Fargate 任务联网 - Amazon ECS
Fargate 任务联网注意事项在双堆栈模式下使用 VPC
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

Fargate 任务联网

重要

如果您正在使用托管在 Amazon EC2 实例上的 Amazon ECS 任务，请参阅 Amazon Elastic Container Service 开发人员指南中的任务联网。

预设情况下，Fargate 上的每个 Amazon ECS 任务都会提供 elastic network interface (ENI) 和主要私有 IP 地址。使用公有子网时，您可以选择向任务的 ENI 分配公有 IP 地址。如果您的 VPC 启用了双堆栈模式，并且您使用具有IPv6 CIDR块的子网，则您的任务 ENI 也将接收 IPv6 地址。一个任务在给定的时间只能有一个与之关联的 ENI。有关 VPC 和子网的更多信息，请参阅 Amazon VPC 用户指南中的 VPC 和子网。

要使 Fargate 上的任务能够拉取容器映像，任务必须具有通往互联网的路由。下面说明如何确保您的任务具有通往 Internet 的路由。

  • 使用公有子网时，您可以向任务 ENI 分配公有 IP 地址。

  • 使用私有子网时，子网可以连接一个 NAT 网关。

  • 使用 Amazon ECR 中托管的容器映像时，您可以将 Amazon ECR 配置为使用接口 VPC 端点，将通过任务的私有 IPv4 地址进行映像提取。有关更多信息，请参阅 Amazon Elastic Container Registry 用户指南中的Amazon ECR 接口 VPC 端点 (Amazon PrivateLink)。

由于每个任务都有自己的 ENI，因此您也可以利用联网功能（例如 VPC 流日志），以便您可以监控您任务的流量。此外，属于同一任务的容器可以通过 localhost 接口进行通信。有关更多信息，请参阅 Amazon VPC 用户指南 中的 VPC 流日志。

由于每个任务都有自己的 ENI，因此您也可以利用 Amazon PrivateLink。您可以配置 VPC 接口终端节点，以便可以通过私有 IP 地址访问 Amazon ECS API。Amazon PrivateLink 将 VPC 和 Amazon ECS 之间的所有网络流量限制在 Amazon 网络以内。您无需互联网网关、NAT 设备或虚拟私有网关。有关更多信息，请参阅 Amazon ECS 最佳实践指南中的 Amazon PrivateLink。

创建的 ENI 由 Amazon Fargate 完全托管，并且有一个关联的 IAM 策略用于为 Fargate 授予权限。对于使用 Fargate 平台版本 1.4.0 或更高版本的任务，任务会接收单个 ENI（称为任务 ENI），所有网络流量都将流经 VPC 内的这个 ENI，并将通过 VPC 流日志对您可见。对于使用 Fargate 平台版本 1.3.0 及更早版本的任务，除了任务 ENI 外，任务还会收到单独的 Fargate 拥有的 ENI，该 ENI 用于某些在 VPC 流日志中不可见的网络流量。以下内容介绍网络流量行为以及每个平台版本所需的 IAM 策略。

操作

Linux 平台版本 1.3.0 及更早版本的流量

Linux 平台版本 1.4.0 的流量

Windows 平台版本 1.0.0 的流量

IAM 权限

检索 Amazon ECR 登录凭据

Fargate 拥有的 ENI

任务 ENI

任务 ENI

任务执行 IAM 角色

镜像提取

任务 ENI

任务 ENI

任务 ENI

任务执行 IAM 角色

通过日志驱动程序发送日志

任务 ENI

任务 ENI

任务 ENI

任务执行 IAM 角色

通过适用于 Amazon ECS 的 FireLens 发送日志

任务 ENI

任务 ENI

任务 ENI

任务 IAM 角色

从 Secrets Manager 或 Systems Manager 中检索密码

Fargate 拥有的 ENI

任务 ENI

任务 ENI

任务执行 IAM 角色

Amazon EFS 文件系统流量

不可用

任务 ENI

任务 ENI

任务 IAM 角色

应用程序流量

任务 ENI

任务 ENI

任务 ENI

任务 IAM 角色

Fargate 任务联网注意事项

使用任务联网时，需要考虑多个因素。

  • Amazon ECS 服务链接角色需要为 Amazon ECS 提供代表您呼叫其他 Amazon 服务的权限。此角色是在创建集群时 (或者在 Amazon Web Services Management Console 中创建或更新服务时) 自动为您创建的。有关更多信息，请参阅Amazon ECS 的服务相关角色。您也可以使用以下 Amazon CLI 命令创建服务相关的角色：

    aws iam create-service-linked-role --aws-service-name ecs.amazonaws.com

  • 在 VPC 上启用 enableDnsHostnames 和 enableDnsSupport 选项时， Amazon ECS使用任务联网和 Amazon 提供的（内部）DNS 主机名来填充任务的主机名。如果未启用这些选项，则任务的 DNS 主机名将是随机主机名。有关 VPC DNS 设置的更多信息，请参阅 Amazon VPC 用户指南中的在 VPC 中使用 DNS。

  • 可以在 awsvpcConfiguration 中指定的子网限制为16个，安全组限制为5个。有关更多信息，请参阅 Amazon Elastic Container Service API 参考中的 AwsVpcConfiguration。

  • Fargate 创建并附加的 ENI 不能由您的账户手动分离或修改。这是为了防止意外删除与正在运行的任务关联的 ENI。要释放任务的 ENI，请停止该任务。

  • 如果 VPC 已更新，例如更改所使用的 DHCP 选项集，并且您希望在使用该 VPC 的任务中使更改生效，则必须停止这些任务并启动新任务。

  • 使用平台版本 1.4.0 或更高版本（对于 Linux）或者 1.0.0（对于 Windows）时，在具有 IPv6 CIDR 块的子网中启动的任务仅接收 IPv6 地址。

  • 对于使用平台版本 1.4.0 或更高版本（对于 Linux）或 1.0.0（对于 Windows）的任务，任务 ENI 支持巨型帧。网络接口配置了最大传输单元 (MTU)，这是单个帧内将放入的最大负载的大小。MTU 越大，单个帧内可以放入的应用程序负载就越多，这可以减少每帧开销并提高效率。当您的任务和目标之间的网络路径支持巨型帧时，支持巨型帧将减少开销，如保留在您的 VPC 中的所有流量。

  • 任务使用 Fargate 启动类型的服务仅支持 Application Load Balancers 和 Network Load Balancers。不支持 Classic Load Balancer。此外，当您创建任何目标组时，必须选择 ip 而不是 instance 作为目标类型。有关更多信息，请参阅服务负载均衡。

在双堆栈模式下使用 VPC

在双堆栈模式下使用 VPC 时，您的任务可通过 IPv4 /或 IPv6 或两者进行通信。IPv4 和 IPv6 地址是彼此独立的；您必须在 VPC 中分别针对 IPv4 和 IPv6 配置路由和安全设置。有关将 VPC 配置为双堆栈模式的更多信息，请参阅 Amazon VPC用户指南 中的迁移到 IPv6。

如果满足以下条件，将向 Fargate 上的 Amazon ECS 任务分配 IPv6 地址：

  • 您的 VPC 和子网已为 IPv6 启用。有关将 VPC 配置为双堆栈模式的更多信息，请参阅 Amazon VPC用户指南 中的迁移到 IPv6。

  • 任务或服务正在使用平台版本 1.4.0 或更高版本。

  • dualStackIPv6 帐户设置为已启用。有关更多信息，请参阅账户设置。

只要 VPC 配置了 internet 网关或 egress-only internet 网关，Fargate上分配了 IPv6 地址的 Amazon ECS 任务就可以访问 internet。不需要 NAT 网关。有关更多信息，请参阅 Amazon VPC 用户用户指南中的互联网网关和 Egress-only 互联网网关。