【小ネタ】New Relicである日ユーザー作成に失敗するようになった

人気アプリ「家族アルバム みてね」の開発チームで、システムを監視するツール「New Relic」のユーザー追加時に、ちょっとしたトラブルが発生したというお話です。

「New Relic」というのは、ウェブサイトやアプリがちゃんと動いているか、どこかで遅くなったり止まったりしていないかを24時間体制で見守ってくれる、いわば「ITシステムの健康診断士」のようなツールです。たくさんのユーザーが使うサービスでは、この監視ツールが非常に重要になります。何か問題が起きた時にすぐに気づいて対処できるように、開発チームのメンバーはそれぞれNew Relicのアカウントを持って、システムの状況を確認しています。

さて、「みてね」では、このNew Relicのアカウント管理を「Terraform（テラフォーム）」というツールを使って自動化しています。Terraformは、サーバーやネットワークの設定、そして今回のようにツールのユーザーアカウントといったITインフラ全体を、まるでプログラムのコードを書くように管理できる優れものです。手作業で一つ一つ設定するよりも、間違いが少なく、作業の効率も上がるため、多くの企業で導入されています。

今回の問題は、新しいメンバーのNew RelicアカウントをTerraformで追加しようとしたところ、なぜかそのメンバーだけ作成に失敗した、というものでした。普段は問題なく動いている自動化の仕組みが、特定のケースでだけ動かないというのは、システム管理者にとっては頭を悩ませる出来事です。まるで、いつもはきちんと動くはずの自動販売機が、ある特定のお金を入れた時だけ動かない、といった状況に似ていますね。

調べてみると、原因はNew Relicのユーザー名の「メールアドレスのドメイン部分」にありました。New Relic側で、特定のドメイン名を持つメールアドレスでのユーザー作成をブロックする、という設定が追加されていたのです。これは、企業が情報セキュリティを強化するために、外部のメールアドレスでのアカウント作成を制限したり、特定の企業ドメインだけを許可したりする際に使われる機能です。

つまり、「みてね」のチームが使っていたメールアドレスのドメインが、New Relicのセキュリティ設定によって「許可されていないドメイン」とみなされてしまった、ということになります。この設定は、New Relicの管理画面から変更できるものでしたが、Terraformのような自動化ツールを使っていると、こうした「裏側の設定変更」に気づきにくいことがあります。自動化は非常に便利ですが、その裏側で何が起きているかを把握し続ける難しさも浮き彫りになった事例と言えるでしょう。

最終的には、New Relicの管理画面から、みてねチームが使っているドメインを許可リストに追加することで問題は解決しました。この出来事は、自動化ツールを使う上での「隠れた設定変更」への注意喚起と、サービスプロバイダー側のセキュリティ強化が、予期せぬ形でユーザーに影響を与える可能性を示唆しています。