Fargate 任务联网
如果您正在使用托管在 Amazon EC2 实例上的 Amazon ECS 任务,请参阅 Amazon Elastic Container Service 开发人员指南中的任务联网。
预设情况下,Fargate 上的每个 Amazon ECS 任务都会提供 elastic network interface (ENI) 和主要私有 IP 地址。使用公有子网时,您可以选择向任务的 ENI 分配公有 IP 地址。如果您的 VPC 启用了双堆栈模式,并且您使用具有IPv6 CIDR块的子网,则您的任务 ENI 也将接收 IPv6 地址。一个任务在给定的时间只能有一个与之关联的 ENI。有关 VPC 和子网的更多信息,请参阅 Amazon VPC 用户指南中的 VPC 和子网。
要使 Fargate 上的任务能够拉取容器映像,任务必须具有通往互联网的路由。下面说明如何确保您的任务具有通往 Internet 的路由。
-
使用公有子网时,您可以向任务 ENI 分配公有 IP 地址。
-
使用私有子网时,子网可以连接一个 NAT 网关。
-
使用 Amazon ECR 中托管的容器映像时,您可以将 Amazon ECR 配置为使用接口 VPC 端点,将通过任务的私有 IPv4 地址进行映像提取。有关更多信息,请参阅 Amazon Elastic Container Registry 用户指南中的Amazon ECR 接口 VPC 端点 (Amazon PrivateLink)。
由于每个任务都有自己的 ENI,因此您也可以利用联网功能(例如 VPC 流日志),以便您可以监控您任务的流量。此外,属于同一任务的容器可以通过 localhost
接口进行通信。有关更多信息,请参阅 Amazon VPC 用户指南 中的 VPC 流日志。
由于每个任务都有自己的 ENI,因此您也可以利用 Amazon PrivateLink。您可以配置 VPC 接口终端节点,以便可以通过私有 IP 地址访问 Amazon ECS API。Amazon PrivateLink 将 VPC 和 Amazon ECS 之间的所有网络流量限制在 Amazon 网络以内。您无需互联网网关、NAT 设备或虚拟私有网关。有关更多信息,请参阅 Amazon ECS 最佳实践指南中的 Amazon PrivateLink。
创建的 ENI 由 Amazon Fargate 完全托管,并且有一个关联的 IAM 策略用于为 Fargate 授予权限。对于使用 Fargate 平台版本 1.4.0
或更高版本的任务,任务会接收单个 ENI(称为任务 ENI),所有网络流量都将流经 VPC 内的这个 ENI,并将通过 VPC 流日志对您可见。对于使用 Fargate 平台版本 1.3.0
及更早版本的任务,除了任务 ENI 外,任务还会收到单独的 Fargate 拥有的 ENI,该 ENI 用于某些在 VPC 流日志中不可见的网络流量。以下内容介绍网络流量行为以及每个平台版本所需的 IAM 策略。
操作 |
Linux 平台版本 |
Linux 平台版本 |
Windows 平台版本 |
IAM 权限 |
---|---|---|---|---|
检索 Amazon ECR 登录凭据 |
Fargate 拥有的 ENI |
任务 ENI |
任务 ENI |
任务执行 IAM 角色 |
镜像提取 |
任务 ENI |
任务 ENI |
任务 ENI |
任务执行 IAM 角色 |
通过日志驱动程序发送日志 |
任务 ENI |
任务 ENI |
任务 ENI |
任务执行 IAM 角色 |
通过适用于 Amazon ECS 的 FireLens 发送日志 |
任务 ENI |
任务 ENI |
任务 ENI |
任务 IAM 角色 |
从 Secrets Manager 或 Systems Manager 中检索密码 |
Fargate 拥有的 ENI |
任务 ENI |
任务 ENI |
任务执行 IAM 角色 |
Amazon EFS 文件系统流量 |
不可用 |
任务 ENI |
任务 ENI |
任务 IAM 角色 |
应用程序流量 |
任务 ENI |
任务 ENI |
任务 ENI |
任务 IAM 角色 |
Fargate 任务联网注意事项
使用任务联网时,需要考虑多个因素。
-
Amazon ECS 服务链接角色需要为 Amazon ECS 提供代表您呼叫其他 Amazon 服务的权限。此角色是在创建集群时 (或者在 Amazon Web Services Management Console 中创建或更新服务时) 自动为您创建的。有关更多信息,请参阅Amazon ECS 的服务相关角色。您也可以使用以下 Amazon CLI 命令创建服务相关的角色:
aws iam create-service-linked-role --aws-service-name ecs.amazonaws.com
-
在 VPC 上启用
enableDnsHostnames
和enableDnsSupport
选项时, Amazon ECS使用任务联网和 Amazon 提供的(内部)DNS 主机名来填充任务的主机名。如果未启用这些选项,则任务的 DNS 主机名将是随机主机名。有关 VPC DNS 设置的更多信息,请参阅 Amazon VPC 用户指南中的在 VPC 中使用 DNS。 -
可以在
awsvpcConfiguration
中指定的子网限制为16个,安全组限制为5个。有关更多信息,请参阅 Amazon Elastic Container Service API 参考中的 AwsVpcConfiguration。 -
Fargate 创建并附加的 ENI 不能由您的账户手动分离或修改。这是为了防止意外删除与正在运行的任务关联的 ENI。要释放任务的 ENI,请停止该任务。
-
如果 VPC 已更新,例如更改所使用的 DHCP 选项集,并且您希望在使用该 VPC 的任务中使更改生效,则必须停止这些任务并启动新任务。
-
使用平台版本
1.4.0
或更高版本(对于 Linux)或者1.0.0
(对于 Windows)时,在具有 IPv6 CIDR 块的子网中启动的任务仅接收 IPv6 地址。 -
对于使用平台版本
1.4.0
或更高版本(对于 Linux)或1.0.0
(对于 Windows)的任务,任务 ENI 支持巨型帧。网络接口配置了最大传输单元 (MTU),这是单个帧内将放入的最大负载的大小。MTU 越大,单个帧内可以放入的应用程序负载就越多,这可以减少每帧开销并提高效率。当您的任务和目标之间的网络路径支持巨型帧时,支持巨型帧将减少开销,如保留在您的 VPC 中的所有流量。 -
任务使用 Fargate 启动类型的服务仅支持 Application Load Balancers 和 Network Load Balancers。不支持 Classic Load Balancer。此外,当您创建任何目标组时,必须选择
ip
而不是instance
作为目标类型。有关更多信息,请参阅服务负载均衡。
在双堆栈模式下使用 VPC
在双堆栈模式下使用 VPC 时,您的任务可通过 IPv4 /或 IPv6 或两者进行通信。IPv4 和 IPv6 地址是彼此独立的;您必须在 VPC 中分别针对 IPv4 和 IPv6 配置路由和安全设置。有关将 VPC 配置为双堆栈模式的更多信息,请参阅 Amazon VPC用户指南 中的迁移到 IPv6。
如果满足以下条件,将向 Fargate 上的 Amazon ECS 任务分配 IPv6 地址:
只要 VPC 配置了 internet 网关或 egress-only internet 网关,Fargate上分配了 IPv6 地址的 Amazon ECS 任务就可以访问 internet。不需要 NAT 网关。有关更多信息,请参阅 Amazon VPC 用户用户指南中的互联网网关和 Egress-only 互联网网关。