【実践】Rancherで本番運用するには

2022年8月18日

はじめに

今回は、Rancherとはどういうものかについてご紹介すると共に、本番での運用前に必ず押さえておきたい、Rancher環境での暗号化通信・証明書の発行手順についてご紹介いたします。

Rancherとは？

Rancherは、軽量な仮想化を実現するDockerをより便利に利用するため、アメリカのRancher Labs,Inc.が開発したコンテナオーケストレーションのためのソフトウェアです。
OSSとしての利用が可能で、有償でサポートを受けることもできます。

Rancherの利点

Rancherについて考えると同時に、どうしてDockerのようなコンテナ型仮想化が注目されるようになったのかにも目を向けてみましょう。

一番の理由は”軽量な仮想化”というところにあるように思います。
軽量な仮想化と聞くとそれだけかと思いがちですが、軽量であるということは、今まで時間やコスト、手間がかかって出来なかったことができるようになるということです。

例えば、「本番運用を見据えた環境で開発をしたい」「開発と運用を別ものとせず、リリースサイクルを速めたい」などといった、従来は潤沢な開発リソースが必要とされた開発プロセスがより手軽に実現可能となります。
そして、高度な開発プロセスが手軽に扱えるようになることで、サービス品質の向上により注力することができるようになります。
つまり、”軽量な仮想化”にはサービス利用者・サービス提供者共にメリットが生まれる可能性が秘められているのです。

ただし、高度な開発プロセスは、”軽量な仮想化”というだけで実現できません。
高度な開発プロセスを扱うためのスキルやノウハウ、導入コストがかかってきます。
それらを極力抑えるためにRancherのようなソフトウェアが開発されたと考えています。

本番運用と暗号化通信

Rancherの運用を開始するにあたり、SSL/TLS証明書の扱いと更新の自動化についてご紹介していきます。

ウェブを「よりセキュアに」という風潮

近年はHTTPSでウェブサービスを提供することが当たり前になってきました。
それはブラウザでの閲覧だけでなく、スマートフォンアプリ内からWebAPIを使用する際も、HTTPSではないサービスに対してそのままの設定では通信すらできなくなってきています。

証明書発行に関する事情

一方でSSL/TLS証明書の発行には、1ドメインあたり最低でも年間1,000円程度の費用がかかります。
サービス提供者にSSL/TLS証明書を利用することが望まれる中、これらを発行するための環境はどのように変化してきているでしょうか。

AWSではAWS Certificate Managerというサービスで証明書を発行・管理することができるようになりました。
Let’s Encryptという、”すべてのWorld Wide WebにTLS接続ができるようにすること”を目的としたプロジェクトが2016年4月12日に正式にサービスインし、現在も継続しています。

上記は共に無料でSSL/TLS証明書が発行できます。
これらのサービスによりTLS接続の敷居は格段に低くなったと言えるでしょう。

証明書発行の自動化と制限

それでは、従来費用がかかっていたものがなぜ無料で利用できるようになったのでしょうか？
それは証明書の発行作業を自動化するため、ACMEプロトコルという形で手続きが整理されたことが大きな理由として挙げられます。

ただし、このような無料SSL/TLS証明書の発行には、従来になかった制限が含まれます。

AWS Certificate Managerで作成した証明書は、Elastic Load BalancingおよびAmazon CloudFront以外のサービスで利用することはできない。
Let’s Encryptで作成した証明書の有効期限は90日と短い。(従来は1年での運用が主)
Let’s Encryptはワイルドカード証明書の発行をサポートしていない。
証明書取得のAPIにRateLimitsがある。
証明書の種類はDVのみ対応。(DV[Domain Validation] => ドメインの所有を確認して発行)

一見制限が多いように見えるLet’s Encryptですが、Rancherに備わっている証明書の管理機構と組み合わせることで、非常に強力な仕組みに一変します。