ある金融サービス企業は、us-east-1（プライマリ）とeu-central-1（セカンダリ）でクリティカルな決済処理アプリケーションを運用しています。過去のインシデント対応で部分的なフェイルオーバーによる3つの問題が

Question

ある金融サービス企業は、us-east-1（プライマリ）とeu-central-1（セカンダリ）でクリティカルな決済処理アプリケーションを運用しています。過去のインシデント対応で部分的なフェイルオーバーによる3つの問題が発生しました：(a) eu-central-1のAurora Global Databaseレプリカにレプリケーションラグがある状態でトラフィックが切り替わった、(b) eu-central-1のAuto Scalingグループが本番トラフィックを処理できる台数にスケールアップ完了する前にトラフィックが流入した、(c) 両リージョンで同時にトラフィックが有効になり二重処理が発生した。複数リソースタイプにわたる「本当の準備完了」の検証と、安全でない部分的フェイルオーバーの防止を同時に実現するソリューションはどれですか？

Accepted Answer

正解: Route 53 ARCのReadiness ChecksをAurora Global DatabaseとAuto Scalingグループに設定し、Routing Controlsに相互排他の安全ルールを定義してオペレーターが手動で切り替える。Route 53 Application Recovery Controller（ARC：アプリケーション復旧コントローラー）のReadiness Checks はエンドポイントの疎通確認にとどまらず、Aurora Global Database のレプリケーションラグや、Auto Scaling グループのキャパシティが参照セルと比較して十分かどうかなど、リソースレベルの「本番負荷への準備完了状態」を検証します。

Routing Controls の安全ルール（例：One-of＝どちらか一方のみアクティブ）は両リージョン同時有効を物理的に防ぎます。これにより過去の(a)(b)(c)の問題すべてを解決できます。

選択肢A の CloudWatch コンポジットアラームはリソースの健全性（エラーや閾値超過）を検出しますが、「本番トラフィック処理に必要な準備完了レベル」を評価できず、ALB が応答していても ASG のキャパシティが不十分な場合を検出できないため(b)を防げず、(c)の相互排他保証もありません。

選択肢C の Global Accelerator は HTTP レスポンスコードベースのヘルスチェックを提供しますが、Aurora のレプリケーションラグ検証や ASG キャパシティ比較、両リージョン同時有効を防ぐ安全ルールがないため(c)が再発します。

選択肢D の EventBridge + Lambda によるカスタム条件チェックは実装・維持が複雑で、ARC の構造化された Readiness Check 基準や相互排他安全ルールを独自実装することは困難です。

Answer

eu-central-1の全リソースに対してCloudWatchコンポジットアラームを作成し、すべてのアラームがOK状態になったときのみLambdaがRoute 53のフェイルオーバーレコードを自動更新する — CloudWatch コンポジットアラームはリソースの健全性（エラーや閾値超過）を検出しますが、「本番トラフィック処理に必要な準備完了レベル」を評価する機能はありません。ALB が応答していても ASG のキャパシティが不十分な場合などは検出できず、(b)の問題は防げません。また(c)の相互排他保証もありません。

Answer

AWS Global Acceleratorにヘルスチェックとエンドポイントグループのトラフィックダイヤルを設定し、eu-central-1のすべてのヘルスチェックが合格するまでダイヤルを0%に維持する — Global Accelerator は HTTP レスポンスコードベースのヘルスチェックを提供しますが、Aurora のレプリケーションラグ検証や ASG キャパシティ比較の概念を持ちません。また両リージョン同時有効を防ぐ安全ルール機能もないため(c)の問題が再発します。

Answer

EventBridgeルールでRDSとEC2のイベントを監視し、全条件が満たされたときにLambda関数がRoute 53の加重ルーティングのウェイトを変更してトラフィックを切り替える — EventBridge + Lambda によるカスタム条件チェックは実装・維持が複雑であり、ARC が提供する構造化された Readiness Check 基準や相互排他安全ルールに相当するものを独自実装することは困難です。

解説

解説