CloudFormationとAnsibleでEC2インスタンス構築時にOpenVPN構築してみた

以前に紹介した以下の記事で、AWS上のAmazonLinux2にOpenVPNサーバを構築しました。

AWS上のEC2でOpenVPNサーバを構築する
https://syachiku.net/ec2openvpn-1/

さらに以下の記事ではAnsibleを使ってコードによるOpenVPNサーバを構築いたしました。

AnsibleでOpenVPNのインストールをコード化する
https://syachiku.net/ansible-openvpn-install/

また、さらに以下の記事ではCloudFormationのUserdataを使ってパッケージをインストールしてみました。

AWS CloudFormationでEC2にUserdataでパッケージをインストールする
https://syachiku.net/ec2-userdata/

という事で今回はそれらを組み合わせて、CloudFormationとAnsibleでEC2インスタンス構築時にOpenVPNサーバを構築してみたいと思います。

基本的には

本記事の内容

1. 前提
2. 構築処理の流れ
3. 構築処理の流れ（図面）
4. CloudFormationテンプレート
5. Ansible Playbook
6. 実行してみる
7. 結果
8. まとめ
AWSを効率的に学習する方法
- ①AWS基礎学習
- ②AWS資格取得

1. 前提

AWS環境などはすでにある
GithubなどのリポジトリにAnsible Playbookが格納されている
- 今回私はCodeCommitを利用しています。

2. 構築処理の流れ

以下のような流れで処理していきます。

3や4の部分などをcfn-initに組み込んでデバックしやすくする事も今後検討したいと思ってますが、とりあえずは動作するものを作っていきます。

マネコンのCloudFormationからテンプレートをアップしてスタックを作成してEC2インスタンスを構築を開始
UserDataにて必要パッケージ(gitとansible)をインストール
git cloneでCodeCommitから/tmp配下にリポジトリ内容を配置
必要なファイルを/etc/ansibleにcopyする
cfn-initを呼び出して、ansible-playbookを実行してOpenVPNセットアップ
cfn-initによるセットアップが完了するとcfn-signalでスタック作成完了通知

3. 構築処理の流れ（図面）

図にするとこんな感じです。
gitで取得してからcopyしてますが、そのままコピーしても構成によっては大丈夫です。

4. CloudFormationテンプレート

基本的には以下の記事のテンプレートを利用しています。

AWS CloudFormationでEC2にUserdataでパッケージをインストールする
https://syachiku.net/ec2-userdata/

cfn-initの部分だけ修正しています。
適宜リポジトリ名を修正してください、またリポジトリ内のフォルダ構成に応じてCopyするファイルなども修正する必要があると思います。
一応、cfn-signalを受け取って完了となるまでのタイムアウトを15分に設定しています。

Resources:
  Ec2InstanceVPN:
    Type: AWS::EC2::Instance
    Metadata:
      Comment: install and setup openvpn by ansible-playbook
      AWS::CloudFormation::Init:
        configSets:
          InstallAndRun:
            - Install
        Install:
          commands:
            01_install_openvpn_by_ansible:
              command: "ansible-playbook /etc/ansible/site.yml"
              cwd : "/etc/ansible"
    Properties:
      IamInstanceProfile: !Ref IamInstanceProfile
      ImageId: !Ref ImageID
      KeyName: !Ref KeyPairName
      InstanceType: !Ref InstanceType
      NetworkInterfaces:
        - AssociatePublicIpAddress: True
          DeviceIndex: "0"
          SubnetId: !Ref InstanceSubnet
          GroupSet: !Ref SecurityGroupIds
      BlockDeviceMappings:
        - DeviceName: /dev/xvda
          Ebs:
            VolumeType: gp3
            VolumeSize: 80
      Tags:
        - { Key: Name, Value: !Sub "aws-infra-ec2-${Date}" }
        - { Key: Owner, Value: !Sub "aws-infra" }
      UserData:
        Fn::Base64:
          !Sub |
            #!/bin/bash -xe
            yum update -y

            # git clone
            yum install -y git
            export HOME=/root
            git config --global credential.helper '!aws codecommit credential-helper $@'
            git config --global credential.UseHttpPath true
            git clone -b <branch名> https://git-codecommit.xxxxxx.amazonaws.com/v1/repos/リポジトリ名 /tmp/リポジトリ名

            # install ansible and copy playbook
            amazon-linux-extras enable ansible2
            yum install -y ansible
            cp -rf /tmp/リポジトリ名/playbook/* /etc/ansible/

            # cfn-init
            /opt/aws/bin/cfn-init -v --stack ${AWS::StackName} --configsets InstallAndRun --resource Ec2InstanceVPN --region ${AWS::Region}

            # cfn-signal
            /opt/aws/bin/cfn-signal -e $? --stack ${AWS::StackName} --resource Ec2InstanceVPN --region ${AWS::Region}

    CreationPolicy:
      ResourceSignal:
        Timeout: PT15M