Senden Sie Amazon ECS-Protokolle an eine AWS Service oder AWS Partner

Wenn Ihre Aufgabe auf Fargate gehostet wird und Sie Container-Images aus Amazon ECR abrufen oder AWS Secrets Manager in Ihrer Protokollkonfiguration auf vertrauliche Daten verweisen, müssen Sie die IAM-Rolle für die Aufgabenausführung einbeziehen.

Wenn Sie eine benutzerdefinierte Konfigurationsdatei verwenden, die in Amazon S3 gehostet wird, muss Ihre IAM-Rolle für die Aufgabenausführung die s3:GetObject-Berechtigung enthalten.

Wir empfehlen, dass Sie dem Protokoll my_service_ den Namen des Protokoll-Containers hinzufügen, damit Sie die Container-Namen in der Konsole leicht unterscheiden können.

Amazon ECS fügt standardmäßig eine Start-Abhängigkeit zwischen den Anwendungs-Containern und dem FireLens-Container hinzu. Wenn Sie eine Container-Reihenfolge zwischen den Anwendungscontainern und dem FireLens-Container angeben, wird die standardmäßige Reihenfolge der Startcontainer außer Kraft gesetzt.

FireLens für Amazon ECS wird für Aufgaben unterstützt, die sowohl auf AWS Fargate unter Linux als auch auf Amazon EC2 unter Linux gehostet werden. Windows-Container unterstützen FireLens nicht.

Informationen zur Konfiguration der zentralen Protokollierung für Windows-Container finden Sie unter Zentralisierte Protokollierung für Windows-Container auf Amazon ECS mit Fluent Bit.

Sie können CloudFormation Vorlagen verwenden, um FireLens für Amazon ECS zu konfigurieren. Weitere Informationen finden Sie unter AWS: :ECS:: TaskDefinition FirelensConfiguration im AWS CloudFormation Benutzerhandbuch

FireLenslauscht auf dem Port. Um also sicherzustellen24224, dass der FireLens Log-Router außerhalb der Aufgabe nicht erreichbar ist, dürfen Sie keinen eingehenden Verkehr auf dem Port 24224 der Sicherheitsgruppe zulassen, die Ihre Aufgabe verwendet. Für Aufgaben, die den awsvpc-Netzwerkmodus verwenden, ist dies die der Aufgabe zugeordnete Sicherheitsgruppe. Für Aufgaben, die den host-Netzwerkmodus verwenden, ist dies die Sicherheitsgruppe, die der Amazon-EC2-Instance zugeordnet ist, die die Aufgabe hostet. Für Aufgaben, die den bridge-Netzwerkmodus verwenden, erstellen Sie keine Portzuordnungen, die Port 24224 verwenden.

Bei Aufgaben, die den bridge Netzwerkmodus verwenden, muss der Container mit der FireLens Konfiguration gestartet werden, bevor alle Anwendungscontainer gestartet werden, die darauf angewiesen sind. Um die Startreihenfolge Ihrer Container zu steuern, verwenden Sie Abhängigkeitsbedingungen in der Aufgabendefinition. Weitere Informationen finden Sie unter Container-Abhängigkeit.

FireLensFügt standardmäßig den Cluster- und Aufgabendefinitionsnamen sowie den Amazon-Ressourcennamen (ARN) des Clusters als Metadatenschlüssel zu Ihren stdout/stderr Container-Protokollen hinzu. Nachfolgend ist ein Beispiel für das Metadatenformat.

"ecs_cluster": "cluster-name",
"ecs_task_arn": "arn:aws:ecs:region:111122223333:task/cluster-name/f2ad7dba413f45ddb4EXAMPLE",
"ecs_task_definition": "task-def-name:revision",

Wenn Sie die Metadaten nicht in Ihren Protokollen haben möchten, setzen Sie enable-ecs-log-metadata zu false im firelensConfiguration-Abschnitt der Aufgabendefinition.

"firelensConfiguration":{
   "type":"fluentbit",
   "options":{
      "enable-ecs-log-metadata":"false",
      "config-file-type":"file",
      "config-file-value":"/extra.conf"
}

Um den FireLens Container so zu konfigurieren, dass er als Nicht-Root-Benutzer ausgeführt wird, müssen Sie den Benutzer in einem der folgenden Formate angeben:

Weitere Informationen zur Angabe eines Benutzers in einer Container-Definition finden Sie ContainerDefinition in der Amazon Elastic Container Service API-Referenz.

Der FireLens Container empfängt Anwendungsprotokolle über einen UNIX Socket. Der Amazon ECS-Agent verwendet denuid, um dem FireLens Container den Besitz des Socket-Verzeichnisses zuzuweisen.

Die Konfiguration des FireLens Containers für die Ausführung als Nicht-Root-Benutzer wird in der Amazon ECS Agent-Version 1.96.0 und höher sowie in der Amazon ECS-optimized AMI-Version v20250716 und höher unterstützt.

Wenn Sie einen Benutzer für den FireLens Container angeben, uid muss dieser eindeutig sein und darf nicht für andere Prozesse verwendet werden, die zu anderen Containern in der Aufgabe oder der Container-Instance gehören.