本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 ECS Exec 監控 Amazon ECS 容器

使用 Amazon ECS Exec，您可以直接與容器互動，而無需先與主機容器作業系統互動、開啟傳入連接埠或管理 SSH 金鑰。您可以使用 ECS Exec 執行命令，或為在 Amazon EC2 執行個體或 AWS Fargate上執行的容器取得 shell。如此一來就可以更輕鬆地收集診斷資訊並快速對錯誤進行故障診斷。例如，在開發環境中，您可以使用 ECS Exec 輕鬆地與容器中的各種程序互動，並對應用程式進行故障診斷。在生產案例中，您可以使用它來取得容器的碎片存取權，以偵錯問題。

您可以從 Amazon ECS API、 AWS Command Line Interface (AWS CLI)、 AWS SDKs 或 AWS Copilot CLI，使用 ECS Exec 在執行中的 Linux 或 Windows 容器中執行命令。如需使用 ECS Exec 的詳細資訊，以及使用 AWS Copilot CLI 的影片逐步解說，請參閱 Copilot GitHub 文件。

您也可以使用 ECS Exec 來維護更嚴格的存取控制政策。透過選擇性地開啟此功能，您可以控制執行命令的人員，以及他們可以執行這些命令的任務。透過每個命令及其輸出的日誌，您可以使用 ECS Exec 檢視已執行的任務，並使用 CloudTrail 來稽核存取容器的人員。

考量事項

使用 ECS Exec 時，請考慮下列事項：

架構

ECS Exec 使用 AWS Systems Manager (SSM) Session Manager 與執行中的容器建立連線，並使用 AWS Identity and Access Management (IAM) 政策控制對執行中容器中執行中命令的存取。將必要的 SSM 代理程式二進位檔繫結掛載至容器，即可達成此目的。Amazon ECS 或 AWS Fargate 代理程式負責在您的應用程式程式碼中啟動容器內的 SSM 核心代理程式。如需詳細資訊，請參閱 Systems Manager 工作階段管理員。

您可以使用 中的ExecuteCommand事件稽核存取容器的使用者， AWS CloudTrail 並將每個命令 （及其輸出） 記錄到 Amazon S3 或 Amazon CloudWatch Logs。若要使用您自己的加密金鑰加密本機用戶端和容器之間的資料，您必須提供 AWS Key Management Service (AWS KMS) 金鑰。

設定 ECS Exec

若要使用 ECS Exec，您必須先開啟任務和服務的功能，然後在容器中執行命令。

可選任務定義變更

如果您將任務定義參數設定為 initProcessEnabled true，這會啟動容器內的初始化程序。這會移除找到的任何殭屍 SSM 代理程式子程序。以下是範例。

{
    "taskRoleArn": "ecsTaskRole",
    "networkMode": "awsvpc",
    "requiresCompatibilities": [
        "EC2",
        "FARGATE"
    ],
    "executionRoleArn": "ecsTaskExecutionRole",
    "memory": ".5 gb",
    "cpu": ".25 vcpu",
    "containerDefinitions": [
        {
            "name": "amazon-linux",
            "image": "amazonlinux:latest",
            "essential": true,
            "command": ["sleep","3600"],
            "linuxParameters": {
                "initProcessEnabled": true
            }
        }
    ],
    "family": "ecs-exec-task"
}

為您的任務和服務開啟 ECS Exec

您可以在使用下列其中一個 AWS CLI 命令時指定 --enable-execute-command旗標，以開啟服務和獨立任務的 ECS Exec 功能：create-service、start-task、 update-service或 run-task。

例如，如果您執行下列命令，則會針對在 Fargate 上執行的新建立服務開啟 ECS Exec 功能。如需建立服務的詳細資訊，請參閱 create-service。

aws ecs create-service \
    --cluster cluster-name \
    --task-definition task-definition-name \
    --enable-execute-command \
    --service-name service-name \
    --launch-type FARGATE \
     --network-configuration "awsvpcConfiguration={subnets=[subnet-12344321],securityGroups=[sg-12344321],assignPublicIp=ENABLED}" \
    --desired-count 1

為任務開啟 ECS Exec 之後，您可以執行下列命令來確認任務已可供使用。如果 ExecuteCommandAgent 的 lastStatus 屬性會列為 RUNNING 且 enableExecuteCommand 屬性會設為 true，則您的任務已準備就緒。

aws ecs describe-tasks \
    --cluster cluster-name \
    --tasks task-id

以下輸出程式碼片段為您可能會看到的內容範例。

{
    "tasks": [
        {
            ...
            "containers": [
                {
                    ...
                    "managedAgents": [
                        {
                            "lastStartedAt": "2021-03-01T14:49:44.574000-06:00",
                            "name": "ExecuteCommandAgent",
                            "lastStatus": "RUNNING"
                        }
                    ]
                }
            ],
            ...
            "enableExecuteCommand": true,
            ...
        }
    ]
}

使用 ECS Exec 執行命令

使用 ECS Exec 記錄

您可以設定 ECS Exec 工作階段的記錄，以擷取命令及其輸出，以供稽核和故障診斷之用。

開啟記錄您的任務和服務

Amazon ECS 為使用 ECS Exec 執行的記錄命令提供預設組態。預設值是使用任務定義中設定的日誌驅動程式，將awslogs日誌傳送至 CloudWatch Logs。如果您想要提供自訂組態， AWS CLI 支援 create-cluster和 update-cluster命令的--configuration旗標。容器映像需要cat安裝 script和 ，才能將命令日誌正確上傳至 Amazon S3 或 CloudWatch Logs。如需建立叢集的詳細資訊，請參閱 create-cluster。

下列範例會建立叢集，然後將輸出記錄至名為 cloudwatch-log-group-name 的 CloudWatch Logs LogGroup 和名為 s3-bucket-name 的 Amazon S3 儲存貯體。

當您將 CloudWatchEncryptionEnabled選項設定為 時，必須使用 AWS KMS 客戶受管金鑰來加密日誌群組true。如需有關如何加密日誌群組的資訊，請參閱Amazon CloudWatch Logs 《 使用者指南》中的使用 加密 CloudWatch Logs 中的日誌資料 AWS Key Management Service。

aws ecs create-cluster \
    --cluster-name cluster-name \
    --configuration executeCommandConfiguration="{ \
        kmsKeyId=string, \
        logging=OVERRIDE, \
        logConfiguration={ \
            cloudWatchLogGroupName=cloudwatch-log-group-name, \
            cloudWatchEncryptionEnabled=true, \
            s3BucketName=s3-bucket-name, \
            s3EncryptionEnabled=true, \
            s3KeyPrefix=demo \
        } \
    }"

logging 屬性決定 ECS Exec 的日誌記錄功能行為：

Amazon CloudWatch Logs 或 Amazon S3 日誌記錄所需的 IAM 許可

若要啟用日誌記錄，任務定義中參考的 Amazon ECS 任務角色需要有額外的許可。這些額外的許可可以作為政策新增至任務角色。它們會根據您是否將日誌導向 Amazon CloudWatch Logs 或 Amazon S3 而有所不同。

Amazon CloudWatch Logs

下列政策範例會新增必要 Amazon CloudWatch Logs 許可。

{
   "Version": "2012-10-17",
   "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
               "logs:CreateLogStream",
               "logs:DescribeLogStreams",
               "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:us-east-1:111122223333:log-group:/aws/ecs/cloudwatch-log-group-name:*"
        }
   ]
}

Amazon S3

下列政策範例會新增必要 Amazon S3 許可。

{
   "Version": "2012-10-17",
   "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
           "Effect": "Allow",
           "Action": [
               "s3:GetEncryptionConfiguration"
           ],
           "Resource": "arn:aws:s3:::s3-bucket-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::s3-bucket-name/*"
        }
    ]
   }

使用您自己的加密所需的 IAM 許可 AWS KMS key (KMS 金鑰）

根據預設，本機用戶端與容器之間傳輸的資料會使用 AWS 提供的 TLS 1.2 加密。若要使用您自己的 KMS 金鑰進一步加密資料，您必須建立 KMS 金鑰並新增 kms:Decrypt 許可至您的任務 IAM 角色。您的容器使用此許可來解密資料。如需建立 KMS 金鑰的詳細資訊，請參閱建立金鑰。

您可以將下列內嵌政策新增至需要 AWS KMS 許可的任務 IAM 角色。如需詳細資訊，請參閱ECS Exec 許可。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ]
}

若要使用您自己的 KMS 金鑰加密資料，則必須向使用 execute-command 動作的使用者或群組授予 kms:GenerateDataKey 許可。

下列使用者或群組的範例政策包含使用您自己的 KMS 金鑰的必要許可。您必須指定 KMS 金鑰的 Amazon Resource Name (ARN)。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ]
}

使用 IAM 政策限制 ECS Exec 的存取

您可以使用下列一或多個 IAM 政策條件金鑰，限制使用者對執行命令 API 動作的存取：

使用下列範例 IAM 政策，使用者可以在任務內執行的容器中執行命令，任務標籤具有 environment 鍵和 development 值，並位於名為 cluster-name 的叢集中。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ExecuteCommand",
                "ecs:DescribeTasks"
            ],
            "Resource": [
                   "arn:aws:ecs:us-east-1:111122223333:task/cluster-name/*",
                   "arn:aws:ecs:us-east-1:111122223333:cluster/cluster-name"
            ],
            "Condition": {
                "StringEquals": {
                    "ecs:ResourceTag/environment": "development"
                }
            }
        }
    ]
}

在下列 IAM 政策範例中，當容器名稱為 production-app 時，使用者無法使用 execute-command API。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ecs:ExecuteCommand"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {                    
                    "ecs:container-name": "production-app"
                }
            }
        }
    ]
}

使用下列 IAM 政策，使用者只能在 ECS Exec 關閉時啟動任務。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask",
                "ecs:StartTask",
                "ecs:CreateService",
                "ecs:UpdateService"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {                    
                    "ecs:enable-execute-command": "false"
                }
            }
        }
    ]
}

如需有關 IAM 政策條件索引鍵的詳細資訊，請參閱《服務授權參考》中的 Amazon Elastic Container Service 的動作、資源與條件索引鍵。

限制存取「啟動工作階段」動作

雖然可以在 ECS Exec 之外的容器上啟動 SSM 工作階段，但這可能會導致工作階段未被記錄。在 ECS Exec 以外啟動的工作階段也會計入工作階段配額。建議您透過直接拒絕針對使用 IAM 政策之 Amazon ECS 任務的 ssm:start-session 動作來限制此存取。您可以根據使用的標籤拒絕存取所有 Amazon ECS 任務或特定任務。

以下為範例 IAM 政策，它會針對具有特定叢集名稱之所有區域中的任務，拒絕存取 ssm:start-session 動作。您可以選擇包含具有 cluster-name 的萬用字元。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:StartSession",
            "Resource": [
                   "arn:aws:ecs:us-east-1:111122223333:task/cluster-name/*"
            ]
        }
    ]
}

以下為範例 IAM 政策，它會針對所有具有標籤鍵 Task-Tag-Key 和標籤值 Exec-Task 的區域中的資源，拒絕對 ssm:start-session 動作的存取。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ecs:*:*:task/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Task-Tag-Key": "Exec-Task"
                }
            }
        }
    ]
}

對 ECS Exec 進行故障診斷

如需其他故障診斷說明，請參閱針對 Exec 的問題進行故障診斷。