高可用性アプリケーションでのロード バランシングの使用

アプリケーション アーキテクチャ

アプリケーションには、次の Compute Engine コンポーネントが含まれています。

• VPC ネットワーク: Google Cloud 内の仮想ネットワーク。独自のルートとファイアウォール ルールを介してグローバル接続を提供します。
• ファイアウォール ルール: Google Cloud ファイアウォールにより、インスタンスへのトラフィックを許可または拒否できます。
• インスタンス テンプレート: マネージド インスタンス グループに個々の VM インスタンスを作成するために使用されるテンプレート。
• リージョン マネージド インスタンス グループ: 複数のゾーンで同じアプリケーションを実行する VM インスタンスのグループ。
• グローバル静的外部 IP アドレス: 外部ネットワークでアクセス可能な、グローバル リソースに接続できる静的 IP アドレス。
• グローバル ロードバランサ: バックエンド インスタンスを複数のリージョンに分配できるようにするロードバランサ。ユーザーが同じアプリケーションやコンテンツにアクセスする必要がある状況で、1 つのエニーキャスト IP アドレスでアクセス権を付与する場合は、グローバル ロードバランサを使用します。
• ヘルスチェック: 個々の VM インスタンス上のアプリケーションの応答性を評価するためにロードバランサが使用するポリシー。

ウェブ アプリケーションを起動する

このチュートリアルでは、GitHub に保存されているウェブ アプリケーションを使用します。アプリケーションの実装方法の詳細については、GoogleCloudPlatform/python-docs-samples GitHub リポジトリをご覧ください。

インスタンス テンプレートに起動スクリプトを含めることで、インスタンス グループ内のすべての VM でウェブ アプリケーションを起動します。さらに、このチュートリアルのファイアウォール ルールがプロジェクトで実行されている既存のリソースに影響するのを避けるため、専用の VPC ネットワークでインスタンス グループを実行します。

VPC ネットワークの作成

VPC ネットワークを使用すると、プロジェクト内の既存のリソースが、このチュートリアル用に作成するリソースの影響を受けないように保護されます。VPC ネットワークは、ロードバランサを経由するように着信トラフィックを制限するためにも必要です。

VPC ネットワークを作成して、デモ ウェブ アプリケーション用のファイアウォール ルールをカプセル化するには、次の手順を行います。

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. [VPC ネットワークを作成] をクリックします。

3. [名前] に「web-app-vpc」と入力します。

4. [サブネット作成モード] を [自動] に設定します。

5. ページの下部にある [作成] をクリックします。

VPC ネットワークの作成が完了するのを待ちます。

ファイアウォール ルールを作成する

VPC ネットワークの作成が完了したら、VPC ネットワークへの HTTP トラフィックを許可するファイアウォール ルールを設定します。

1. Google Cloud コンソールで、[ファイアウォール] ページに移動します。

   [ファイアウォール] に移動

2. [ファイアウォール ルールを作成] をクリックします。

3. [名前] フィールドに「allow-web-app-http」と入力します。

4. [ネットワーク] を web-app-vpc に設定します。

5. [ターゲット] で、[ネットワーク上のすべてのインスタンス] を選択します。

6. [ソースフィルタ] を IPv4 ranges に設定します。

7. [ソース IP の範囲] に「0.0.0.0/0」と入力して、すべての IP アドレスに対しアクセスを許可します。

8. [プロトコルとポート] で [指定したプロトコルとポート] をオンにします。
   [TCP] をオンにして「80」と入力し、HTTP トラフィックのアクセスを許可します。

9. [作成] をクリックします。

インスタンス テンプレートを作成する

VM インスタンスのグループの作成に使用するテンプレートを作成します。テンプレートから作成された各インスタンスは、起動スクリプトによってデモ ウェブ アプリケーションを起動します。

1. Google Cloud Console で、[インスタンス テンプレート] ページに移動します。

   [インスタンス テンプレート] に移動

2. [インスタンス テンプレートを作成] をクリックします。

3. [名前] に「load-balancing-web-app-template」と入力します。

4. [マシンの構成] で、[マシンタイプ] を e2-micro に設定します。

5. [ファイアウォール] で、[HTTP トラフィックを許可する] をオンにします。

6. [詳細オプション] セクションを開きます。

7. [管理] セクションを開きます。

8. [自動化] セクションに、次の起動スクリプトを入力します。

   sudo apt update && sudo apt -y install git gunicorn3 python3-pip
   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
   cd python-docs-samples/compute/managed-instances/demo
   sudo pip3 install -r requirements.txt
   sudo gunicorn3 --bind 0.0.0.0:80 app:app --daemon
   

   このスクリプトは、VM インスタンスの起動時にウェブ アプリケーションを取得し、インストールして起動します。

9. [ネットワーキング] セクションを開きます。

10. [ネットワーク インターフェース] セクションで、[ネットワーク インターフェースを追加] をクリックし、ネットワーク web-app-vpc を選択します。これで、このテンプレートで作成された各インスタンスが、前のステップで作成したネットワークで必ず実行されるようになります。

11. [作成] をクリックします。

テンプレートの作成が完了するのを待ちます。

リージョン マネージド インスタンス グループを作成する

インスタンス テンプレートを使用してリージョン マネージド インスタンス グループを作成し、ウェブ アプリケーションを実行します。

1. Google Cloud コンソールの [インスタンス グループ] ページに移動します。

   [インスタンス グループ] に移動

2. [インスタンス グループを作成] をクリックします。

3. [新しいマネージド インスタンス グループ（ステートレス）] を選択します。

4. [名前] に「load-balancing-web-app-group」と入力します。

5. [インスタンス テンプレート] で [load-balancing-web-app-template] を選択します。

6. [インスタンス数] を「6」に設定します。このフィールドが無効になっている場合は、まず自動スケーリングをオフにします。

7. [ロケーション] で [複数のゾーン] を選択します。

8. [リージョン] で、[us-central1] を選択します。

9. [ゾーン] で、プルダウン リストから次のゾーンを選択します。

   • us-central1-b
   • us-central1-c
   • us-central1-f

10. [Allow instance redistribution] を選択します。

11. [自動スケーリング モード] で [オフ: 自動スケーリングしない] を選択します。

12. [作成] をクリックします。[インスタンス グループ] ページにリダイレクトされます。

13. インスタンスがデモ ウェブ アプリケーションを正常に実行していることを確認するには:

    1. [インスタンス グループ] ページで、load-balancing-web-app-group をクリックしてグループ内のインスタンスを表示します。

    2. [外部 IP] で IP アドレスをクリックして、そのインスタンスを接続します。新しいブラウザタブが開き、デモ ウェブ アプリケーションが表示されます。

       

       確認が終わったら、デモ ウェブ アプリケーションのブラウザタブを閉じます。

ロードバランサを構成する

ロードバランサを使用してトラフィックをウェブ アプリケーションに配信するには、すべての着信トラフィックを受信するために外部 IP アドレスを予約する必要があります。次に、その IP アドレスからのトラフィックを受け入れてインスタンス グループにリダイレクトするロードバランサを作成します。

静的 IP アドレスを予約する

グローバル静的外部 IP アドレスを使用して、すべてのユーザー トラフィックを受信する単一のエントリ ポイントをロードバランサのために用意します。関連付けられた Google Cloud リソースを変更、削除しても、Compute Engine は静的 IP アドレスを保持します。したがって、ウェブ アプリケーションの他の部分が変更されても、ウェブ アプリケーションは常に同じエントリ ポイントを持つことができます。

1. Google Cloud コンソールで、[外部 IP アドレス] ページに移動します。

   [外部 IP アドレス] に移動

2. [静的アドレスを予約] をクリックします。

3. [名前] に「web-app-ipv4」と入力します。

4. [IP バージョン] を IPv4 に設定します。

5. [タイプ] を [グローバル] に設定します。

6. [予約] をクリックします。

ロードバランサを作成する

このセクションでは、HTTP トラフィックを配信するグローバル ロードバランサを作成するために必要な手順について説明します。

このロードバランサは、フロントエンドを使用して着信トラフィックを受信し、バックエンドを使用してこのトラフィックを正常なインスタンスに配信します。ロードバランサは複数のコンポーネントで構成されるため、ロードバランサを作成するタスクは以下のステップに分かれます。

• バックエンドの構成
• フロントエンドの構成
• 確認と完了

これらのステップをすべて完了して、ロードバランサを作成します。

構成を開始する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. [ロードバランサを作成] をクリックします。
3. [ロードバランサの種類] で [アプリケーション ロードバランサ（HTTP / HTTPS）] を選択し、[次へ] をクリックします。
4. [インターネット接続または内部] で [インターネット接続（外部）] を選択し、[次へ] をクリックします。
5. [グローバルまたはシングル リージョンのデプロイ] で [グローバル ワークロードに最適] を選択し、[次へ] をクリックします。
6. [ロードバランサの世代] で [グローバル外部アプリケーション ロードバランサ] を選択し、[次へ] をクリックします。
7. [構成] をクリックします。

基本的な構成

1. [ロードバランサの名前] に「web-app-load-balancer」と入力します。

バックエンドの構成

1. [グローバル外部アプリケーション ロードバランサの作成] ページの左パネルで、[バックエンドの構成] をクリックします。
2. [バックエンド サービスとバックエンド バケットの作成または選択] をクリックして、プルダウン メニューを開きます。[バックエンド サービス] をクリックし、[バックエンド サービスを作成] をクリックします。
3. 新しいウィンドウで、バックエンド アプリケーションの [名前] に「web-app-backend」と入力します。
4. [インスタンス グループ] を load-balancing-web-app-group に設定します。
5. [ポート番号] を 80 に設定します。これにより、ロードバランサとインスタンス グループ間の HTTP トラフィックを許可することができます。
6. [分散モード] で、[使用率] を選択します。
7. [完了] をクリックすると、バックエンドが作成されます。

8. ロードバランサのバックエンドのヘルスチェックを作成します。

   1. [ヘルスチェック] で、プルダウン メニューから [ヘルスチェックを作成]（または [別のヘルスチェックを作成]）をクリックします。新しいウィンドウが開きます。
   2. 新しいウィンドウで、[名前] に「web-app-load-balancer-check」と入力します。
   3. [プロトコル] を HTTP に設定します。
   4. [ポート] に「80」と入力します。
   5. このチュートリアルでは、[リクエストパス] を /health に設定します。これは、デモウェブ アプリケーションが応答するように設定されているパスです。

   6. ヘルス条件を次のように設定します。

      1. [チェック間隔] を 3 秒に設定します。これは、プローブを開始してから次のブローブを開始するまでの時間です。
      2. [タイムアウト] を 3 秒に設定します。これは、Google Cloud でプローブに対するレスポンスを待ち受ける時間です。この値は、チェック間隔で設定した数値以下にする必要があります。
      3. [正常しきい値] を [2 回連続して成功] に設定します。これは、プローブが連続で成功するとインスタンスが正常であると判断される回数です。
      4. [異常しきい値] を [2 回連続して失敗] に設定します。これは、プローブが連続で失敗するとインスタンスに異常があると判断される回数です。

   7. [保存して次へ] をクリックすると、ヘルスチェックが作成されます。

9. [作成] をクリックすると、バックエンド サービスが作成されます。

フロントエンドの構成

1. [グローバル外部アプリケーション ロードバランサの作成] ページの左パネルで、[フロントエンドの構成] をクリックします。
2. [フロントエンドの設定] ページで、[名前] に「web-app-ipv4-frontend」と入力します。
3. [プロトコル] を HTTP に設定します。
4. [IP バージョン] を IPv4 に設定します。
5. [IP アドレス] を web-app-ipv4 に設定します。
6. [ポート] を 80 に設定します。
7. [完了] をクリックすると、フロントエンドが作成されます。

確認と完了

1. ロードバランサを作成する前に、負荷分散設定を確認します。

   1. [Create global external Application Load Balancer] ページの左パネルで、[確認と完了] をクリックします。

   2. [確認と完了] ページで、バックエンドが次のように設定されていることを確認します。

      • [バックエンド サービス] が web-app-backend。
      • [エンドポイント プロトコル] が HTTP。
      • [ヘルスチェック] が web-app-load-balancer-check。
      • [インスタンス グループ] が load-balancing-web-app-group。

   3. 同じページで、フロントエンドが使用する IP アドレスのプロトコルが HTTP になっていることを確認します。

2. [Create global external Application Load Balancer] ページの左パネルで [作成] をクリックすると、ロードバランサの作成が完了します。

ロードバランサの作成が完了するまで数分かかることがあります。

ゾーンの停止をシミュレートする

ゾーンの停止による広範囲の使用不能状態をシミュレートすることにより、ロードバランサの機能を観察できます。このシミュレーションを実行するには、指定したゾーンに存在するすべてのインスタンスに、/health リクエストパスの異常ステータスを強制的に報告させます。これらのインスタンスが異常ステータスを報告すると、負荷分散のヘルスチェックが失敗し、ロードバランサはそれらのインスタンスへのトラフィックの配信を停止するよう促されます。

1. ロードバランサがトラフィックを配信しているゾーンをモニタリングします。

   1. Google Cloud コンソールで、Cloud Shell に移動します。

      Cloud Shell を開く

      Google Cloud コンソールのペインで Cloud Shell が開きます。セッションの初期化に数秒かかることがあります。

   2. ロードバランサの静的外部 IP アドレスを保存します。

      1. ターミナルで次のコマンドを入力して、ロードバランサのフロントエンド転送ルールから外部 IP アドレスを取得します。

         gcloud compute forwarding-rules describe web-app-ipv4-frontend --global
         

         出力から EXTERNAl_IP_ADDRESS をコピーします。

         IPAddress: EXTERNAl_IP_ADDRESS
         ...
         

      2. ローカル bash 変数を作成します。

         export LOAD_BALANCER_IP=EXTERNAl_IP_ADDRESS
         

         ここで、EXTERNAl_IP_ADDRESS はコピーした外部 IP アドレスです。

   3. ロードバランサがトラフィックを配信しているゾーンをモニタリングするには、次の bash スクリプトを実行します。

      while true
      do
              BODY=$(curl -s "$LOAD_BALANCER_IP")
              NAME=$(echo -n "$BODY" | grep "load-balancing-web-app-group" | perl -pe 's/.+?load-balancing-web-app-group-(.+?)<.+/\1/')
              ZONE=$(echo -n "$BODY" | grep "us-" | perl -pe 's/.+?(us-.+?)<.+/\1/')
      
              echo $ZONE
      done
      

      このスクリプトは、ロードバランサのフロントエンドの IP アドレスを介してウェブ アプリケーションへの接続を継続的に試行し、個々の接続でウェブ アプリケーションが実行されているゾーンを出力します。

      結果の出力には、us-central1-b、us-central1-c、us-central1-f のゾーンが含まれているはずです。

      us-central1-f
      us-central1-b
      us-central1-c
      us-central1-f
      us-central1-f
      us-central1-c
      us-central1-f
      us-central1-c
      us-central1-c
      

      このターミナルは開いたままにしておきます。

2. モニタリングの実行中に、ゾーン停止のシミュレーションを開始します。

   1. Cloud Shell で、add [追加] ボタンをクリックして、2 番目のターミナル セッションを開きます。

   2. プロジェクト ID のローカル bash 変数を作成します。

      export PROJECT_ID=PROJECT_ID
      

      ここで、PROJECT_ID は、現在のプロジェクトのプロジェクト ID です。この値は Cloud Shell のすべての新しい行に表示されます。

      user@cloudshell:~ (PROJECT_ID)$
      

   3. 無効にするゾーンのローカル bash 変数を作成します。ゾーン us-central1-f の障害をシミュレートするには、次のコマンドを使用します。

      export DISABLE_ZONE=us-central1-f
      

      次に、以下の bash スクリプトを実行します。このスクリプトにより、使用不能になったゾーンのデモ ウェブ アプリケーション インスタンスは、ロードバランサのヘルスチェックに対して異常レスポンスを出力します。異常レスポンスにより、ロードバランサはこれらのインスタンスへのトラフィックの配信を停止します。

      export MACHINES=$(gcloud --project=$PROJECT_ID compute instances list --filter="zone:($DISABLE_ZONE)" --format="csv(name,networkInterfaces[0].accessConfigs[0].natIP)" | grep "load-balancing-web-app-group")
      for i in $MACHINES;
      do
        NAME=$(echo "$i" | cut -f1 -d,)
        IP=$(echo "$i" | cut -f2 -d,)
        echo "Simulating zonal failure for zone $DISABLE_ZONE, instance $NAME"
        curl -q -s "http://$IP/makeUnhealthy" >/dev/null --retry 2
      done
      

      その少し後で、ロードバランサは異常が発生したゾーンへのトラフィックの配信を停止します。そのため、最初のターミナル ウィンドウでは、ゾーン us-central1-f が出力リストに表示されなくなります。

      us-central1-c
      us-central1-c
      us-central1-c
      us-central1-b
      us-central1-b
      us-central1-c
      us-central1-b
      us-central1-c
      us-central1-c
      

      これは、ロードバランサが、正常でかつ応答しているインスタンスにのみトラフィックを配信していることを示します。

      両方のターミナルを開いたままにしておきます。

   4. 第 2 のターミナルで、復元するゾーンのローカル bash 変数を作成します。ゾーン us-central1-f へのトラフィックを復元するには、次のコマンドを使用します。

      export ENABLE_ZONE=us-central1-f
      

      次に、以下の bash スクリプトを実行します。このスクリプトにより、使用可能になったゾーンのデモ ウェブ アプリケーション インスタンスは、ロードバランサのヘルスチェックに対して正常レスポンスを出力します。正常レスポンスにより、ロードバランサはこれらのインスタンスへのトラフィックの配信を再開します。

      export MACHINES=$(gcloud --project=$PROJECT_ID compute instances list --filter="zone:($ENABLE_ZONE)" --format="csv(name,networkInterfaces[0].accessConfigs[0].natIP)" | grep "load-balancing-web-app-group")
      for i in $MACHINES;
      do
        NAME=$(echo "$i" | cut -f1 -d,)
        IP=$(echo "$i" | cut -f2 -d,)
        echo "Simulating zonal restoration for zone $ENABLE_ZONE, instance $NAME"
        curl -q -s "http://$IP/makeHealthy" >/dev/null --retry 2
      done
      

      数分で、1 つ目のターミナル ウィンドウの出力リストにゾーン us-central1-f が表示される回数が徐々に増えていきます。

      us-central1-b
      us-central1-b
      us-central1-c
      us-central1-f
      us-central1-c
      us-central1-c
      us-central1-b
      us-central1-c
      us-central1-f
      

      これは、ロードバランサが、元のように、すべてのゾーンに着信トラフィックを配信していることを示します。

      確認が終わったら、両方のターミナルを閉じます。

（省略可）着信トラフィックを制限する

リージョン マネージド インスタンス グループを作成すると、外部エフェメラル IP アドレスを介して各インスタンスに直接アクセスできます。しかし、ここではロードバランサと静的外部 IP アドレスを用意したので、着信トラフィックが必ずロードバランサを経由するようにネットワーク ファイアウォールを変更する方が適切です。

着信トラフィックがロードバランサを経由するように制限するには、ネットワーク ファイアウォールを変更して、各インスタンスのエフェメラル外部 IP アドレスを無効にします。

1. ファイアウォール ルールを編集して HTTP トラフィックを制限することで、ロードバランサを使用してのみウェブ アプリケーションにアクセスできるようにします。

   1. Google Cloud コンソールで、[ファイアウォール] ページに移動します。

      [ファイアウォール] に移動

   2. [名前] で allow-web-app-http をクリックします。

   3. [編集] をクリックします。

   4. [ソース IP 範囲] を変更して、ヘルスチェック プローブのみを許可します。

      1. 0.0.0.0/0 を削除します。
      2. 同じ行に「130.211.0.0/22」と入力して、Tab キーを押します。
      3. 同じ行に「35.191.0.0/16」と入力して、Tab キーを押します。

   5. [保存] をクリックします。

2. 特定のインスタンスにエフェメラル外部 IP アドレスを使用してウェブ アプリケーションに接続できないことを確認します。

   1. Google Cloud コンソールの [インスタンス グループ] ページに移動します。

      [インスタンス グループ] に移動

   2. load-balancing-web-app-group をクリックして、そのグループのインスタンスを表示します。

   3. [外部 IP] で IP アドレスをクリックして、そのインスタンスを接続します。新しいブラウザタブが開きますが、ウェブ アプリケーションは開きません（タイムアウト エラーがページに表示されます）。

      確認が終わったら、インスタンスのブラウザタブを閉じます。

3. ロードバランサを使用してウェブ アプリケーションに接続できることを確認します。

   1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

      [負荷分散] に移動

   2. [名前] で web-app-load-balancer をクリックし、作成したロードバランサを展開します。

   3. 外部静的 IP アドレスを介してウェブアプリに接続するには、[フロントエンド] および [IP:ポート] を見て、IP アドレスをコピーします。次に、新しいブラウザタブを開き、IP アドレスをアドレスバーに貼り付けます。次のように、デモ ウェブ アプリケーションが表示されます。

      

      ページを更新するたびに、ロードバランサが異なるゾーンの異なるインスタンスに接続することに注意してください。これは、インスタンスに直接接続していないためです。接続しているのはロードバランサであり、ロードバランサによってリダイレクト先のインスタンスが選択されます。

      確認が終わったら、デモ ウェブ アプリケーションのブラウザタブを閉じます。