Bild des Gesandten

AWS App Mesh ist ein Service Mesh, das auf dem https://www.envoyproxy.io/ Envoy-Proxy basiert.

Sie müssen der Amazon ECS-Aufgabe, dem Kubernetes-Pod oder der Amazon EC2-Instance, die durch Ihren App Mesh-Endpunkt dargestellt wird, einen Envoy-Proxy hinzufügen, z. B. einen virtuellen Knoten oder ein virtuelles Gateway. App Mesh verkauft ein Envoy-Proxy-Container-Image, das mit den neuesten Sicherheitslücken- und Leistungsupdates gepatcht ist. App Mesh testet jede neue Envoy-Proxy-Version anhand des App Mesh-Funktionsumfangs, bevor Ihnen ein neues Image zur Verfügung gestellt wird.

Envoy-Image-Varianten

App Mesh bietet zwei Varianten des Envoy-Proxy-Container-Images. Der Unterschied zwischen den beiden besteht darin, wie der Envoy-Proxy mit der App Mesh-Datenebene kommuniziert und wie die Envoy-Proxys miteinander kommunizieren. Eines ist ein Standard-Image, das mit den Standard-App Mesh-Dienstendpunkten kommuniziert. Die andere Variante ist FIPS-compliant, die mit den App Mesh FIPS-Dienstendpunkten kommuniziert und die FIPS-Kryptografie bei der TLS-Kommunikation zwischen App Mesh-Diensten durchsetzt.

Sie können entweder ein regionales Bild aus der folgenden Liste oder ein Bild aus unserem öffentlichen Repository mit dem Namen auswählen. https://gallery.ecr.aws/appmesh/aws-appmesh-envoy aws-appmesh-envoy

cat << EOF > Dockerfile
FROM public.ecr.aws/appmesh/aws-appmesh-envoy:v1.22.0.0-prod as envoy

FROM public.ecr.aws/amazonlinux/amazonlinux:2
RUN yum -y update && \
    yum clean all && \
    rm -rf /var/cache/yum

COPY --from=envoy /usr/bin/envoy /usr/bin/envoy
COPY --from=envoy /usr/bin/agent /usr/bin/agent
COPY --from=envoy /aws_appmesh_aggregate_stats.wasm /aws_appmesh_aggregate_stats.wasm

CMD [ "/usr/bin/agent" ]
EOF

docker build -f Dockerfile -t aws-appmesh-envoy:v1.22.0.0-prod-al2 .

Der Zugriff auf dieses Container-Image in Amazon ECR wird von AWS Identity and Access Management (IAM) gesteuert. Daher müssen Sie IAM verwenden, um zu überprüfen, ob Sie Lesezugriff auf Amazon ECR haben. Wenn Sie beispielsweise Amazon ECS verwenden, können Sie einer Amazon ECS-Aufgabe eine entsprechende Rolle zur Aufgabenausführung zuweisen. Wenn Sie IAM-Richtlinien verwenden, die den Zugriff auf bestimmte Amazon ECR-Ressourcen einschränken, stellen Sie sicher, dass Sie den Zugriff auf den regionsspezifischen Amazon-Ressourcennamen (ARN) zulassen, der aws-appmesh-envoy das Repository identifiziert. In der us-west-2 Region gewähren Sie beispielsweise den Zugriff auf die folgende Ressource:. arn:aws:ecr:us-west-2:840364872350:repository/aws-appmesh-envoy Weitere Informationen finden Sie unter Amazon ECR-verwaltete Richtlinien. Wenn Sie Docker auf einer Amazon EC2-Instance verwenden, authentifizieren Sie Docker beim Repository. Weitere Informationen finden Sie unter Registrierungsauthentifizierung.

Gelegentlich veröffentlichen wir neue App Mesh-Funktionen, die von Envoy-Änderungen abhängen, die noch nicht mit den Upstream-Envoy-Images zusammengeführt wurden. Um diese neuen App Mesh-Funktionen nutzen zu können, bevor die Envoy-Änderungen im Upstream zusammengeführt werden, müssen Sie das App Mesh-vended Envoy-Container-Image verwenden. Eine Liste der Änderungen finden Sie in der App GitHub Mesh-Roadmap zu Problemen mit dem Label. Envoy Upstream Wir empfehlen, das App Mesh Envoy-Container-Image als die am besten unterstützte Option zu verwenden.