Senden Sie Amazon ECS-Protokolle an eine AWS Service oder AWS Partner

Wenn Ihre Aufgabe auf Fargate gehostet wird und Sie Container-Images aus Amazon ECR abrufen oder auf vertrauliche Daten von verweisen AWS Secrets Manager In Ihrer Protokollkonfiguration müssen Sie dann die IAM-Rolle für die Aufgabenausführung angeben.

Wenn Sie eine benutzerdefinierte Konfigurationsdatei verwenden, die in Amazon S3 gehostet wird, muss Ihre IAM-Rolle für die Aufgabenausführung die s3:GetObject-Berechtigung enthalten.

Wir empfehlen, dass Sie dem Protokoll my_service_ den Namen des Protokoll-Containers hinzufügen, damit Sie die Container-Namen in der Konsole leicht unterscheiden können.

Amazon ECS fügt standardmäßig eine Start-Abhängigkeit zwischen den Anwendungs-Containern und dem FireLens-Container hinzu. Wenn Sie eine Container-Reihenfolge zwischen den Anwendungscontainern und dem FireLens-Container angeben, wird die standardmäßige Reihenfolge der Startcontainer außer Kraft gesetzt.

FireLens für Amazon ECS wird für Aufgaben unterstützt, die sowohl auf AWS Fargate unter Linux als auch auf Amazon EC2 unter Linux gehostet werden. Windows-Container unterstützen FireLens nicht.

Informationen zur Konfiguration der zentralen Protokollierung für Windows-Container finden Sie unter Zentralisierte Protokollierung für Windows-Container auf Amazon ECS mit Fluent Bit.

Sie können verwenden CloudFormation Vorlagen zum Konfigurieren FireLens für Amazon ECS. Weitere Informationen finden Sie unter AWS: :ECS:TaskDefinition FirelensConfiguration in der AWS CloudFormation Benutzerleitfaden

FireLens hört auf dem Port zu 24224, um sicherzustellen, dass FireLens Der Log-Router ist außerhalb der Aufgabe nicht erreichbar. Sie dürfen keinen eingehenden Verkehr auf dem Port zulassen 24224 in der Sicherheitsgruppe, die Ihre Aufgabe verwendet. Für Aufgaben, die den awsvpc-Netzwerkmodus verwenden, ist dies die der Aufgabe zugeordnete Sicherheitsgruppe. Für Aufgaben, die den host-Netzwerkmodus verwenden, ist dies die Sicherheitsgruppe, die der Amazon-EC2-Instance zugeordnet ist, die die Aufgabe hostet. Für Aufgaben, die den bridge-Netzwerkmodus verwenden, erstellen Sie keine Portzuordnungen, die Port 24224 verwenden.

Für Aufgaben, die das verwenden bridge Netzwerkmodus, der Container mit FireLens Die Konfiguration muss gestartet werden, bevor alle Anwendungscontainer, die darauf angewiesen sind, gestartet werden. Um die Startreihenfolge Ihrer Container zu steuern, verwenden Sie Abhängigkeitsbedingungen in der Aufgabendefinition. Weitere Informationen finden Sie unter Container-Abhängigkeit.

In der Standardeinstellung FireLens fügt den Cluster- und Aufgabendefinitionsnamen sowie den Amazon-Ressourcennamen (ARN) des Clusters als Metadatenschlüssel zu Ihrem hinzu stdout/stderr Container-Protokolle. Nachfolgend ist ein Beispiel für das Metadatenformat.

"ecs_cluster": "cluster-name",
"ecs_task_arn": "arn:aws:ecs:region:111122223333:task/cluster-name/f2ad7dba413f45ddb4EXAMPLE",
"ecs_task_definition": "task-def-name:revision",

Wenn Sie die Metadaten nicht in Ihren Protokollen haben möchten, setzen Sie enable-ecs-log-metadata zu false im firelensConfiguration-Abschnitt der Aufgabendefinition.

"firelensConfiguration":{
   "type":"fluentbit",
   "options":{
      "enable-ecs-log-metadata":"false",
      "config-file-type":"file",
      "config-file-value":"/extra.conf"
}

Um den zu konfigurieren FireLens Um einen Container ohne Root-Benutzer auszuführen, müssen Sie den Benutzer in einem der folgenden Formate angeben:

Weitere Hinweise zur Angabe eines Benutzers in einer Container-Definition finden Sie unter ContainerDefinition in der Amazon Elastic Container Service API-Referenz.

Das FireLens Container empfängt Anwendungsprotokolle über einen UNIX Buchse. Der Amazon ECS-Agent verwendet den uid um den Besitz des Socket-Verzeichnisses dem zuzuweisen FireLens Behälter.

Konfiguration des FireLens Ein Container, der als Benutzer ohne Root-Benutzer ausgeführt wird, wird in der Amazon ECS Agent-Version unterstützt 1.96.0 und später, und Amazon ECS-optimized AMI-Version v20250716 und später.

Wenn Sie einen Benutzer für den angeben FireLens Behälter, der uid muss eindeutig sein und darf nicht für andere Prozesse verwendet werden, die zu anderen Containern in der Aufgabe oder der Container-Instance gehören.