EC2 + Pacemaker/Corosync HA クラスタ ハンズオン

EC2 コンソールから以下の設定で 2 台起動します（node1 / node2）。

クラスタ内通信のため、同一セキュリティグループ内（自己参照）で全トラフィックを許可するか、最低限以下を開けます。

# node1 で
sudo hostnamectl set-hostname node1
# node2 で
sudo hostnamectl set-hostname node2

# 両ノードの /etc/hosts に追記
sudo tee -a /etc/hosts <<'EOF'
10.0.1.11  node1
10.0.1.12  node2
EOF

IAM コンソールでポリシー ha-cluster-policy を作成し、以下を貼り付けます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AwsVip",
      "Effect": "Allow",
      "Action": [
        "ec2:AssignPrivateIpAddresses",
        "ec2:UnassignPrivateIpAddresses",
        "ec2:DescribeNetworkInterfaces"
      ],
      "Resource": "*"
    },
    {
      "Sid": "FenceAws",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeTags",
        "ec2:RebootInstances",
        "ec2:StopInstances",
        "ec2:StartInstances"
      ],
      "Resource": "*"
    }
  ]
}

信頼されたエンティティ「EC2」でロール ha-cluster-role を作成し、上記ポリシーをアタッチします。EC2 コンソールで node1 / node2 それぞれを選択 →「アクション」→「セキュリティ」→「IAM ロールを変更」で割り当てます。

EC2 コンソールで各インスタンス →「アクション」→「ネットワーキング」→「ソース/宛先チェックを変更」→ 「停止」にチェック。VIP 宛のトラフィックを正しく受けるために必要です。

awsvip / fence_aws は内部で AWS CLI / API を使います。

sudo dnf install -y awscli   # または awscli2
aws sts get-caller-identity   # ロールが効いているか確認

Rocky / AlmaLinux / RHEL 9 では HA 系パッケージは専用リポジトリにあります。

sudo dnf config-manager --set-enabled highavailability
# RHEL の場合: subscription-manager で HA リポジトリを有効化

sudo dnf install -y pacemaker pcs resource-agents fence-agents-aws

• pacemaker — クラスタリソースマネージャー
• pcs — 設定 CLI と pcsd デーモン
• resource-agents — IPaddr2 / awsvip / apache などのエージェント
• fence-agents-aws — STONITH 用 fence_aws

インストール時に作成される hacluster ユーザーに同じパスワードを両ノードで設定します。

sudo systemctl enable --now pcsd
echo "hacluster:YourClusterP@ss" | sudo chpasswd

sudo dnf install -y httpd
# ノードを判別できるよう、各ノードで異なるテストページを置いておく
echo "<h1>Served by $(hostname)</h1>" | sudo tee /var/www/html/index.html

# Pacemaker の監視用 status ページ設定
sudo tee /etc/httpd/conf.d/serverstatus.conf <<'EOF'
<Location /server-status>
    SetHandler server-status
    Require local
</Location>
EOF

sudo pcs host auth node1 node2 -u hacluster -p YourClusterP@ss

node1: Authorized / node2: Authorized と表示されれば成功です。

sudo pcs cluster setup ha_cluster node1 node2

# クラスタを起動し、自動起動を有効化
sudo pcs cluster start --all
sudo pcs cluster enable --all

sudo pcs status

出力例（STONITH 未設定なので警告が出ますが、次のステップで設定します）。

Cluster name: ha_cluster
Cluster Summary:
  * Stack: corosync
  * Current DC: node1 (version ...) - partition with quorum
Node List:
  * Online: [ node1 node2 ]

# 各ノードで自分のインスタンス ID を確認（IMDSv2）
TOKEN=$(curl -sX PUT "http://169.254.169.254/latest/api/token" \
  -H "X-aws-ec2-metadata-token-ttl-seconds: 60")
curl -s -H "X-aws-ec2-metadata-token: $TOKEN" \
  http://169.254.169.254/latest/meta-data/instance-id; echo

node1 / node2 のインスタンス ID（例: i-0aaa... / i-0bbb...）を控えます。

pcmk_host_map で「Pacemaker のノード名 = EC2 インスタンス ID」を対応付けます。

sudo pcs stonith create clusterfence fence_aws \
  region=ap-northeast-1 \
  pcmk_host_map="node1:i-0aaaaaaaaaaaaaaaa;node2:i-0bbbbbbbbbbbbbbbb" \
  power_timeout=120 \
  pcmk_reboot_timeout=180 \
  pcmk_reboot_retries=2 \
  op monitor interval=120s

sudo pcs stonith status

# node2 を fence（強制停止）してみる ※node2 は実際に停止します
sudo pcs stonith fence node2

VIP に使うセカンダリプライベート IP（例: 10.0.1.100）を指定します。サブネットの CIDR 範囲内で未使用のものを選びます。

sudo pcs resource create privip awsvip \
  secondary_private_ip=10.0.1.100 \
  op monitor interval=30s \
  --group ha_group

sudo pcs resource create vip IPaddr2 \
  ip=10.0.1.100 cidr_netmask=24 \
  nic=eth0 \
  op monitor interval=30s \
  --group ha_group

sudo pcs resource create webserver apache \
  configfile=/etc/httpd/conf/httpd.conf \
  statusurl="http://127.0.0.1/server-status" \
  op monitor interval=20s \
  --group ha_group

sudo pcs status

# どのノードに VIP が付いたか確認
ip addr show eth0 | grep 10.0.1.100

# 1秒ごとに VIP へアクセスし、応答ノードの変化を観察
while true; do curl -s --max-time 2 http://10.0.1.100/ ; sleep 1; done

アクティブ機をスタンバイにすると、リソースが計画的に移動します。

# node1 をスタンバイへ（node1 上で実行）
sudo pcs node standby node1
sudo pcs status   # ha_group が node2 に移動

# 元に戻す
sudo pcs node unstandby node1

# アクティブ機（例 node1）を OS ごと落とす
sudo systemctl poweroff   # node1 上で実行
# または EC2 コンソールから node1 を「停止」

監視中の curl ループで、応答が一時的に途切れた後に 「Served by node2」 に切り替わるのを確認します。

# node2 で
sudo pcs status
ip addr show eth0 | grep 10.0.1.100   # VIP が node2 に移動している

# どちらかのノードで
sudo pcs cluster stop --all
sudo pcs cluster destroy

EC2 コンソールで node1 / node2 を選択 →「インスタンスを終了」。

不要であれば ha-cluster-role と ha-cluster-policy を削除します。

セキュリティグループ、Elastic IP（使った場合）など残存リソースがないか確認します。VIP に使ったセカンダリ IP はインスタンス終了時に解放されます。