はじめに

今回はAmazon Web Services(以降、AWS)で、Amazon Route 53(以降、Route 53)用のAWS VPCエンドポイント(以降、VPCエンドポイント)を使用して、AWS DNSリソースを利用したDNS名制御によるHAクラスターの構築を試してみました。

従来は、Route 53を使用したDNS名制御によるHAクラスターを構築するためには、HAクラスターを構成するEC2インスタンスからインターネットへ接続できる必要がありました。これは、AWS DNSリソースがRoute 53のサービスエンドポイント「route53.amazonaws.com」を使用するために、通信先としてインターネット経由のアクセスが必要だったためです。

2025年11月より、Route 53のサービスエンドポイントはAWS PrivateLink(以降、PrivateLink)に対応しました。これにより、VPC上にRoute 53用のVPCエンドポイントを作成することで、EC2インスタンスはインターネットを経由せずにRoute 53へアクセスできるようになりました。
その結果、AWS DNSリソースを利用するHAクラスターでもEC2インスタンスからインターネットへの接続が不要となり、よりセキュアな環境を構築できるようになりました。

【参考】

Amazon Route 53 DNS サービスが AWS PrivateLink をサポート - AWS

https://aws.amazon.com/jp/about-aws/whats-new/2025/11/amazon-route-53-dns-service-aws-privatelink/

この記事の内容

1. VPCエンドポイントとは

VPCエンドポイントは、VPC内に作成することで、インターネットゲートウェイやNATゲートウェイを経由せずに、VPCとVPC外のAWSサービスをPrivateLinkでプライベート接続できるサービスです。

PrivateLinkおよびVPCエンドポイントの詳細は以下を参照ください。

【参考】

AWS PrivateLink の概念 - Amazon Virtual Private Cloud

https://docs.aws.amazon.com/ja_jp/vpc/latest/privatelink/concepts.html

PrivateLinkに対応しているAWSのサービスの詳細は以下を参照ください。

【参考】

AWS のサービス と統合する AWS PrivateLink - Amazon Virtual Private Cloud

https://docs.aws.amazon.com/ja_jp/vpc/latest/privatelink/aws-services-privatelink-support.html

なお、Route 53はレコード書き換え等を実施するコントロールプレーンがバージニア北部リージョンにのみ存在するため、Route 53用のVPCエンドポイントを作成する場合は、クロスリージョンエンドポイントを有効にし、バージニア北部リージョンを選択する必要があります。

2. HAクラスター構成

今回は、東京リージョンにDNS名制御によるHAクラスターを構築します。
Route 53用のVPCエンドポイントは可用性を考慮し、マルチAZの構成で作成します。

3. HAクラスター構築手順

3.1 HAクラスター構築の事前準備

3.1.1 VPCの設定

事前にVPCを作成します。VPCの構成は以下の通りです。なお、HAクラスターを構築するVPCの「DNS解決」と「DNSホスト名」の設定は、どちらも有効にしてください。設定が無効の場合、Route 53のサービスエンドポイント「route53.amazonaws.com」がVPCエンドポイントのプライベートIPアドレスに名前解決されません。

3.1.2 VPCエンドポイント用のセキュリティグループの作成

VPCエンドポイントに関連付けるセキュリティグループを作成します。
Route 53のAPIの実行時には、HAクラスターを構成する各EC2インスタンスで、Route 53のサービスエンドポイント「route53.amazonaws.com」に対してHTTPS通信をします。
そのため、VPCエンドポイントを作成する場合は、VPCエンドポイントに関連付けるセキュリティグループのインバウンドルールに、HAクラスターを構成するEC2インスタンスからのHTTPS通信を許可する必要があります。

今回作成したセキュリティグループの設定は以下のとおりです。

3.1.3 VPCエンドポイントの作成

Route 53用のVPCエンドポイントを作成します。

「プライベート DNS 名を有効化」が有効の場合、VPCのデフォルトDNSであるRoute 53 VPC Resolverに、Route 53のサービスエンドポイント「route53.amazonaws.com」と対応するVPCエンドポイントのプライベートIPアドレスが、Aレコードとして登録されます。
無効の場合、Route 53のサービスエンドポイント「route53.amazonaws.com」はパブリックIPアドレスに名前解決されます。

なお、独自のDNSサーバーを構築している場合は、Route 53のサービスエンドポイント「route53.amazonaws.com」がVPCエンドポイントのプライベートIPアドレスに名前解決できるように手動でレコードを設定する必要があります。

3.1.4 Route 53プライベートホストゾーンの作成

HAクラスターで使用する仮想ホスト名を登録する、Route 53プライベートホストゾーンを作成します。

3.1.5 EC2インスタンス用IAMロール・IAMポリシーの作成

HAクラスターを構成するEC2インスタンス用のIAMロールおよびIAMポリシーを作成します。
AWS DNSリソースおよびAWS DNSモニタリソースを使用するために、EC2インスタンスに与える権限は、VPCエンドポイントを使用する場合と使用しない場合で差異はありません。
必要な権限の詳細はスタートアップガイドを参照ください。

3.1.6 EC2インスタンスの作成

HAクラスターを構成するEC2インスタンスを作成します。

■Windows

■Linux

3.2 DNS名制御によるHAクラスターの構築

今回の検証ではCLUSTERPRO X 5.3(Windows：内部Ver. 13.31、Linux：内部Ver. 5.3.1-1)を利用しています。
「DNS名制御によるHAクラスター」を作成します。CLUSTERPROの構成は以下の通りです。CLUSTERPROのフェールオーバーグループには「AWS DNSリソース」と「ミラーディスクリソース」の2つを登録します。

■Windows

■Linux

AWS DNSリソースを使用したHAクラスター構築手順の詳細は、AWS構築ガイドを参照ください。

AWS DNSリソースに設定するTTLは、フェールオーバー等によってレコードを書き換えた後、仮想ホスト名の名前解決が正しく実施できるようになるまでの時間に影響します。詳細は以下を参照ください。

4. 動作確認

HAクラスターを構成する各EC2インスタンスで、Route 53のエンドポイントの名前解決ができること、および、フェールオーバーグループが起動できることを確認します。
併せて、nslookup 等を使用し、フェールオーバー前後で仮想ホスト名での接続先が切り替わることを確認します。

まとめ

今回はRoute 53用のVPCエンドポイントを使用して、AWS DNSリソースを利用したDNS名制御によるHAクラスターの構築を試してみました。
Route 53用のVPCエンドポイントを使用することで、AWS DNSリソースによるRoute 53のレコード書き換えをインターネットを経由せずに実行することができます。よりセキュアに構築したい場合は、本手順を参考にHAクラスターを構築してください。

利用製品

本記事の環境を構築する際に利用した製品です。

参考

CLUSTERPRO導入支援サービス(クラウドHAコンサル)ではオンプレミスやクラウド向けのクラスター構築支援サービスを行っております。クラスターの構築支援に関するご要望がありましたら、関連サービスの導入支援サービスの窓口までお問い合わせください。

お問い合わせ