で説明したようにHashiCorp Vaultでは柔軟な権限設定ができますが、触っていて「え、こういう挙動・設定なの？」とハマった事がいくつかあったのでまとめます。
例えば
path "secret/foo*" {
capabilities = ["create"]
}
と権限を付与すれば、
のそれぞれでcreate権限が付与されます。
dockerのコンテナは指定したコマンドがPID 1で起動されており、使い方によってはシグナルハンドリングできないことがありますよ、という話です。
それによってプロセスをGracefulに終了できなかったりリソースリークが起きたりするので注意する必要があります。
こちらでとてもわかり易く説明されてます。
Dockerケースを要約すると、親、子、孫の3プロセスが起動している状態で
| ケース | 何が起きる | 問題点 |
|---|---|---|
| 親が死ぬ | 子も孫も強制的に死ぬ | 処理中リクエストを ハンドリングできない |
| 子が死ぬ | 孫は親に紐付けられるが、 親はそれを知らないので孫はゾンビになる |
リソースリーク |
という問題が起きます。
親、子だけのケースであれば前者が起きます。
少し前にECSのサービスディスカバリが東京リージョンにも登場しました。
Amazon ECS Service Discovery がフランクフルト、ロンドン、東京、シドニー、シンガポールの各リージョンで利用可能に
今回Terraformでの使い方を説明します。
まずnamespaceを用意します。実行するとRoute53のドメインとして登録されます。
今回ECSで使う＝内部アクセスのみなのでaws_service_discovery_private_dns_namespaceを利用します。
これはVPC内部からしかDNSクエリを叩けません。
resource "aws_vpc" "example" { cidr_block = "10.10.0.0/16" } resource "aws_service_discovery_private_dns_namespace" "example_internal" { name = "example.internal" description = "example" vpc = "${aws_vpc.example.id}" }
AWS: aws_service_discovery_private_dns_namespace - Terraform by HashiCorp
続きを読む