Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Endpoint VPC dell'interfaccia di Amazon ECS (AWS PrivateLink)

Puoi migliorare la posizione di sicurezza del VPC configurando Amazon ECS in modo che utilizzi un endpoint VPC di interfaccia. Gli endpoint di interfaccia sono alimentati da AWS PrivateLink, una tecnologia che consente di accedere in modo privato ad Amazon ECS APIs utilizzando indirizzi IP privati. AWS PrivateLink limita tutto il traffico di rete tra il tuo VPC e Amazon ECS alla rete Amazon. Non è richiesto un gateway Internet, un dispositivo NAT o un gateway privato virtuale.

Per ulteriori informazioni sugli AWS PrivateLink endpoint VPC, consulta la sezione Endpoint VPC nella Amazon VPC User Guide.

Considerazioni

Considerazioni relative agli endpoint nelle regioni introdotte a partire dal 23 dicembre 2023

Prima di configurare gli endpoint VPC di interfaccia per Amazon ECS, tieni presente le considerazioni riportate di seguito:

Considerazioni sugli endpoint VPC di Amazon ECS per Fargate

Quando è presente un endpoint VPC per ecr.dkr e ecr.api nello stesso VPC in cui viene implementata un'attività Fargate, verrà utilizzato l'endpoint VPC. Se non è presente alcun endpoint VPC, verrà utilizzata l'interfaccia Fargate.

Prima di configurare gli endpoint VPC di interfaccia per Amazon ECS, tieni presente le considerazioni riportate di seguito:

Considerazioni sugli endpoint VPC di Amazon ECS per EC2

Prima di configurare gli endpoint VPC di interfaccia per Amazon ECS, tieni presente le considerazioni riportate di seguito:

Comprensione dei modelli di denominazione degli endpoint Amazon ECS

È importante comprendere che l'agente Amazon ECS può inviare richieste a endpoint con suffissi numerati, ad esempio:

Questo comportamento si verifica perché l'agente Amazon ECS utilizza l'DiscoverPollEndpointAPI per determinare dinamicamente a quale endpoint specifico connettersi. Se gli endpoint VPC non gestiscono correttamente queste varianti numerate degli endpoint, l'agente tornerà a usare gli endpoint pubblici, anche se hai impostato gli endpoint VPC per i nomi di base.

Il ruolo dell'API DiscoverPollEndpoint

L'DiscoverPollEndpointAPI viene utilizzata dall'agente Amazon ECS per individuare l'endpoint appropriato su cui eseguire il polling delle attività. Quando l'agente richiama questa API, riceve un URL dell'endpoint specifico che può includere un suffisso numerato. Per garantire il corretto funzionamento degli endpoint VPC, la configurazione di rete deve permettere all'agente di:

Se stai risolvendo i problemi di connettività degli endpoint VPC, verifica che il tuo agente possa raggiungere sia gli endpoint di base che qualsiasi variante numerata che potrebbe essere restituita dall'API. DiscoverPollEndpoint

Creazione di endpoint VPC per Amazon ECS

Per creare l'endpoint VPC per il servizio Amazon ECS, utilizza la procedura Access an AWS service using an interface VPC endpoint nella Amazon VPC User Guide per creare i seguenti endpoint. Se sono presenti istanze di container all'interno del VPC, è necessario creare gli endpoint nell'ordine in cui sono elencati. Se intendi creare le istanze di container dopo la creazione dell'endpoint VPC, l'ordine non ha importanza.

L'endpoint ecs-agent usa l'API ecs:poll, mentre l'endpoint ecs-telemetry utilizza le API ecs:poll e ecs:StartTelemetrySession.

Se hai attività esistenti che utilizzano il tipo di EC2 avvio, dopo aver creato gli endpoint VPC, ogni istanza del contenitore deve acquisire la nuova configurazione. Perché ciò accada, è necessario riavviare ogni istanza di container o riavviare l'agente del container Amazon ECS in ogni istanza di container. Per riavviare l'agente container, effettua le seguenti operazioni.

Dopo aver creato gli endpoint VPC e riavviato l'agente del container di Amazon ECS in ogni istanza di container, tutte le attività appena avviate ottengono la nuova configurazione.

Creazione di una policy per l'endpoint VPC per Amazon ECS

Puoi allegare una policy di endpoint all'endpoint VPC che controlla l'accesso ad Amazon ECS. La policy specifica le informazioni riportate di seguito:

Per ulteriori informazioni, consulta Controllo degli accessi ai servizi con endpoint VPC in Guida per l'utente di Amazon VPC.

Esempio: policy di endpoint VPC per le operazioni Amazon ECS

Di seguito è riportato un esempio di una policy di endpoint per Amazon ECS. Se collegata a un endpoint, questa policy concede l'accesso all'autorizzazione per creare ed elencare i cluster. Le operazioni CreateCluster e ListClusters non accettano risorse, pertanto la definizione delle risorse è impostata su * per tutte le risorse.

{
   "Statement":[
    {
      "Principal":"*",
      "Effect": "Allow",
      "Action": [
        "ecs:CreateCluster",
        "ecs:ListClusters"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}