "Allow",
"Action": [
"ec2:DeleteManagedPrefixList",
"ec2:ModifyManagedPrefixList"
],
"Resource": "arn:aws:ec2:*:*:prefix-list/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/managedByFIS": "true"
}
}
},
{
"Sid": "EC2DescribeResources",
"Effect": "Allow",
"Action": [
"ec2:DescribeNetworkInterfaces",
"ec2:DescribeVpcs",
"ec2:DescribeVpcPeeringConnections",
"ec2:DescribeManagedPrefixLists",
"ec2:DescribeSubnets",
"ec2:DescribeRouteTables",
"ec2:DescribeVpcEndpoints",
"ec2:DescribeTransitGatewayPeeringAttachments",
"ec2:DescribeTransitGatewayAttachments",
"ec2:DescribeTransitGateways",
"ec2:DescribeSecurityGroups"
],
"Resource": "*"
},
{
"Sid": "RouteTableDisruptConnectivity14",
"Effect": "Allow",
"Action": "ec2:ReplaceRouteTableAssociation",
"Resource": [
"arn:aws:ec2:*:*:subnet/*",
"arn:aws:ec2:*:*:route-table/*"
]
},
{
"Sid": "RouteTableDisruptConnectivity15",
"Effect": "Allow",
"Action": "ec2:GetManagedPrefixListEntries",
"Resource": "arn:aws:ec2:*:*:prefix-list/*"
},
{
"Sid": "RouteTableDisruptConnectivity16",
"Effect": "Allow",
"Action": "ec2:AssociateRouteTable",
"Resource": [
"arn:aws:ec2:*:*:subnet/*",
"arn:aws:ec2:*:*:route-table/*"
]
},
{
"Sid": "RouteTableDisruptConnectivity17",
"Effect": "Allow",
"Action": "ec2:DisassociateRouteTable",
"Resource": "arn:aws:ec2:*:*:route-table/*",
"Condition": {
"StringEquals": {
"ec2:ResourceTag/managedByFIS": "true"
}
}
},
{
"Sid": "RouteTableDisruptConnectivity18",
"Effect": "Allow",
"Action": "ec2:DisassociateRouteTable",
"Resource": "arn:aws:ec2:*:*:subnet/*"
},
{
"Sid": "RouteTableDisruptConnectivity19",
"Effect": "Allow",
"Action": "ec2:ModifyVpcEndpoint",
"Resource": "arn:aws:ec2:*:*:route-table/*",
"Condition": {
"StringEquals": {
"ec2:ResourceTag/managedByFIS": "true"
}
}
},
{
"Sid": "TransitGatewayDisruptConnectivity1",
"Effect": "Allow",
"Action": [
"ec2:DisassociateTransitGatewayRouteTable",
"ec2:AssociateTransitGatewayRouteTable"
],
"Resource": [
"arn:aws:ec2:*:*:transit-gateway-route-table/*",
"arn:aws:ec2:*:*:transit-gateway-attachment/*"
]
},
{
"Sid": "S3CrossRegion1",
"Effect": "Allow",
"Action": "s3:ListAllMyBuckets",
"Resource": "*"
},
{
"Sid": "S3CrossRegion3",
"Effect": "Allow",
"Action": "s3:PauseReplication",
"Resource": "arn:aws:s3:::*",
"Condition": {
"StringLike": {
"s3:DestinationRegion": "*"
}
}
},
{
"Sid": "S3CrossRegion4",
"Effect": "Allow",
"Action": [
"s3:GetReplicationConfiguration",
"s3:PutReplicationConfiguration"
],
"Resource": "arn:aws:s3:::*",
"Condition": {
"BoolIfExists": {
"s3:isReplicationPauseRequest": "true"
}
}
},
{
"Sid": "DynamoDbPauseReplication",
"Effect": "Allow",
"Action": [
"dynamodb:DescribeTable",
"dynamodb:PutResourcePolicy",
"dynamodb:GetResourcePolicy",
"dynamodb:DeleteResourcePolicy"
],
"Resource": [
"arn:aws:dynamodb:*:*:table/*"
]
},
{
"Sid": "DynamoDbMrscPauseReplication",
"Effect": "Allow",
"Action": [
"dynamodb:InjectError"
],
"Resource": ["*"]
},
{
"Sid": "ResolveResourcesViaTags",
"Effect": "Allow",
"Action": "tag:GetResources",
"Resource": "*"
},
{
"Sid": "MemDbCrossRegion",
"Effect": "Allow",
"Action": [
"memorydb:DescribeMultiRegionClusters",
"memorydb:PauseMultiRegionClusterReplication"
],
"Resource": [
"arn:aws:memorydb::*:multiregioncluster/*"
]
},
{
"Sid": "DisruptVPCE1",
"Effect": "Allow",
"Action": "ec2:CreateSecurityGroup",
"Resource": [
"arn:aws:ec2:*:*:vpc/*",
"arn:aws:ec2:*:*:security-group/*"
]
},
{
"Sid": "DisruptVPCE2",
"Effect": "Allow",
"Action": "ec2:CreateTags",
"Resource": "arn:aws:ec2:*:*:security-group/*",
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateSecurityGroup",
"aws:RequestTag/managedByFIS": "true"
}
}
},
{
"Sid": "DisruptVPCE3",
"Effect": "Allow",
"Action": [
"ec2:DeleteSecurityGroup",
"ec2:RevokeSecurityGroupEgress"
],
"Resource": "arn:aws:ec2:*:*:security-group/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/managedByFIS": "true"
}
}
},
{
"Sid": "DisruptVPCE4",
"Effect": "Allow",
"Action": "vpce:AllowMultiRegion",
"Resource": "arn:aws:ec2:*:*:vpc-endpoint/*"
},
{
"Sid": "ModifyVPCE",
"Effect": "Allow",
"Action": "ec2:ModifyVpcEndpoint",
"Resource": [
"arn:aws:ec2:*:*:vpc-endpoint/*",
"arn:aws:ec2:*:*:security-group/*"
]
}
]
}
```
## シナリオのコンテンツ
次のコンテンツはシナリオを定義しています。この JSON を保存し、AWS コマンドラインインターフェイス (AWS CLI) から [create-experiment-template](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/fis/create-experiment-template.html) コマンドを使用して[実験テンプレート](https://docs.aws.amazon.com/fis/latest/userguide/experiment-templates.html)を作成するのに使用できます。シナリオの最新バージョンについては、FIS コンソールのシナリオライブラリを参照してください。
```
{
"targets": {
"Transit-Gateway": {
"resourceType": "aws:ec2:transit-gateway",
"resourceTags": {
"TgwTag": "TgwValue"
},
"selectionMode": "ALL"
},
"Subnet": {
"resourceType": "aws:ec2:subnet",
"resourceTags": {
"SubnetKey": "SubnetValue"
},
"selectionMode": "ALL",
"parameters": {}
},
"VPC-Endpoint": {
"resourceType": "aws:ec2:vpc-endpoint",
"resourceTags": {
"DisruptPrivateLink": "Allowed"
},
"selectionMode": "ALL"
},
"S3-Bucket": {
"resourceType": "aws:s3:bucket",
"resourceTags": {
"S3Impact": "Allowed"
},
"selectionMode": "ALL"
},
"DynamoDB-Global-Table": {
"resourceType": "aws:dynamodb:global-table",
"resourceTags": {
"DisruptDynamoDb": "Allowed"
},
"selectionMode": "ALL"
},
"MemoryDB-Multi-Region-Cluster": {
"resourceType": "aws:memorydb:multi-region-cluster",
"resourceTags": {
"DisruptMemoryDb": "Allowed"
},
"selectionMode": "ALL"
}
},
"actions": {
"Disrupt-Transit-Gateway-Connectivity": {
"actionId": "aws:network:transit-gateway-disrupt-cross-region-connectivity",
"parameters": {
"duration": "PT3H",
"region": "eu-west-1"
},
"targets": {
"TransitGateways": "Transit-Gateway"
}
},
"Disrupt-Subnet-Connectivity": {
"actionId": "aws:network:route-table-disrupt-cross-region-connectivity",
"parameters": {
"duration": "PT3H",
"region": "eu-west-1"
},
"targets": {
"Subnets": "Subnet"
}
},
"Disrupt-Vpc-Endpoint": {
"actionId": "aws:network:disrupt-vpc-endpoint",
"parameters": {
"duration": "PT3H"
},
"targets": {
"VPCEndpoints": "VPC-Endpoint"
}
},
"Pause-S3-Replication": {
"actionId": "aws:s3:bucket-pause-replication",
"parameters": {
"duration": "PT3H",
"region": "eu-west-1"
},
"targets": {
"Buckets": "S3-Bucket"
}
},
"Pause-DynamoDB-Replication": {
"actionId": "aws:dynamodb:global-table-pause-replication",
"parameters": {
"duration": "PT3H"
},
"targets": {
"Tables": "DynamoDB-Global-Table"
}
},
"Pause-MemoryDB-Multi-Region-Cluster-Replication": {
"actionId": "aws:memorydb:multi-region-cluster-pause-replication",
"parameters": {
"duration": "PT3H",
"region": "eu-west-1"
},
"targets": {
"MultiRegionClusters": "MemoryDB-Multi-Region-Cluster"
}
}
},
"stopConditions": [
{
"source": "none"
}
],
"roleArn": "",
"logConfiguration": {
"logSchemaVersion": 2
},
"tags": {
"Name": "Cross-Region: Connectivity"
},
"experimentOptions": {
"accountTargeting": "single-account",
"emptyTargetResolutionMode": "skip"
},
"description": "Block application network traffic from experiment Region to target Region and pause cross-Region replication"
}
```