Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Zugriff auf Amazon-ECS-Features über die Kontoeinstellungen

Um sich von bestimmten Features an- oder abmelden zu können, können Sie Amazon-ECS-Kontoeinstellungen aktivieren oder deaktivieren. Sie können die einzelnen Kontoeinstellungen für jede AWS-Region auf Kontoebene oder für einen bestimmten Benutzer oder eine bestimmte Rolle aktivieren oder deaktivieren.

Möglicherweise möchten Sie sich von bestimmten Features an- oder abmelden, wenn einer der folgenden Punkte für Sie relevant ist:

Die folgenden Kontoeinstellungen sind verfügbar. Sie müssen sich für jede Kontoeinstellung separat an- und abmelden.

Amazon-Ressourcennamen (ARNs) und IDs

Wenn Amazon-ECS-Ressourcen erstellt werden, weisen wir jeder Ressource einen eindeutigen Amazon Ressourcennamen (ARN) und eine Ressourcen-ID zu. Wenn Sie ein Befehlszeilentool oder die Amazon ECS-API verwenden, um mit Amazon ECS zu arbeiten, IDs sind Ressourcen ARNs oder für bestimmte Befehle erforderlich. Wenn Sie beispielsweise den AWS CLI Befehl stop-task verwenden, um eine Aufgabe zu beenden, müssen Sie den ARN oder die ID der Aufgabe im Befehl angeben.

Amazon ECS führte ein neues Format für Amazon Resource Names (ARNs) und Ressourcen IDs für Amazon ECS-Services, -Tasks und Container-Instances ein. Der Opt-In-Status für jeden Ressourcentyp bestimmt das ARN-Format (Amazon Resource Name), das die Ressource verwendet. Sie müssen für das neue ARN-Format einen Opt-in durchführen, um Features wie Ressourcen-Tagging für diesen Ressourcentyp durchführen zu können.

Sie haben die Möglichkeit, das neue Amazon-Ressourcenname (ARN)- und Ressourcen-ID-Formats auf Regionsbasis zu aktivieren oder zu deaktivieren. Aktuell wird jedes neu erstellte Konto standardmäßig aktiviert.

Sie können das Format für den neuen Amazon Ressourcennamen (ARN) und die Ressourcen-ID jederzeit an- oder abmelden. Nachdem Sie sich für das neue Format entschieden haben, werden alle neuen Ressourcen, die Sie erstellen, mit dem neuen Format erstellt.

In den folgenden Abschnitten wird beschrieben, wie sich die ARN- und Ressourcen-ID-Formate ändern. Weitere Informationen zum Übergang zu den neuen Formaten finden Sie unter Amazon Elastic Container Service – Häufig gestellte Fragen.

Format des Amazon-Ressourcennamens (ARN)

Einige Ressourcen haben einen benutzerfreundlichen Namen (z. B. einen Service namens production). In anderen Fällen müssen Sie eine Ressource mit dem Format des Amazon-Ressourcennamens angeben. Das neue ARN-Format für Amazon-ECS-Aufgaben, -Services und -Container-Instances enthält den Namen des Clusters. Weitere Informationen zur Verwendung des neuen ARN-Formats finden Sie unter Ändern der Amazon-ECS-Kontoeinstellungen.

Die folgende Tabelle zeigt sowohl das aktuelle Format als auch das neue Format für jeden Ressourcentyp:

Länge der Ressourcen-ID

Eine Ressourcen-ID hat die Form einer eindeutigen Kombination von Buchstaben und Zahlen. Zu den neuen Ressourcen-ID-Formaten gehören kürzere Formate IDs für Amazon ECS-Aufgaben und Container-Instances. Das aktuelle Ressourcen-ID-Format ist 36 Zeichen lang. Die neuen IDs haben ein 32-Zeichen-Format, das keine Bindestriche enthält. Weitere Informationen zum Verwenden des neuen Ressourcen-ID-Formats finden Sie unter Ändern der Amazon-ECS-Kontoeinstellungen.

Der Standardwert ist enabled.

Nur Ressourcen, die nach einem Opt-in gestartet werden, erhalten das neue ARN- und ID-Ressourcen-Format. Für bestehende Ressourcen ändert sich nichts. Damit Amazon-ECS-Services und -Aufgaben auf die neuen ARN- und Ressourcen-ID-Formate umgestellt werden können, müssen Sie den Service oder die Aufgabe neu erstellen. Damit das neue ARN- und Ressourcen-ID-Format für eine Container-Instance verfügbar sind, muss die Container-Instance entfernt und eine neue Container-Instance muss im Cluster gestartet und registriert werden.

Zeitachse im ARN- und Ressourcen-ID-Format

Der Zeitplan für die Opt-in- und Opt-out-Zeiträume für den neuen Amazon-Ressourcennamen (ARN) und das Ressourcen-ID-Format für Amazon-ECS-Ressourcen endete am 1. April 2021. Alle neuen Konten werden standardmäßig für das neue Format aktiviert. Alle neu erstellten Ressourcen erhalten das neue Format, und Sie können es nicht mehr deaktivieren.

Container Insights

Am 2. Dezember 2024 AWS veröffentlichte er Container Insights mit verbesserter Beobachtbarkeit für Amazon ECS. Diese Version unterstützt verbesserte Beobachtbarkeit für Amazon ECS-Cluster, die Fargate Amazon ECS Managed Instances verwenden, und. EC2 Nachdem Sie Container Insights mit verbesserter Beobachtbarkeit in Amazon ECS konfiguriert haben, erfasst Container Insights automatisch detaillierte Infrastruktur-Telemetriedaten von der Cluster-Ebene bis hinunter zur Container-Ebene in Ihrer Umgebung und zeigt Ihre Daten in Dashboards mit einer Vielzahl von Metriken und Dimensionen an. Sie können diese out-of-the-box Dashboards dann in der Container Insights-Konsole verwenden, um den Zustand und die Leistung Ihres Containers besser zu verstehen und Probleme durch die Identifizierung von Anomalien schneller zu beheben.

Wir empfehlen, Container Insights mit verbesserter Beobachtbarkeit anstelle von Container Insights zu verwenden, da es detaillierte Einblicke in Ihre Container-Umgebung bietet und so die durchschnittliche Zeit bis zur Problembehebung verkürzt. Weitere Informationen finden Sie unter Amazon ECS Container Insights mit Metriken zur verbesserten Beobachtbarkeit im Benutzerhandbuch für Amazon CloudWatch .

Der Standardwert für die containerInsights-Kontoeinstellung ist disabled.

Container Insights mit verbesserter Beobachtbarkeit

Verwenden Sie den folgenden Befehl, um Container Insights mit verbesserter Beobachtbarkeit zu aktivieren.

Stellen Sie die Kontoeinstellung containerInsights auf enhanced ein.

aws ecs put-account-setting --name containerInsights --value enhanced

Beispielausgabe

{
    "setting": {
        "name": "containerInsights",
        "value": "enhanced",
        "principalArn": "arn:aws:iam::123456789012:johndoe",
         "type": user
    }
}

Nachdem Sie diese Kontoeinstellung festgelegt haben, verwenden alle neuen Cluster automatisch Container Insights mit verbesserter Beobachtbarkeit. Verwenden Sie den update-cluster-settings-Befehl, um Container Insights mit verbesserter Beobachtbarkeit zu einem vorhandenen Cluster hinzuzufügen oder um einen Cluster von Container Insights auf Container Insights mit verbesserter Beobachtbarkeit zu aktualisieren.

aws ecs update-cluster-settings --cluster cluster-name --settings name=containerInsights,value=enhanced

Sie können auch die Konsole verwenden, um Container Insights mit verbesserter Beobachtbarkeit zu konfigurieren. Weitere Informationen finden Sie unter Ändern der Amazon-ECS-Kontoeinstellungen.

Container Insights

Wenn Sie die containerInsights-Kontoeinstellung auf enabled gestellt haben, ist Container Insights standardmäßig für alle neuen Cluster aktiviert. Sie können bestehende Cluster ändern, indem Sie update-cluster-settings verwenden.

Um Container Insights zu verwenden, setzen Sie die containerInsights-Kontoeinstellung auf enabled. Verwenden Sie den folgenden Befehl, um Container Insights zu aktivieren.

aws ecs put-account-setting --name containerInsights --value enabled

Beispielausgabe

{
    "setting": {
        "name": "containerInsights",
        "value": "enabled",
        "principalArn": "arn:aws:iam::123456789012:johndoe",
         "type": user
    }
}

Wenn Sie die containerInsights-Kontoeinstellung auf enabled gestellt haben, ist Container Insights standardmäßig für alle neuen Cluster aktiviert. Verwenden Sie den update-cluster-settings-Befehl, um Container Insights zu einem vorhandenen Cluster hinzuzufügen.

aws ecs update-cluster-settings --cluster cluster-name --settings name=containerInsights,value=enabled

Sie können Container Insights auch in der Konsole konfigurieren. Weitere Informationen finden Sie unter Ändern der Amazon-ECS-Kontoeinstellungen.

AWS Fargate Einhaltung des Federal Information Processing Standard (FIPS-140)

Fargate unterstützt den Bundesstandard für Informationsprozesse (FIPS-140), der die Sicherheitsanforderungen für Verschlüsselungsmodule zum Schutz sensibler Daten festlegt. Es ist der aktuelle Standard der amerikanischen und kanadischen Regierung und gilt für Systeme, die mit dem Federal Information Security Management Act (FISMA) oder dem Federal Risk and Authorization Management Program (FedRAMP) konform sein müssen.

Der Ressourcenname ist fargateFIPSMode.

Der Standardwert ist disabled.

Sie müssen die Einhaltung des Bundesstandards für Informationsprozesse (FIPS-140) auf Fargate aktivieren. Weitere Informationen finden Sie unter AWS Fargate Bundesstandard für die Informationsverarbeitung (FIPS-140).

Führen Sie Folgendes aus: put-account-setting-default mit der Option fargateFIPSMode festgelegt auf enabled. Weitere Informationen finden Sie put-account-setting-defaultin der Amazon Elastic Container Service API-Referenz.

Sie können list-account-settings ausführen, um den aktuellen FIPS-140-Compliancestatus anzuzeigen. Verwenden Sie die Option effective-settings, um die Einstellungen auf Kontoebene anzuzeigen.

aws ecs list-account-settings --effective-settings

Tagging-Autorisierung

Amazon ECS führt die Tagging-Autorisierung für die Erstellung von Ressourcen ein. Benutzer benötigen die Berechtigungen zum Markieren von Aktionen, die die Ressource erstellen, wie z. B. ecsCreateCluster. Wenn Sie eine Ressource erstellen und Tags für diese Ressource angeben, AWS führt eine zusätzliche Autorisierung durch, um zu überprüfen, ob Berechtigungen zum Erstellen von Tags vorhanden sind. Daher müssen Sie explizite Berechtigungen für die Verwendung der Aktion ecs:TagResource gewähren. Weitere Informationen finden Sie unter Berechtigung zum Markieren von Ressourcen bei der Erstellung gewähren.

Um sich für die Tagging-Autorisierung zu entscheiden, führen Sie put-account-setting-default mit der Option tagResourceAuthorization aus, wobei diese auf on gesetzt werden muss. Weitere Informationen finden Sie put-account-setting-defaultin der Amazon Elastic Container Service API-Referenz. Sie können list-account-settings ausführen, um den aktuellen Status der Tagging-Autorisierung einzusehen.

Nachdem Sie die Autorisierung zum Markieren aktiviert haben, müssen Sie die entsprechenden Berechtigungen konfigurieren, damit Benutzer Ressourcen bei der Erstellung mit Tags versehen können. Weitere Informationen finden Sie unter Berechtigung zum Markieren von Ressourcen bei der Erstellung gewähren.

Sie können list-account-settings ausführen, um den aktuellen Status der Tagging-Autorisierung einzusehen. Verwenden Sie die Option effective-settings, um die Einstellungen auf Kontoebene anzuzeigen.

aws ecs list-account-settings --effective-settings

Zeitplan der Tagging-Autorisierung

Sie können überprüfen, ob die Tag-Autorisierung aktiv ist, indem Sie den Befehl list-account-settings ausführen, um den Wert tagResourceAuthorization anzuzeigen. Wenn der Wert on ist, bedeutet dies, dass die Tagging-Autorisierung verwendet wird. Weitere Informationen finden Sie list-account-settingsin der Amazon Elastic Container Service API-Referenz.

Nachfolgend finden Sie die wichtigen Daten im Zusammenhang mit der Tagging-Autorisierung.

AWS Fargate Aufgabe, Stilllegung, Wartezeit

AWS sendet Benachrichtigungen, wenn Fargate-Aufgaben auf einer Plattformversion ausgeführt werden, die als veraltet markiert ist. Weitere Informationen finden Sie unter Außerbetriebnahme und Wartung von Aufgaben für AWS Fargate auf Amazon ECS .

AWS ist verantwortlich für das Patchen und die Wartung der zugrunde liegenden Infrastruktur für AWS Fargate. Wenn AWS festgestellt wird, dass für eine auf Fargate gehostete Amazon ECS-Aufgabe ein Sicherheits- oder Infrastruktur-Update erforderlich ist, müssen die Aufgaben gestoppt und neue Aufgaben gestartet werden, um sie zu ersetzen. Sie können die Wartezeit konfigurieren, bis Aufgaben für das Patchen außer Betrieb genommen werden. Sie haben die Möglichkeit, die Aufgabe sofort außer Betrieb zu nehmen oder 7 Kalendertage bzw. 14 Kalendertage zu warten.

Diese Einstellung befindet sich auf Kontoebene.

Sie können den Zeitpunkt konfigurieren, zu dem Fargate mit der Außerbetriebnahme der Aufgabe beginnt. Wählen Sie für Workloads, die eine sofortige Anwendung der Updates erfordern, die Einstellung „Sofort“ (0). Wenn Sie mehr Kontrolle benötigen, z. B. wenn eine Aufgabe nur während eines bestimmten Zeitfensters gestoppt werden kann, konfigurieren Sie die Optionen 7 Tage (7) oder 14 Tage (14).

Wir empfehlen Ihnen, eine kürzere Wartezeit zu wählen, damit Sie neuere Versionen der Plattformversionen früher erwerben können.

Konfigurieren Sie die Wartezeit, indem Sie put-account-setting-default oder put-account-setting als Root-Benutzer oder Administrator ausführen. Verwenden Sie die Option fargateTaskRetirementWaitPeriod für name und die Option value, die auf einen der folgenden Werte eingestellt ist:

Die Standardeinstellung ist 7 Tage.

Weitere Informationen finden Sie unter put-account-setting-defaultund put-account-settingin der Amazon Elastic Container Service API-Referenz.

Sie können den folgenden Befehl ausführen, um die Wartezeit auf 14 Tage festzulegen.

aws ecs put-account-setting-default --name fargateTaskRetirementWaitPeriod --value 14

Beispielausgabe

{
    "setting": {
        "name": "fargateTaskRetirementWaitPeriod",
        "value": "14",
        "principalArn": "arn:aws:iam::123456789012:root",
        "type: user"
    }
}

Sie können list-account-settings ausführen, um die aktuelle Fargate-Wartezeit für die Außerbetriebnahme der Aufgabe anzuzeigen. Verwenden Sie die Option effective-settings.

aws ecs list-account-settings --effective-settings

Erhöhen Sie die Netzwerkschnittstellen für Linux-Container-Instances

Jede Amazon-ECS-Aufgabe, die den Netzwerkmodus awsvpc verwendet, erhält eine eigene Elastic-Network-Schnittstelle (ENI), die an die Container-Instance angehängt wird, die sie hostet. Es gibt ein Standardlimit für die Anzahl der Netzwerkschnittstellen, die an eine EC2 Amazon-Instance angehängt werden können, und die primäre Netzwerkschnittstelle zählt als eine. Beispielsweise können einer c5.large Instance standardmäßig bis zu drei ENIs zugeordnet sein. Die primäre Netzwerkschnittstelle für die Instance zählt als eine, sodass Sie der Instance zwei ENIs weitere hinzufügen können. Da jede Aufgabe, die den Netzwerkmodus awsvpc verwendet, eine ENI benötigt, können Sie nur zwei solcher Aufgaben auf diesem Instance-Typ ausführen.

Amazon ECS unterstützt das Starten von Container-Instances mit erhöhter ENI Dichte unter Verwendung unterstützter EC2 Amazon-Instance-Typen. Wenn Sie diese Instance-Typen verwenden und die awsvpcTrunking Kontoeinstellungen aktivieren, ENIs sind weitere für neu gestartete Container-Instances verfügbar. Diese Konfiguration gibt Ihnen die Möglichkeit, mehrere Aufgaben auf den einzelnen Container-Instances zu platzieren.

Beispielsweise hat eine c5.large-Instance mit awsvpcTrunking ein erhöhtes ENI-Limit von zwölf. Die Container-Instance verfügt über die primäre Netzwerkschnittstelle und Amazon ECS erstellt und fügt eine "Stamm"-Netzwerkschnittstelle an die Container-Instance an. Mit dieser Konfiguration können Sie also zehn Aufgaben anstelle der aktuellen zwei Aufgaben auf der Container-Instance starten.

Laufzeitüberwachung ( GuardDuty Amazon-Integration)

Runtime Monitoring ist ein intelligenter Dienst zur Bedrohungserkennung, der Workloads schützt, die auf Fargate- und EC2 Container-Instances ausgeführt werden, indem er die AWS Protokoll- und Netzwerkaktivitäten kontinuierlich überwacht, um bösartiges oder unbefugtes Verhalten zu identifizieren.

Der guardDutyActivate Parameter ist in Amazon ECS schreibgeschützt und gibt an, ob Runtime Monitoring von Ihrem Sicherheitsadministrator in Ihrem Amazon ECS-Konto ein- oder ausgeschaltet wurde. GuardDuty steuert diese Kontoeinstellung in Ihrem Namen. Weitere Informationen finden Sie unter Amazon-ECS-Workloads mit Runtime Monitoring schützen.

Sie können ausführenlist-account-settings, um die aktuelle GuardDuty Integrationseinstellung anzuzeigen.

aws ecs list-account-settings 

Beispielausgabe

{
    "setting": {
        "name": "guardDutyActivate",
        "value": "on",
        "principalArn": "arn:aws:iam::123456789012:doej",
        "type": aws-managed"
    }
}

IPv6 Dual-Stack-VPC

Amazon ECS unterstützt die Bereitstellung einer IPv6 Adresse für Aufgaben zusätzlich zur primären IPv4 Privatadresse.

Damit Aufgaben eine IPv6 Adresse erhalten, muss die Aufgabe den awsvpc Netzwerkmodus verwenden, in einer VPC gestartet werden, die für den Dual-Stack-Modus konfiguriert ist, und die dualStackIPv6 Kontoeinstellung muss aktiviert sein. Weitere Informationen zu anderen Anforderungen finden Sie unter Verwenden einer VPC im Dual-Stack-Modus EC2 Kapazität, Verwenden einer VPC im Dual-Stack-Modus Kapazität von Amazon ECS Managed Instances und Verwenden einer VPC im Dual-Stack-Modus Kapazität von Fargate.

Wenn Sie zwischen dem 1. Oktober 2020 und dem 2. November 2020 eine Aufgabe im awsvpc Netzwerkmodus in einem IPv6 aktivierten Subnetz ausgeführt haben, lautet die dualStackIPv6 Standardkontoeinstellung in der Region, in der die Aufgabe ausgeführt wurde. disabled Wenn diese Bedingung nicht erfüllt wird, ist die standardmäßige dualStackIPv6-Einstellung in der Region enabled.

Der Standardwert ist disabled.

Standardmodus für den Protokolltreiber

Amazon ECS unterstützt die Einstellung eines Standard-Zustellungsmodus für Protokollnachrichten von einem Container an den ausgewählten Protokolltreiber. Der Zustellungsmodus wirkt sich auf die Anwendungsstabilität aus, wenn der Protokollfluss vom Container zum Protokolltreiber unterbrochen wird.

Die defaultLogDriverMode-Einstellung unterstützt zwei Werte: blocking und non-blocking. Weitere Informationen zu diesen Liefermodi finden Sie LogConfigurationin der Amazon Elastic Container Service API-Referenz.

Wenn Sie in Ihren Container-Definitionen für logConfiguration keinen Zustellungsmodus angeben, wird der Modus, den Sie mit dieser Kontoeinstellung angeben, als Standard verwendet.

Der Standard-Zustellungsmodus ist non-blocking.

Wenn Sie einen Standard-Protokolltreibermodus auf blocking festlegen möchten, können Sie den folgenden Befehl ausführen.

aws ecs put-account-setting-default --name defaultLogDriverMode --value "blocking"