Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Memantau Kontainer Amazon ECS dengan ECS Exec

Dengan Amazon ECS Exec, Anda dapat berinteraksi langsung dengan kontainer tanpa harus terlebih dahulu berinteraksi dengan sistem operasi kontainer host, membuka port masuk, atau mengelola kunci SSH. Anda dapat menggunakan ECS Exec untuk menjalankan perintah di atau mendapatkan shell ke wadah yang berjalan di instans Amazon EC2 atau di AWS Fargate. Hal tersebut mempermudah pengumpulan informasi diagnostik dan memecahkan masalah kesalahan dengan cepat. Misalnya, dalam konteks pengembangan, Anda dapat menggunakan ECS Exec untuk berinteraksi dengan berbagai proses dalam wadah Anda dengan mudah dan memecahkan masalah aplikasi Anda. Dan dalam skenario produksi, Anda dapat menggunakannya untuk mendapatkan akses pecahan ke wadah Anda untuk men-debug masalah.

Anda dapat menjalankan perintah dalam wadah Linux atau Windows yang sedang berjalan menggunakan ECS Exec dari Amazon ECS API, AWS Command Line Interface (AWS CLI), AWS SDK, atau AWS Kopilot CLI. Untuk detail tentang penggunaan ECS Exec, serta panduan video, menggunakan AWS Kopilot CLI, lihat Kopilot GitHub dokumentasi.

Anda juga dapat menggunakan ECS Exec untuk mempertahankan kebijakan kontrol akses yang lebih ketat. Dengan mengaktifkan fitur ini secara selektif, Anda dapat mengendalikan siapa yang dapat menjalankan perintah dan ditugas mana mereka dapat menjalankan perintah tersebut. Dengan log setiap perintah dan outputnya, Anda dapat menggunakan ECS Exec untuk melihat tugas mana yang dijalankan dan Anda dapat menggunakan CloudTrail untuk mengaudit siapa yang mengakses wadah.

Pertimbangan-pertimbangan

Pertimbangkan hal berikut saat menggunakan ECS Exec:

Arsitektur

ECS Exec memanfaatkan AWS Systems Manager (SSM) Session Manager untuk membuat koneksi dengan wadah yang sedang berjalan dan menggunakan AWS Identity and Access Management (IAM) kebijakan untuk mengontrol akses ke perintah yang sedang berjalan dalam wadah yang sedang berjalan. Hal ini dimungkinkan dengan mengikat pemasangan biner SSM agent yang diperlukan ke dalam kontainer. Amazon ECS atau AWS Fargate agen bertanggung jawab untuk memulai agen inti SSM di dalam wadah bersama kode aplikasi Anda. Untuk informasi selengkapnya, lihat Systems Manager Session Manager.

Anda dapat mengaudit pengguna mana yang mengakses wadah menggunakan ExecuteCommand acara di AWS CloudTrail dan catat setiap perintah (dan outputnya) ke Amazon S3 atau Amazon CloudWatch Log. Untuk mengenkripsi data antara klien lokal dan wadah dengan kunci enkripsi Anda sendiri, Anda harus memberikan AWS Key Management Service (AWS KMS) kunci.

Mengkonfigurasi ECS Exec

Untuk menggunakan ECS Exec, Anda harus terlebih dahulu mengaktifkan fitur untuk tugas dan layanan Anda, dan kemudian Anda dapat menjalankan perintah di wadah Anda.

Perubahan ketentuan tugas opsional

Jika Anda mengatur parameter definisi tugas initProcessEnabled kepada true, ini memulai proses init di dalam wadah. Ini menghapus proses anak agen SSM zombie yang ditemukan. Contoh disediakan seperti berikut.

{
    "taskRoleArn": "ecsTaskRole",
    "networkMode": "awsvpc",
    "requiresCompatibilities": [
        "EC2",
        "FARGATE"
    ],
    "executionRoleArn": "ecsTaskExecutionRole",
    "memory": ".5 gb",
    "cpu": ".25 vcpu",
    "containerDefinitions": [
        {
            "name": "amazon-linux",
            "image": "amazonlinux:latest",
            "essential": true,
            "command": ["sleep","3600"],
            "linuxParameters": {
                "initProcessEnabled": true
            }
        }
    ],
    "family": "ecs-exec-task"
}

Mengaktifkan ECS Exec untuk tugas dan layanan Anda

Anda dapat mengaktifkan fitur ECS Exec untuk layanan dan tugas mandiri Anda dengan menentukan --enable-execute-command bendera saat menggunakan salah satu dari berikut ini AWS CLI perintah: create-service, update-service, start-task, atau run-task.

Misalnya, jika Anda menjalankan perintah berikut, fitur ECS Exec diaktifkan untuk layanan yang baru dibuat yang berjalan di Fargate. Untuk informasi selengkapnya tentang membuat layanan, lihat buat-layanan.

aws ecs create-service \
    --cluster cluster-name \
    --task-definition task-definition-name \
    --enable-execute-command \
    --service-name service-name \
    --launch-type FARGATE \
     --network-configuration "awsvpcConfiguration={subnets=[subnet-12344321],securityGroups=[sg-12344321],assignPublicIp=ENABLED}" \
    --desired-count 1

Setelah mengaktifkan ECS Exec untuk tugas, Anda dapat menjalankan perintah berikut untuk mengonfirmasi bahwa tugas siap digunakan. Jika properti lastStatus dari ExecuteCommandAgent terdaftar sebagai RUNNING dan properti enableExecuteCommand diatur ke true, maka tugas Anda sudah siap.

aws ecs describe-tasks \
    --cluster cluster-name \
    --tasks task-id

Potongan output berikut adalah contoh apa yang mungkin Anda lihat.

{
    "tasks": [
        {
            ...
            "containers": [
                {
                    ...
                    "managedAgents": [
                        {
                            "lastStartedAt": "2021-03-01T14:49:44.574000-06:00",
                            "name": "ExecuteCommandAgent",
                            "lastStatus": "RUNNING"
                        }
                    ]
                }
            ],
            ...
            "enableExecuteCommand": true,
            ...
        }
    ]
}

Menjalankan perintah menggunakan ECS Exec

Pencatatan menggunakan ECS Exec

Anda dapat mengonfigurasi pencatatan log untuk sesi ECS Exec untuk menangkap perintah dan output-nya untuk tujuan audit dan pemecahan masalah.

Mengaktifkan login tugas dan layanan Anda

Amazon ECS menyediakan konfigurasi default untuk mencatat perintah yang dijalankan menggunakan ECS Exec. Defaultnya adalah mengirim log ke CloudWatch Log menggunakan awslogs driver log yang dikonfigurasi dalam definisi tugas Anda. Jika Anda ingin memberikan konfigurasi khusus, AWS CLI mendukung a --configuration bendera untuk keduanya create-cluster dan update-cluster perintah. Gambar wadah membutuhkan script dan cat untuk diinstal agar log perintah diunggah dengan benar ke Amazon S3 atau CloudWatch Log. Untuk informasi selengkapnya tentang pembuatan klaster, lihat buat-klaster.

Contoh berikut membuat cluster dan kemudian mencatat output ke Anda CloudWatch Log LogGroup menamakan cloudwatch-log-group-name dan bucket Amazon S3 Anda bernama s3-bucket-name.

Anda harus menggunakan AWS KMS kunci yang dikelola pelanggan untuk mengenkripsi grup log saat Anda mengatur CloudWatchEncryptionEnabled pilihan untuk true. Untuk informasi tentang cara mengenkripsi grup log, lihat Enkripsi data log di CloudWatch Log menggunakan AWS Key Management Service, di Amazon CloudWatch Logs Panduan Pengguna.

aws ecs create-cluster \
    --cluster-name cluster-name \
    --configuration executeCommandConfiguration="{ \
        kmsKeyId=string, \
        logging=OVERRIDE, \
        logConfiguration={ \
            cloudWatchLogGroupName=cloudwatch-log-group-name, \
            cloudWatchEncryptionEnabled=true, \
            s3BucketName=s3-bucket-name, \
            s3EncryptionEnabled=true, \
            s3KeyPrefix=demo \
        } \
    }"

logging properti menentukan perilaku kemampuan logging ECS Exec:

Izin IAM diperlukan untuk Amazon CloudWatch Log atau Amazon S3 Logging

Untuk mengaktifkan logging, peran tugas Amazon ECS yang dirujuk dalam definisi tugas Anda harus memiliki izin tambahan. Izin tambahan ini dapat ditambahkan sebagai kebijakan ke peran tugas. Mereka berbeda tergantung pada apakah Anda mengarahkan log Anda ke Amazon CloudWatch Log atau Amazon S3.

Amazon CloudWatch Logs

Kebijakan contoh berikut menambahkan Amazon yang diperlukan CloudWatch Izin log.

{
   "Version":"2012-10-17",
   "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
               "logs:CreateLogStream",
               "logs:DescribeLogStreams",
               "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:us-east-1:111122223333:log-group:/aws/ecs/cloudwatch-log-group-name:*"
        }
   ]
}

Amazon S3

Kebijakan contoh berikut menambahkan izin Amazon S3 yang diperlukan.

{
   "Version":"2012-10-17",
   "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
           "Effect": "Allow",
           "Action": [
               "s3:GetEncryptionConfiguration"
           ],
           "Resource": "arn:aws:s3:::s3-bucket-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::s3-bucket-name/*"
        }
    ]
   }

Izin IAM diperlukan untuk enkripsi menggunakan milik Anda AWS KMS key (Kunci KMS)

Secara default, data yang ditransfer antara klien lokal Anda dan wadah menggunakan enkripsi TLS 1.2 yang AWS menyediakan. Untuk mengenkripsi data lebih lanjut menggunakan kunci KMS Anda sendiri, Anda harus membuat kunci KMS dan menambahkan kms:Decrypt izin untuk peran IAM tugas Anda. Izin ini digunakan oleh kontainer Anda untuk mendekripsi data. Untuk informasi selengkapnya tentang membuat kunci KMS, lihat Membuat kunci.

Anda menambahkan kebijakan sebaris berikut ke peran IAM tugas Anda yang membutuhkan AWS KMS izin. Untuk informasi selengkapnya, lihat Izin ECS Exec.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ]
}

Untuk data yang akan dienkripsi menggunakan kunci KMS Anda sendiri, pengguna atau grup menggunakan execute-command Tindakan harus diberikan kms:GenerateDataKey izin.

Contoh kebijakan berikut untuk pengguna atau grup berisi izin yang diperlukan untuk menggunakan kunci KMS Anda sendiri. Anda harus menentukan Nama Sumber Daya Amazon (ARN) dari kunci KMS Anda.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ]
}

Menggunakan kebijakan IAM untuk membatasi akses ke ECS Exec

Anda membatasi akses pengguna ke tindakan API execute-command dengan menggunakan satu atau beberapa kunci kondisi kebijakan IAM berikut:

Dengan contoh kebijakan IAM berikut, pengguna dapat menjalankan perintah dalam wadah yang berjalan di dalam tugas dengan tag yang memiliki environment kunci dan development nilai dan dalam cluster yang diberi nama cluster-name.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ExecuteCommand",
                "ecs:DescribeTasks"
            ],
            "Resource": [
                   "arn:aws:ecs:us-east-1:111122223333:task/cluster-name/*",
                   "arn:aws:ecs:us-east-1:111122223333:cluster/cluster-name"
            ],
            "Condition": {
                "StringEquals": {
                    "ecs:ResourceTag/environment": "development"
                }
            }
        }
    ]
}

Dengan contoh kebijakan IAM berikut, pengguna tidak dapat menggunakan execute-command API saat nama kontainer adalah production-app.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ecs:ExecuteCommand"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {                    
                    "ecs:container-name": "production-app"
                }
            }
        }
    ]
}

Dengan kebijakan IAM berikut, pengguna hanya dapat meluncurkan tugas saat ECS Exec dimatikan.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask",
                "ecs:StartTask",
                "ecs:CreateService",
                "ecs:UpdateService"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {                    
                    "ecs:enable-execute-command": "false"
                }
            }
        }
    ]
}

Untuk informasi selengkapnya tentang kunci kondisi kebijakan IAM, lihat Tindakan, sumber daya, dan kunci kondisi untuk Amazon Elastic Container Service di Referensi Otorisasi Layanan.

Membatasi akses ke tindakan Memulai Sesi

Meskipun memulai sesi SSM di wadah Anda di luar ECS Exec dimungkinkan, ini berpotensi mengakibatkan sesi tidak dicatat. Sesi yang dimulai di luar ECS Exec juga dihitung terhadap kuota sesi. Kami menyarankan untuk membatasi akses ini dengan menolak ssm:start-session bertindak langsung untuk tugas Amazon ECS Anda menggunakan kebijakan IAM. Anda dapat menolak akses ke semua tugas Amazon ECS atau ke tugas tertentu berdasarkan tag yang digunakan.

Berikut ini adalah contoh kebijakan IAM yang menolak akses ke ssm:start-session tindakan untuk tugas di semua Wilayah dengan nama cluster tertentu. Anda dapat menyertakan wildcard dengan cluster-name secara opsional.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:StartSession",
            "Resource": [
                   "arn:aws:ecs:us-east-1:111122223333:task/cluster-name/*"
            ]
        }
    ]
}

Berikut ini adalah contoh kebijakan IAM yang menolak akses ke ssm:start-session tindakan pada sumber daya di semua Wilayah yang ditandai dengan kunci tag Task-Tag-Key dan nilai tag Exec-Task.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ecs:*:*:task/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Task-Tag-Key": "Exec-Task"
                }
            }
        }
    ]
}

Pemecahan masalah ECS Exec

Untuk bantuan pemecahan masalah tambahan, lihat Memecahkan masalah dengan Exec.