Pertimbangan-pertimbangan Memahami pola penamaan titik akhir Amazon ECS Membuat Endpoint VPC untuk Amazon ECS Membuat kebijakan titik akhir VPC untuk Amazon ECS

Titik akhir VPC antarmuka Amazon ECS (AWS PrivateLink)

Anda dapat meningkatkan postur keamanan VPC Anda dengan mengonfigurasi Amazon ECS untuk menggunakan antarmuka titik akhir VPC. Titik akhir antarmuka didukung oleh AWS PrivateLink, teknologi yang memungkinkan Anda mengakses API Amazon ECS secara pribadi dengan menggunakan alamat IP pribadi. AWS PrivateLink membatasi semua lalu lintas jaringan antara VPC Anda dan Amazon ECS ke jaringan Amazon. Anda tidak memerlukan sebuah gateway internet, perangkat NAT, atau gateway privat virtual.

Untuk informasi lebih lanjut tentang AWS PrivateLink dan titik akhir VPC, lihat Titik akhir VPC di Panduan Pengguna Amazon VPC.

Pertimbangan-pertimbangan

Pertimbangan untuk titik akhir di Wilayah diperkenalkan mulai 23 Desember 2023

Sebelum Anda menyiapkan titik akhir VPC antarmuka untuk Amazon ECS, perhatikan pertimbangan berikut:

Anda harus memiliki yang berikut Region-specific Titik akhir VPC:

catatan
Jika Anda tidak mengonfigurasi semua titik akhir, lalu lintas Anda akan melewati titik akhir publik, bukan titik akhir VPC Anda.
- com.amazonaws.region.ecs-agent
- com.amazonaws.region.ecs-telemetry
- com.amazonaws.region.ecs
Misalnya, Wilayah Kanada Barat (Calgary) (ca-west-1) membutuhkan titik akhir VPC berikut:
- com.amazonaws.ca-west-1.ecs-agent
- com.amazonaws.ca-west-1.ecs-telemetry
- com.amazonaws.ca-west-1.ecs

Saat Anda menggunakan template untuk membuat AWS sumber daya di Wilayah baru dan template disalin dari Wilayah yang diperkenalkan sebelum 23 Desember 2023, tergantung pada salinan-dari Wilayah, lakukan salah satu operasi berikut.

Misalnya, Wilayah salinan dari adalah AS Timur (Virginia Utara) (us-east-1). Wilayah copy-to adalah Kanada Barat (Calgary) (ca-west-1).

Konfigurasi	Tindakan
Wilayah yang disalin dari tidak memiliki titik akhir VPC.	Buat ketiga titik akhir VPC untuk Wilayah baru (misalnya, `com.amazonaws.ca-west-1.ecs-agent`).
Wilayah yang disalin dari berisi Region-specific Titik akhir VPC.	Buat ketiga titik akhir VPC untuk Wilayah baru (misalnya, `com.amazonaws.ca-west-1.ecs-agent`). Hapus ketiga titik akhir VPC untuk Wilayah salin-dari (misalnya, `com.amazonaws.us-east-1.ecs-agent`).

Pertimbangan untuk titik akhir Amazon ECS VPC untuk Fargate

Ketika ada titik akhir VPC untuk ecr.dkr dan ecr.api di VPC yang sama tempat tugas Fargate diterapkan, ia akan menggunakan titik akhir VPC. Jika tidak ada titik akhir VPC, itu akan menggunakan antarmuka Fargate.

Sebelum Anda menyiapkan titik akhir VPC antarmuka untuk Amazon ECS, perhatikan pertimbangan berikut:

Tugas yang menggunakan Fargate tidak memerlukan titik akhir VPC antarmuka untuk Amazon ECS, tetapi Anda mungkin memerlukan titik akhir VPC antarmuka untuk Amazon ECR, Secrets Manager, atau Amazon CloudWatch Log dijelaskan dalam poin-poin berikut.
- Untuk mengizinkan tugas Anda menarik gambar pribadi dari Amazon ECR, Anda harus membuat titik akhir VPC antarmuka untuk Amazon ECR. Untuk informasi lebih lanjut, lihat Antarmuka Titik Akhir VPC (AWS PrivateLink) di Panduan Pengguna Registri Kontainer Elastis Amazon.
  penting
  Jika Anda mengonfigurasi Amazon ECR untuk menggunakan titik akhir VPC antarmuka, Anda dapat membuat peran eksekusi tugas yang menyertakan kunci kondisi untuk membatasi akses ke titik akhir VPC atau VPC tertentu. Untuk informasi selengkapnya, lihat Tugas Fargate menarik gambar Amazon ECR melalui izin titik akhir antarmuka.
  
  Jika tugas Anda berada di IPv6-only konfigurasi dan gunakan URI gambar dualstack Amazon ECR, perhatikan bahwa Amazon ECR tidak mendukung titik akhir VPC antarmuka dualstack. Untuk informasi lebih lanjut, lihat Memulai dengan membuat permintaan melalui IPv6 di Panduan Pengguna Registri Kontainer Elastis Amazon.
- Untuk mengizinkan tugas Anda menarik data sensitif dari Secrets Manager, Anda harus membuat antarmuka titik akhir VPC untuk Manajer Rahasia. Untuk informasi selengkapnya, lihat Menggunakan Secrets Manager dengan VPC Endpoint dalam Panduan Pengguna AWS Secrets Manager .
- Jika VPC Anda tidak memiliki gateway internet dan tugas Anda gunakan awslogs driver log untuk mengirim informasi log ke CloudWatch Log, Anda harus membuat titik akhir VPC antarmuka untuk CloudWatch Log. Untuk informasi lebih lanjut, lihat Menggunakan CloudWatch Log dengan Titik Akhir Antarmuka VPC di Amazon CloudWatch Panduan Pengguna Log.
VPC endpoint saat ini tidak mendukung permintaan lintas Wilayah. Pastikan Anda membuat titik akhir di Wilayah yang sama tempat Anda berencana untuk mengeluarkan panggilan API ke Amazon ECS. Misalnya, asumsikan bahwa Anda ingin menjalankan tugas di AS Timur (Virginia Utara). Kemudian, Anda harus membuat titik akhir Amazon ECS VPC di AS Timur (Virginia Utara). Titik akhir VPC Amazon ECS yang dibuat di wilayah lain tidak dapat menjalankan tugas di AS Timur (Virginia Utara).
Hanya mendukung titik akhir VPC Amazon-provided DNS melalui Amazon Route 53. Jika Anda ingin menggunakan DNS Anda sendiri, Anda dapat menggunakan penerusan DNS bersyarat. Untuk informasi selengkapnya, lihat Pengaturan DHCP dalam Panduan Pengguna Amazon VPC.
Grup keamanan yang dilampirkan ke titik akhir VPC harus mengizinkan koneksi masuk pada port TCP 443 dari subnet pribadi VPC.
Manajemen Service Connect dari proxy Envoy menggunakan com.amazonaws.region.ecs-agent Titik akhir VPC. Bila Anda tidak menggunakan titik akhir VPC, manajemen Service Connect dari proxy Envoy menggunakan ecs-sc titik akhir di wilayah tersebut. Untuk daftar titik akhir Amazon ECS di setiap Wilayah, lihat Titik akhir dan kuota Amazon ECS.

Pertimbangan untuk titik akhir Amazon ECS VPC untuk EC2

Sebelum Anda menyiapkan titik akhir VPC antarmuka untuk Amazon ECS, perhatikan pertimbangan berikut:

Tugas yang menggunakan EC2 mengharuskan instance kontainer yang diluncurkan untuk menjalankan versi 1.25.1 atau yang lebih baru dari agen kontainer Amazon ECS. Untuk informasi selengkapnya, lihat Manajemen instans kontainer Amazon ECS Linux.
Untuk mengizinkan tugas Anda menarik data sensitif dari Secrets Manager, Anda harus membuat antarmuka titik akhir VPC untuk Manajer Rahasia. Untuk informasi selengkapnya, lihat Menggunakan Secrets Manager dengan VPC Endpoint dalam Panduan Pengguna AWS Secrets Manager .
Jika VPC Anda tidak memiliki gateway internet dan tugas Anda gunakan awslogs driver log untuk mengirim informasi log ke CloudWatch Log, Anda harus membuat titik akhir VPC antarmuka untuk CloudWatch Log. Untuk informasi lebih lanjut, lihat Menggunakan CloudWatch Log dengan Titik Akhir Antarmuka VPC di Amazon CloudWatch Panduan Pengguna Log.
VPC endpoint saat ini tidak mendukung permintaan lintas Wilayah. Pastikan Anda membuat titik akhir di Wilayah yang sama tempat Anda berencana untuk mengeluarkan panggilan API ke Amazon ECS. Misalnya, asumsikan bahwa Anda ingin menjalankan tugas di AS Timur (Virginia Utara). Kemudian, Anda harus membuat titik akhir Amazon ECS VPC di AS Timur (Virginia Utara). Titik akhir VPC Amazon ECS yang dibuat di Wilayah lain tidak dapat menjalankan tugas di AS Timur (Virginia Utara).
Hanya mendukung titik akhir VPC Amazon-provided DNS melalui Amazon Route 53. Jika Anda ingin menggunakan DNS Anda sendiri, Anda dapat menggunakan penerusan DNS bersyarat. Untuk informasi selengkapnya, lihat Pengaturan DHCP dalam Panduan Pengguna Amazon VPC.
Grup keamanan yang dilampirkan ke titik akhir VPC harus mengizinkan koneksi masuk pada port TCP 443 dari subnet pribadi VPC.

Memahami pola penamaan titik akhir Amazon ECS

Agen kontainer Amazon ECS menggunakan DiscoverPollEndpoint API untuk menemukan agen dan titik akhir telemetri untuk terhubung. Nama host yang dikembalikan tergantung pada apakah panggilan menggunakan com.amazonaws.region.ecs antarmuka titik akhir VPC.

Ketika panggilan masuk melalui ecs antarmuka titik akhir VPC, titik akhir yang dikembalikan menggunakan nama DNS pribadi dasar ecs-a.region.amazonaws.com dan ecs-t.region.amazonaws.com. Pengidentifikasi numerik muncul di jalur URL, misalnya https://ecs-a.region.amazonaws.com/acs/1/.
Ketika panggilan tidak melalui ecs antarmuka titik akhir VPC, titik akhir yang dikembalikan dapat menggunakan nama host bernomor, seperti ecs-a-1.region.amazonaws.com dan ecs-t-1.region.amazonaws.com. Nama host ini diselesaikan ke titik akhir publik.

Anda tidak perlu membuat catatan DNS untuk nama host bernomor. Jika Anda menggunakan zona host pribadi Route 53 Anda sendiri alih-alih DNS pribadi titik akhir, buat zona yang dihosting hanya untuk domain berikut:

ecs.region.amazonaws.com
ecs-a.region.amazonaws.com
ecs-t.region.amazonaws.com

Memecahkan masalah konektivitas agen melalui titik akhir VPC

Jika instance kontainer Anda terhubung ke nama host bernomor seperti ecs-a-1.region.amazonaws.com, agen DiscoverPollEndpoint Panggilan tidak melalui ecs antarmuka titik akhir VPC. Periksa hal berikut dari instance kontainer:

ecs.region.amazonaws.com terselesaikan ke alamat IP pribadi Anda ecs titik akhir.
Jika agen menggunakan proxy HTTP, salah satu proxy menyelesaikan ecs.region.amazonaws.com untuk Anda ecs titik akhir, atau nama host ada di NO_PROXY. Jika tidak, proxy dapat mengirim panggilan melalui jalur publik bahkan ketika DNS pada instance sudah benar. Untuk informasi selengkapnya, lihat Menggunakan proxy HTTP untuk instans container Amazon ECS Linux.

Setelah panggilan berjalan melalui ecs titik akhir, agen terhubung ke ecs-a.region.amazonaws.com dan ecs-t.region.amazonaws.com. Pastikan Anda juga membuat ecs-agent dan ecs-telemetry antarmuka titik akhir VPC dan nama host tersebut diselesaikan ke alamat IP pribadinya. Untuk informasi selengkapnya, lihat Membuat Endpoint VPC untuk Amazon ECS.

Membuat Endpoint VPC untuk Amazon ECS

Untuk membuat titik akhir VPC untuk layanan Amazon ECS, gunakan Akses AWS layanan menggunakan antarmuka titik akhir VPC prosedur di Panduan Pengguna Amazon VPC untuk membuat titik akhir berikut. Jika Anda memiliki instans kontainer yang berada dalam VPC Anda, Anda harus membuat titik akhir dalam urutan terdaftar mereka. Urutan langkah tidak membuat masalah jika Anda berencana untuk membuat VPC endpoint terlebih dahulu kemudian instans kontainer Anda.

catatan

Jika Anda tidak mengonfigurasi semua titik akhir, lalu lintas Anda akan melewati titik akhir publik, bukan titik akhir VPC Anda.

Saat Anda membuat titik akhir, Amazon ECS juga membuat nama DNS pribadi untuk titik akhir. Contohnya, ecs-a.region.amazonaws.com untuk ecs-agent dan ecs-t.region.amazonaws.com untuk ecs-telemetri.

com.amazonaws.region.ecs-agent
com.amazonaws.region.ecs-telemetry
com.amazonaws.region.ecs

catatan

region mewakili pengidentifikasi Wilayah untuk AWS Wilayah yang didukung oleh Amazon ECS, seperti us-east-2 untuk Wilayah Timur AS (Ohio).

Yang ecs-agent endpoint menggunakan ecs:poll API, dan ecs-telemetry endpoint menggunakan ecs:poll dan ecs:StartTelemetrySession API.

Jika Anda memiliki tugas yang sudah ada yang menggunakan jenis peluncuran EC2, setelah Anda membuat titik akhir VPC, setiap instance kontainer perlu mengambil konfigurasi baru. Agar hal ini terjadi, Anda harus me-reboot setiap instance kontainer atau memulai ulang agen kontainer Amazon ECS pada setiap instance kontainer. Untuk memulai ulang agen kontainer, lakukan hal berikut.

Untuk memulai ulang agen kontainer Amazon ECS

Masuk ke instans kontainer Anda melalui SSH.
Hentikan kontainer agen.
```
sudo docker stop ecs-agent
```
Mulai kontainer agen.
```
sudo docker start ecs-agent
```

Setelah Anda membuat titik akhir VPC dan memulai ulang agen kontainer Amazon ECS pada setiap instance kontainer, semua tugas yang baru diluncurkan akan mengambil konfigurasi baru.

Membuat kebijakan titik akhir VPC untuk Amazon ECS

Anda dapat melampirkan kebijakan titik akhir ke titik akhir VPC yang mengontrol akses ke Amazon ECS. Kebijakan titik akhir menentukan informasi berikut:

Prinsipal yang dapat melakukan tindakan.
Tindakan yang dapat dilakukan.
Sumber daya yang menjadi target tindakan.

Untuk informasi selengkapnya, lihat Mengontrol Akses ke Layanan dengan titik akhir VPC dalam Panduan Pengguna Amazon VPC.

Contoh: Kebijakan titik akhir VPC untuk tindakan Amazon ECS

Berikut ini adalah contoh kebijakan titik akhir untuk Amazon ECS. Saat dilampirkan ke titik akhir, kebijakan ini memberikan akses ke izin untuk membuat dan membuat daftar cluster. Yang CreateCluster dan ListClusters tindakan tidak menerima sumber daya apa pun, sehingga definisi sumber daya diatur ke * untuk semua sumber daya.


{
   "Statement":[
    {
      "Principal":"*",
      "Effect": "Allow",
      "Action": [
        "ecs:CreateCluster",
        "ecs:ListClusters"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Keamanan Infrastruktur

Model tanggung jawab bersama