Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Titik akhir VPC antarmuka Amazon ECS (AWS PrivateLink)

Anda dapat meningkatkan postur keamanan VPC Anda dengan mengonfigurasi Amazon ECS untuk menggunakan antarmuka titik akhir VPC. Titik akhir antarmuka didukung oleh AWS PrivateLink, teknologi yang memungkinkan Anda mengakses API Amazon ECS secara pribadi dengan menggunakan alamat IP pribadi. AWS PrivateLink membatasi semua lalu lintas jaringan antara VPC Anda dan Amazon ECS ke jaringan Amazon. Anda tidak memerlukan sebuah gateway internet, perangkat NAT, atau gateway privat virtual.

Untuk informasi selengkapnya tentang AWS PrivateLink dan titik akhir VPC, lihat titik akhir VPC di Panduan Pengguna Amazon VPC.

Pertimbangan-pertimbangan

Pertimbangan untuk titik akhir di Wilayah diperkenalkan mulai 23 Desember 2023

Sebelum Anda menyiapkan titik akhir VPC antarmuka untuk Amazon ECS, perhatikan pertimbangan berikut:

Pertimbangan untuk titik akhir Amazon ECS VPC untuk Fargate

Ketika ada titik akhir VPC untuk ecr.dkr dan ecr.api di VPC yang sama tempat tugas Fargate diterapkan, itu akan menggunakan titik akhir VPC. Jika tidak ada titik akhir VPC, itu akan menggunakan antarmuka Fargate.

Sebelum Anda menyiapkan titik akhir VPC antarmuka untuk Amazon ECS, perhatikan pertimbangan berikut:

Pertimbangan untuk titik akhir Amazon ECS VPC untuk EC2

Sebelum Anda menyiapkan titik akhir VPC antarmuka untuk Amazon ECS, perhatikan pertimbangan berikut:

Memahami pola penamaan titik akhir Amazon ECS

Penting untuk dipahami bahwa agen Amazon ECS dapat membuat permintaan ke titik akhir dengan akhiran bernomor, seperti:

Perilaku ini terjadi karena agen Amazon ECS menggunakan DiscoverPollEndpoint API untuk secara dinamis menentukan titik akhir spesifik mana yang akan disambungkan. Jika titik akhir VPC Anda tidak menangani variasi titik akhir bernomor ini dengan benar, agen akan kembali menggunakan titik akhir publik, bahkan jika Anda telah mengonfigurasi titik akhir VPC untuk nama dasar.

Peran DiscoverPollEndpoint API

DiscoverPollEndpointAPI digunakan oleh agen Amazon ECS untuk menemukan titik akhir yang sesuai untuk melakukan polling tugas. Ketika agen memanggil API ini, ia menerima URL titik akhir tertentu yang mungkin menyertakan akhiran bernomor. Untuk memastikan titik akhir VPC berfungsi dengan benar, konfigurasi jaringan Anda harus mengizinkan agen untuk:

Jika Anda memecahkan masalah konektivitas titik akhir VPC, verifikasi bahwa agen Anda dapat mencapai titik akhir dasar dan variasi bernomor apa pun yang mungkin dikembalikan oleh API. DiscoverPollEndpoint

Membuat Endpoint VPC untuk Amazon ECS

Untuk membuat titik akhir VPC untuk layanan Amazon ECS, gunakan prosedur Ak ses AWS layanan menggunakan antarmuka titik akhir VPC di Panduan Pengguna Amazon VPC untuk membuat titik akhir berikut. Jika Anda memiliki instans kontainer yang berada dalam VPC Anda, Anda harus membuat titik akhir dalam urutan terdaftar mereka. Urutan langkah tidak membuat masalah jika Anda berencana untuk membuat VPC endpoint terlebih dahulu kemudian instans kontainer Anda.

T ecs-agent itik akhir menggunakan ecs:poll API, dan ecs-telemetry titik akhir menggunakan ecs:StartTelemetrySession API ecs:poll dan.

Jika Anda memiliki tugas yang sudah ada yang menggunakan jenis peluncuran EC2, setelah Anda membuat titik akhir VPC, setiap instance kontainer perlu mengambil konfigurasi baru. Agar hal ini terjadi, Anda harus me-reboot setiap instance kontainer atau memulai ulang agen kontainer Amazon ECS pada setiap instance kontainer. Untuk memulai ulang agen kontainer, lakukan hal berikut.

Setelah Anda membuat titik akhir VPC dan memulai ulang agen kontainer Amazon ECS pada setiap instans kontainer, semua tugas yang baru diluncurkan akan mengambil konfigurasi baru.

Membuat kebijakan titik akhir VPC untuk Amazon ECS

Anda dapat melampirkan kebijakan titik akhir ke titik akhir VPC yang mengontrol akses ke Amazon ECS. Kebijakan titik akhir menentukan informasi berikut:

Untuk informasi selengkapnya, lihat Mengontrol Akses ke Layanan dengan titik akhir VPC dalam Panduan Pengguna Amazon VPC.

Contoh: Kebijakan titik akhir VPC untuk tindakan Amazon ECS

Berikut ini adalah contoh kebijakan titik akhir untuk Amazon ECS. Saat dilampirkan ke titik akhir, kebijakan ini memberikan akses ke izin untuk membuat dan membuat daftar cluster. Tind ListClusters akan CreateCluster dan tidak menerima sumber daya apa pun, jadi definisi sumber daya diatur ke * untuk semua sumber daya.

{
   "Statement":[
    {
      "Principal":"*",
      "Effect": "Allow",
      "Action": [
        "ecs:CreateCluster",
        "ecs:ListClusters"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}