AWS Fargate 搭載の Amazon EKS で Amazon EFS を使用して、永続的なデータストレージでステートフルワークロードを実行する

Amazon EKS クラスターを作成します。

環境変数をエクスポートします。

env.sh スクリプトを実行します。これにより、次のステップで必要な情報が提供されます。

source ./scripts/env.sh
Inform the AWS Account ID:
<13-digit-account-id>
Inform your AWS Region:
<aws-Region-code>
Inform your Amazon EKS Cluster Name:
<amazon-eks-cluster-name>
Inform the Amazon EFS Creation Token:
<self-genereated-uuid>

まだ確認していない場合は、次の CLI コマンドを使用して、上記でリクエストされたすべての情報を取得できます。

# ACCOUNT ID
aws sts get-caller-identity --query "Account" --output text

# REGION CODE
aws configure get region

# CLUSTER EKS NAME
aws eks list-clusters --query "clusters" --output text

# GENERATE EFS TOKEN
uuidgen

アプリケーションワークロード用に Kubernetes 名前空間と Fargate プロファイルを作成します。

Amazon EFS とインタラクトするアプリケーションワークロードを受信する名前空間を作成します。create-k8s-ns-and-linked-fargate-profile.sh スクリプトを実行します。カスタム名前空間名を使用するか、デフォルトで指定された名前空間 poc-efs-eks-fargate を使用するかを選択できます。

カスタムアプリケーション名前空間名がある場合:

export $APP_NAMESPACE=<CUSTOM_NAME>
./scripts/epic01/create-k8s-ns-and-linked-fargate-profile.sh \
-c "$CLUSTER_NAME" -n "$APP_NAMESPACE"

カスタムアプリケーション名前空間名がない場合:

./scripts/epic01/create-k8s-ns-and-linked-fargate-profile.sh \
    -c "$CLUSTER_NAME"

ここで、$CLUSTER_NAME は Amazon EKS クラスターの名前です。-n <NAMESPACE> パラメータはオプションです。通知されない場合は、デフォルトで生成された名前空間名が提供されます。

一意のトークンを生成します。

Amazon EFS では冪等オペレーションを保証する作成トークンが必要です (同じ作成トークンでオペレーションを呼び出しても効果はありません)。この要件を満たすには、利用可能な方法で一意のトークンを生成する必要があります。例えば、作成トークンとして使用する汎用一意識別子 (UUID) を生成できます。

Amazon EFS ファイルシステムを作成します。

アプリケーションワークロードによって読み書きされるデータファイルを受信するファイルシステムを作成します。暗号化されたファイルシステムまたは暗号化されていないファイルシステムを作成できます。(ベストプラクティスとして、このパターンのコードはデフォルトで保存時の暗号化を有効化する暗号化システムを作成します。) 一意の対称 AWS KMS キーを使用して、ファイルシステムを暗号化できます。カスタムキーを指定しない場合は、AWS マネージドキーが使用されます。

Amazon EFS 用の一意のトークンを生成した後、create-efs.sh スクリプトを使用して暗号化された、または暗号化されていない Amazon EFS ファイルシステムを作成します。

KMS キーを使用しないで保存時に暗号化する場合:

./scripts/epic02/create-efs.sh \
    -c "$CLUSTER_NAME" \
    -t "$EFS_CREATION_TOKEN"

ここで、$CLUSTER_NAME は Amazon EKS クラスターの名前、$EFS_CREATION_TOKEN はファイルシステムの一意の作成トークンです。

KMS キーを使用して保存時に暗号化する場合:

./scripts/epic02/create-efs.sh \
    -c "$CLUSTER_NAME" \
    -t "$EFS_CREATION_TOKEN" \
    -k "$KMS_KEY_ALIAS"

ここで、$CLUSTER_NAME は Amazon EKS クラスターの名前、$EFS_CREATION_TOKEN はファイルシステムの一意の作成トークン、$KMS_KEY_ALIAS は KMS キーのエイリアスです。

暗号化しない場合:

./scripts/epic02/create-efs.sh -d \
    -c "$CLUSTER_NAME" \
    -t "$EFS_CREATION_TOKEN"

ここで、$CLUSTER_NAME は Amazon EKS クラスターの名前、$EFS_CREATION_TOKEN はファイルシステムの一意の作成トークン、–d は保存時の暗号化を無効にします。

セキュリティグループを作成します。

Amazon EKS クラスターが Amazon EFS ファイルシステムにアクセスできるようにするセキュリティグループを作成します。

セキュリティグループのインバウンドルールを更新します。

セキュリティグループのインバウンドルールを更新して、以下の設定で受信トラフィックを許可します。

各プライベートサブネットのマウントターゲットを追加します。

Kubernetes クラスターの各プライベートサブネットに、ファイルシステムとセキュリティグループのマウントターゲットを作成します。

Amazon EFS CSI ドライバーをデプロイします。

Amazon EFS CSI ドライバーをクラスターにデプロイします。ドライバーは、アプリケーションが作成した永続ボリューム要求に従ってストレージをプロビジョニングします。create-k8s-efs-csi-sc.sh スクリプトを実行して、Amazon EFS CSI ドライバーとストレージクラスをクラスターにデプロイします。

./scripts/epic03/create-k8s-efs-csi-sc.sh

このスクリプトは kubectl ユーティリティを使用するため、コンテキストが設定され、目的の Amazon EKS クラスターを指していることを確認してください。

ストレージクラスをデプロイします。

Amazon EFS プロビジョナー (efs.csi.aws.com) のクラスターにストレージクラスをデプロイします。

永続的ボリュームをデプロイします。

永続ボリュームをデプロイし、作成したストレージクラスと Amazon EFS ファイルシステムの ID にリンクします。アプリケーションは永続ボリュームを使用してコンテンツの読み取りと書き込みをします。ストレージフィールドでは任意のサイズの永続ボリュームを指定できます。Kubernetes ではこのフィールドが必要ですが、Amazon EFS は伸縮性のあるファイルシステムであるため、ファイルシステムの容量は強制しません。永続ボリュームは暗号化の有無にかかわらずデプロイできます。(Amazon EFS CSI ドライバーは、ベストプラクティスとしてデフォルトで暗号化が有効化されています。) deploy-poc-app.sh スクリプトを実行して、永続ボリューム、永続ボリューム要求、および 2 つのワークロードをデプロイします。

転送時の暗号化の場合:

./scripts/epic04/deploy-poc-app.sh \
    -t "$EFS_CREATION_TOKEN"

ここで、$EFS_CREATION_TOKEN はファイルシステムの一意の作成トークンです。

転送時に暗号化しない場合:

./scripts/epic04/deploy-poc-app.sh -d \
    -t "$EFS_CREATION_TOKEN"

ここで、$EFS_CREATION_TOKEN はファイルシステムの一意の作成トークンで、–d は転送時の暗号化を無効化します。

アプリケーションが要求した永続ボリューム要求をデプロイします。

アプリケーションが要求した永続ボリューム要求をデプロイし、ストレージクラスにリンクします。前に作成した永続ボリュームと同じアクセスモードを使用します。ストレージフィールドでは任意のサイズの永続ボリューム要求を指定できます。Kubernetes ではこのフィールドが必要ですが、Amazon EFS は伸縮性のあるファイルシステムであるため、ファイルシステムの容量は強制しません。

ワークロード 1 をデプロイします。

アプリケーションのワークロード 1 を表すポッドをデプロイします。このワークロードは /data/out1.txt ファイルにコンテンツを書き込みます。

ワークロード 2 をデプロイします。

アプリケーションのワークロード 2 を表すポッドをデプロイします。このワークロードは /data/out2.txt ファイルにコンテンツを書き込みます。

PersistentVolume のステータスを確認します。

PersistentVolume のステータスを確認するには、次のコマンドを入力します。

kubectl get pv

出力の例として、「追加情報」セクションを参照してください。

PersistentVolumeClaim のステータスを確認します。

PersistentVolumeClaim のステータスを確認するには、次のコマンドを入力します。

kubectl -n poc-efs-eks-fargate get pvc

出力の例として、「追加情報」セクションを参照してください。

ワークロード 1 がファイルシステムに書き込みできることを確認します。

次のコマンドを入力して、ワークロード 1 が /data/out1.txt に書き込んでいることを検証します。

kubectl exec -ti poc-app1 -n poc-efs-eks-fargate -- tail -f /data/out1.txt

結果は次のようになります。

...
Thu Sep  3 15:25:07 UTC 2023 - PoC APP 1
Thu Sep  3 15:25:12 UTC 2023 - PoC APP 1
Thu Sep  3 15:25:17 UTC 2023 - PoC APP 1
...

ワークロード 2 がファイルシステムに書き込みできることを確認します。

次のコマンドを入力して、ワークロード 2 が /data/out2.txt に書き込んでいることを検証します。

kubectl -n $APP_NAMESPACE exec -ti poc-app2 -- tail -f /data/out2.txt

結果は次のようになります。

...
Thu Sep  3 15:26:48 UTC 2023 - PoC APP 2
Thu Sep  3 15:26:53 UTC 2023 - PoC APP 2
Thu Sep  3 15:26:58 UTC 2023 - PoC APP 2
...

ワークロード 1 がワークロード 2 によって書き込まれたファイルを読み取れることを検証します。

ワークロード 1 がワークロード 2 によって書き込まれた /data/out2.txt ファイルを読み取れることを検証するには、以下のコマンドを入力します。

kubectl exec -ti poc-app1 -n poc-efs-eks-fargate -- tail -n 3 /data/out2.txt

結果は次のようになります。

...
Thu Sep  3 15:26:48 UTC 2023 - PoC APP 2
Thu Sep  3 15:26:53 UTC 2023 - PoC APP 2
Thu Sep  3 15:26:58 UTC 2023 - PoC APP 2
...

ワークロード 2 がワークロード 1 によって書き込まれたファイルを読み取れることを検証します。

ワークロード 2 がワークロード 1 によって書き込まれた /data/out1.txt ファイルを読み取れることを検証するには、以下のコマンドを入力します。

kubectl -n $APP_NAMESPACE exec -ti poc-app2 -- tail -n 3 /data/out1.txt

結果は次のようになります。

...
Thu Sep  3 15:29:22 UTC 2023 - PoC APP 1
Thu Sep  3 15:29:27 UTC 2023 - PoC APP 1
Thu Sep  3 15:29:32 UTC 2023 - PoC APP 1
...

アプリケーションコンポーネントを削除する後もファイルが保持されることを確認します。

次に、スクリプトを使用してアプリケーションコンポーネント (永続ボリューム、永続ボリューム要求、ポッド) を削除し、ファイル /data/out1.txt と /data/out2.txt がファイルシステムに保持されていることを確認します。次のコマンドを使用して、validate-efs-content.sh スクリプトを実行します。

./scripts/epic05/validate-efs-content.sh \
    -t "$EFS_CREATION_TOKEN"

ここで、$EFS_CREATION_TOKEN はファイルシステムの一意の作成トークンです。

結果は次のようになります。

pod/poc-app-validation created
Waiting for pod get Running state...
Waiting for pod get Running state...
Waiting for pod get Running state...
Results from execution of 'find /data' on validation process pod:
/data
/data/out2.txt
/data/out1.txt

アプリケーションログを監視します。

2 日目のオペレーションの一環として、監視用に Amazon CloudWatch にアプリケーションログを送信します。

Container Insights で、Amazon EKS と Kubernetes コンテナを監視します。

2 日目のオペレーションの一環として、Amazon CloudWatch Container Insights を使用して Amazon EKS システムと Kubernetes システムを監視します。このツールは、コンテナ化されたアプリケーションから、さまざまなレベルとディメンションでメトリクスを収集、集計、要約します。詳細については、「関連リソース」セクションを参照してください。

CloudWatch で Amazon EFS を監視します。

2 日目のオペレーションの一環として、Amazon CloudWatch を使用して ファイルシステムを監視し、Amazon EFS から生データを収集し、リアルタイムに近い読み取り可能なメトリクスに処理します。詳細については、[関連リソース]セクションを参照してください。

パターン用に作成されたすべてのリソースをクリーンアップします。

このパターンを完了したら、AWS 料金が発生しないようにすべてのリソースをクリーンアップします。PoC アプリケーションの使用が終了したら、clean-up-resources.sh スクリプトを実行してすべてのリソースを削除します。次のいずれかのオプションを完了します。

KMS キーを使用して保存時に暗号化する場合:

./scripts/epic06/clean-up-resources.sh \
    -c "$CLUSTER_NAME" \
    -t "$EFS_CREATION_TOKEN" \
    -k "$KMS_KEY_ALIAS"

ここで、$CLUSTER_NAME は Amazon EKS クラスターの名前、$EFS_CREATION_TOKEN はファイルシステムの作成トークン、$KMS_KEY_ALIAS は KMS キーのエイリアスです。

保存時に暗号化しない場合:

./scripts/epic06/clean-up-resources.sh \
    -c "$CLUSTER_NAME" \
    -t "$EFS_CREATION_TOKEN"

ここで、$CLUSTER_NAME は Amazon EKS クラスターの名前、$EFS_CREATION_TOKEN はファイルシステムの作成トークンです。