AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 AWS 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon ECS 接口 VPC 终端节点 (AWS PrivateLink)

您可以将 Amazon ECS 配置为使用接口 VPC 终端节点以改善 VPC 的安全状况。接口终端节点由 AWS PrivateLink 提供支持，您可以使用该技术通过私有 IP 地址私下访问 Amazon ECS API。PrivateLink 将 VPC 和 Amazon ECS 之间的所有网络流量限制在 Amazon 网络以内。您无需互联网网关、NAT 设备或虚拟私有网关。

有关 AWS PrivateLink 和 VPC 终端节点的更多信息，请参阅 中的 VPC 终端节点。Amazon VPC 用户指南

关于 Amazon ECS VPC 终端节点的注意事项

在为 Amazon ECS 设置接口 VPC 终端节点之前，请注意以下事项：

为 创建 VPC 终端节点Amazon ECS

要为 Amazon ECS 服务创建 VPC 终端节点，请使用 https://docs.amazonaws.cn/AmazonVPC/latest/UserGuide/vpce-interface.html#create-interface-endpoint 中的Amazon VPC 用户指南创建接口终端节点过程来创建以下终端节点。如果您的 VPC 中当前有容器实例，则应按其列出的顺序创建终端节点。如果您计划在创建 VPC 终端节点后创建容器实例，则顺序无关紧要。

如果您当前有使用 EC2 启动类型的任务，则在创建 VPC 终端节点后，每个容器实例都需要采用新的配置。为实现此目的，您必须重新启动每个容器实例或重新启动每个容器实例上的 Amazon ECS 容器代理。要重新启动容器代理，请执行以下操作。

在创建 VPC 终端节点并在每个容器实例上重新启动 Amazon ECS 容器代理后，所有新启动的任务都将采用新配置。

创建 Secrets Manager 和 Systems Manager 终端节点

如果您在任务定义中引用 Secrets Manager 密钥或 Systems Manager 参数仓库参数以将敏感数据注入到容器中，则需要为 Secrets Manager 或 Systems Manager 创建接口 VPC 终端节点，以便这些任务可以访问这些服务。您只需通过托管敏感数据的特定服务创建终端节点。有关更多信息，请参阅 指定敏感数据.

有关 Secrets Manager VPC 终端节点的更多信息，请参阅 中的Secrets Manager将 与 VPC 终端节点结合使用。AWS Secrets Manager 用户指南

有关 Systems Manager VPC 终端节点的更多信息，请参阅 中的Systems Manager将 与 VPC 终端节点结合使用。AWS Systems Manager 用户指南

为 创建 VPC 终端节点策略Amazon ECS

您可以为 VPC 终端节点附加控制对 的访问的终端节点策略。Amazon ECS. 该策略指定以下信息：

有关更多信息，请参阅 Amazon VPC 用户指南 中的使用 VPC 终端节点控制对服务的访问。

示例：Amazon ECS 操作的 VPC 终端节点策略

下面是用于 的终端节点策略示例。Amazon ECS. 附加到终端节点时，此策略授予对所有资源上所有委托人列出的 Amazon ECS 操作的访问权限。

{
   "Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "ecs:action-1",
            "ecs:action-2",
            "ecs:action-2"
         ],
         "Resource":"*"
      }
   ]
}