Contents
Consulエージェント設定ファイルの概要と目的
Consulエージェントを運用する際には、agent.jsonという設定ファイルが核となる存在です。このファイルにはノードの認証情報やサービス登録設定、セキュリティポリシーなどが記述され、Consulクラスタ全体の動作に影響を与えます。特にDevOpsエンジニアにとっては、「自社環境に応じたカスタマイズ」が成功の鍵となるため、agent.jsonの構成を正しく理解する必要があります。
以下では、agent.jsonの役割や導入時の基本的な考慮点について解説します。実務で使用される設定ファイルの例も交えながら、具体的な手順とポイントをお伝えします。
agent.jsonの役割
agent.jsonはConsulエージェントの動作を制御するための設定ファイルです。ノード認証やサービス登録、セキュリティポリシーなどの設定が一括で管理可能であり、複数のノードにわたる運用効率を高めるために不可欠です。
導入時の基本的な考慮点
Consulエージェントを導入する際は、以下の3つのポイントを意識してください：
- モード選定：サーバー・クライアントどちらで動作させるかを明確に。
- セキュリティ設定：TLS証明書やACL（アクセス制御リスト）の導入が必須です。
- 環境適応性：自社のネットワーク構成やサービス定義に合わせてカスタマイズが必要です。
agent.jsonの基本構造と主要パラメータ
agent.jsonはJSON形式で記述され、Consulエージェントの動作を細かく制御します。以下では、サーバー/クライアントモード設定やデータセンター設定など、実務で使用される主要なパラメータについて解説します。
サーバー/クライアントモード設定
Consulエージェントはサーバー・クライアントの2種類のモードで動作できます。モードを間違えると、ノードが正しくクラスタに参加しないなどの問題が発生します。
|
1 2 3 4 5 6 |
{ "server": true, "client_addr": "0.0.0.0", "datacenter": "dc1" } |
| パラメータ | 説明 |
|---|---|
| server | trueでサーバーモード、false（または省略）でクライアントモードとなる。 |
| client_addr | クライアント接続可能なIPアドレスを指定。 |
| datacenter | 所属するデータセンタ名を記述し、ネットワーク分離を実現。 |
通常は、サーバーとして動作させるノードだけに
"server": trueを設定します。
データセンター設定の例
複数のデータセンターにまたがった運用を行う際には、datacenterフィールドで所属先を明示する必要があります。これにより、ノード間での通信経路やレプリケーションポリシーが自動的に適用されます。
|
1 2 3 4 |
{ "datacenter": "tokyo-dc" } |
データセンター名は一意かつ運用者全員で共有されるべきです。誤った設定はクラスタの分離を引き起こす可能性があります。
ノード名・タグの指定方法
ノード名とタグ（tags）は、サービスの識別や監視用メタデータとして重要です。以下のように設定します：
|
1 2 3 4 5 |
{ "node_name": "app-server-01", "tags": ["production", "web"] } |
node_nameはクラスタ内で一意である必要があります。タグには運用環境（開発/本番）や役割（DB/アプリケーション）を記入するのが一般的です。
ノード認証用TLS証明書の設定手順
Consulエージェントにノード認証を行うためには、TLS証明書が必要です。証明書は暗号化通信とセキュリティを確保する重要な要素であり、正しく配置・設定しないとクラスタへの参加が拒否されます。
証明書ファイルパスの指定方法
agent.json内では"tls_config"というフィールドを使用して証明書の情報を記述します。以下は基本的な例です：
|
1 2 3 4 5 6 7 8 |
{ "tls_config": { "ca_file": "/etc/consul/ssl/ca.pem", "cert_file": "/etc/consul/ssl/cert.pem", "key_file": "/etc/consul/ssl/key.pem" } } |
注意点：証明書ファイルの所有権やパーミッションを適切に設定し、不正アクセスを防ぐ必要があります。
暗号化アルゴリズムの選定基準
ConsulではTLS通信時の暗号化アルゴリズムをカスタマイズできます。セキュリティ強度と運用負荷のバランスが重要です。
| 項目 | 推奨値 | 補足 |
|---|---|---|
| cipher_suites | TLS_AES_128_GCM_SHA256 |
最新かつセキュアな設定 |
| min_version | "TLSv1.2" |
古いバージョンはサポート外に |
運用環境によっては、CPU負荷を考慮してAES-128-GCMなどの効率的なアルゴリズムを選択する場合もあります。AES-256とAES-128-GCMは異なる暗号化方式であるため、混同しないよう注意してください。
サービス登録用スクリプトの埋め込み方法
Consulエージェントはサービスの自動登録を行うため、consul-templateやhealth checkを活用します。ここでは、サービス登録用スクリプトの構成例と実装時の注意点を紹介します。
consul-templateの基本構成
consul-templateは、Consulに登録されているサービス情報に基づいてテンプレートを自動生成する仕組みです。以下は簡単な設定ファイル（.ctmpl）の例です：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 |
<template> { "service": { "name": "{{ key "service/name" }}", "port": {{ key "service/port" }}, "check": { "type": "http", "path": "/health", "interval": "10s" } } } |
上記のテンプレートは
consul-templateに読み込まれ、サービス定義が動的に生成されます。
環境変数を使った動的設定
スクリプト内では環境変数を使用して、サービス名やポート番号を柔軟に指定できます。以下のようにenvコマンドで取得します：
|
1 2 3 4 5 6 7 |
SERVICE_NAME="web-app" PORT=8080 consul-template -template="template.ctmpl:/etc/consul/service.json" \ -consul-addr="localhost:8500" \ -config=ct-config.json |
環境変数はCI/CDや構成管理ツールと連携させることで、運用環境ごとに自動的に切り替わる仕組みが可能です。
レプリケーションとセキュリティポリシーの設定例
Consulではレプリケーションとアクセス制御（ACL）を用いて、データの一貫性や安全性を保証します。ここでは実環境で使用される設定例をご紹介します。
レプリケーション間隔の調整
レプリケーションの頻度は"reap_interval"パラメータで調整できます。以下が一般的な運用例です：
|
1 2 3 4 |
{ "reap_interval": "5s" } |
| 項目 | 推奨値（秒） | 補足 |
|---|---|---|
| 低負荷環境 | 10s |
レプリケーションの頻度を抑える。 |
| 高可用性要求 | 2s |
遅延が許容できない場合は短めに設定。 |
あまりにも高いレプリケーション間隔は、ネットワーク負荷やCPU使用率を増加させます。
ACLルールの最小限な設定方法
ACL（アクセス制御リスト）を有効にする際には、「最小権限原則」に基づいた設定が推奨されます。以下は基本的な例です：
|
1 2 3 4 5 6 7 8 |
{ "acl": { "enabled": true, "default_policy": "deny", "token": "YOUR_ACL_TOKEN" } } |
| 規則 | 条件 |
|---|---|
| denied | デフォルトではすべてのアクセスを制限。 |
| allowed | 必要なユーザー・サービスにだけ権限を与える。 |
ACLはセキュリティ向上に効果的ですが、過剰な設定は運用に支障をきたす可能性があります。
"token": "YOUR_ACL_TOKEN"のようなプレースホルダーは実際の運用では使用しないでください。
実環境でのパラメータチューニングポイント
Consulエージェントの性能には、CPU・メモリ・タイムアウト値などのパラメータが大きく影響します。ここでは実環境で検証されたチューニング方法を紹介します。
CPU・メモリの最適化方法
Consulは軽量ですが、負荷が高くなるとリソースを使い尽くすことがあります。以下が代表的な調整ポイントです：
- CPU:
cpu_profileパラメータでプロファイルを指定し、CPU使用率を抑える。
json
{
"cpu_profile": "conservative"
}
cpu_profileの存在はConsul公式ドキュメントを確認してください。
- メモリ:
mem_limitでメモリ上限を設定し、過剰な消費を防止。
json
{
"mem_limit": "512MB"
}
メモリ制限はクラスタの規模に応じて柔軟に調整してください。負荷テストで確認するのが安全です。
タイムアウト値の調整基準
Consulエージェントのタイムアウト値を適切に設定しないと、ノードが不安定になる可能性があります。以下が一般的な設定例です：
| 項目 | 推奨値（秒） | 補足 |
|---|---|---|
| leader_heartbeat | 3s |
クラスタのリーダーの定期的なハートビート。 |
| reconnect_timeout | 5s |
ネットワーク復旧時の再接続タイムアウト。 |
実際には、負荷テストや運用データをもとに調整を行うことが重要です。
まとめ
Consulエージェントの運用においては、agent.jsonの正確な設定が安定したクラスタ構築に不可欠です。特にセキュリティ設定とパラメータチューニングには注意が必要で、公式ドキュメントとの整合性を常に確認する習慣を持ちましょう。