View a markdown version of this page

Amazon ECS Service Connect mit Shared AWS Cloud Map Namespaces - Amazon Elastic Container Service
Überlegungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Amazon ECS Service Connect mit Shared AWS Cloud Map Namespaces

Amazon ECS Service Connect unterstützt die Verwendung von Shared AWS Cloud Map Namespaces über mehrere AWS-Konten innerhalb desselben AWS-Region. Mit dieser Funktion können Sie verteilte Anwendungen erstellen, bei denen Dienste in verschiedenen Umgebungen ausgeführt werden AWS-Konten können einander über Service Connect erkennen und miteinander kommunizieren. Gemeinsam genutzte Namespaces werden mithilfe von AWS Resource Access Manager (AWS RAM) verwaltet, was eine sichere kontenübergreifende gemeinsame Nutzung von Ressourcen ermöglicht. Weitere Informationen zu gemeinsam genutzten Namespaces finden Sie unter Cross-account AWS Cloud Map gemeinsame Nutzung von Namespaces in der AWS Cloud Map Leitfaden für Entwickler.

Wichtig

Sie müssen die AWSRAMPermissionCloudMapECSFullPermission-verwaltete Berechtigung verwenden, um den Namespace gemeinsam zu nutzen, damit Service Connect ordnungsgemäß mit dem Namespace funktioniert.

Wenn du Shared verwendest AWS Cloud Map Namespaces mit Service Connect, Dienste von mehreren AWS-Konten kann am selben Dienst-Namespace teilnehmen. Dies ist besonders nützlich für Organisationen mit mehreren AWS-Konten die die Kommunikation von Dienst zu Dienst über Kontogrenzen hinweg aufrechterhalten und gleichzeitig Sicherheit und Isolierung wahren müssen.

Anmerkung

Um mit Services zu kommunizieren, die sich in verschiedenen VPCs befinden, müssen Sie die Inter-VPC-Konnektivität konfigurieren. Dies kann mithilfe einer VPC-Peering-Verbindung erreicht werden. Weitere Informationen finden Sie unter Erstellen oder Löschen einer VPC-Peering-Verbindung im VPC-Peering-Handbuch für Amazon Virtual Private Cloud.

Überlegungen

Beachten Sie bei der Verwendung von Shared Folgendes AWS Cloud Map Namespaces mit Service Connect:

  • AWS RAM muss verfügbar sein im AWS-Region wo Sie den gemeinsamen Namespace verwenden möchten.

  • Der gemeinsame Namespace muss sich im selben befinden AWS-Region wie Ihre Amazon ECS-Services und -Cluster.

  • Sie müssen den Namespace-ARN und nicht die ID verwenden, wenn Sie Service Connect mit einem gemeinsam genutzten Namespace konfigurieren.

  • Alle Namespace-Typen werden unterstützt: HTTP-, Private DNS- und Öffentliche DNS-Namespaces.

  • Wenn der Zugriff auf einen gemeinsam genutzten Namespace gesperrt wird, schlagen Amazon-ECS-Vorgänge fehl, die eine Interaktion mit dem Namespace erfordern (wie CreateService, UpdateService und ListServicesByNamespace). Weitere Informationen zur Fehlerbehebung bei gemeinsam genutzten Namespaces finden Sie unter Fehlerbehebung bei Amazon ECS Service Connect with shared AWS Cloud Map Namespaces.

  • Informationen zur Serviceerkennung mithilfe von DNS-Abfragen in einem gemeinsam genutzten privaten DNS-Namespace:

    • Der Namespace-Besitzer muss create-vpc-association-authorization mit der ID der privaten gehosteten Zone, die dem Namespace zugeordnet ist, und der VPC des Verbrauchers aufrufen.

      aws route53 create-vpc-association-authorization --hosted-zone-id Z1234567890ABC --vpc VPCRegion=us-east-1,VPCId=vpc-12345678

    • Der Namespace-Besitzer muss associate-vpc-with-hosted-zone mit der ID der privaten gehosteten Zone aufrufen.

      aws route53 associate-vpc-with-hosted-zone --hosted-zone-id Z1234567890ABC --vpc VPCRegion=us-east-1,VPCId=vpc-12345678

  • Nur der Namespace-Besitzer kann die Ressourcenfreigabe verwalten.

  • Namespace-Benutzer können Services innerhalb des gemeinsam genutzten Namespaces erstellen und verwalten, den Namespace selbst jedoch nicht ändern.

  • Erkennungsnamen müssen innerhalb des gemeinsam genutzten Namespaces eindeutig sein, unabhängig davon, welches Konto den Service erstellt.

  • Dienste im gemeinsamen Namespace können Dienste anderer erkennen und eine Verbindung zu ihnen herstellen AWS Konten, die Zugriff auf den Namespace haben.

  • Wenn TLS für Service Connect aktiviert und ein gemeinsam genutzter Namespace verwendet wird, ist die AWS Private CA Zertifizierungsstelle (CA) auf den Namespace beschränkt. Wenn der Zugriff auf den gemeinsam genutzten Namespace gesperrt wird, wird der Zugriff auf die CA gestoppt.

  • Wenn Sie mit einem gemeinsamen Namespace arbeiten, haben Namespace-Inhaber und Verbraucher keinen Zugriff auf das kontoübergreifende Amazon CloudWatch standardmäßig Metriken. Zielmetriken werden nur für Konten veröffentlicht, die über Kundenservices verfügen. Ein Konto, dem Kundendienste gehören, hat keinen Zugriff auf Metriken, die von einem Konto empfangen wurden, das Client-Server-Dienste besitzt, und umgekehrt. Um kontoübergreifenden Zugriff auf Metriken zu ermöglichen, richten Sie Folgendes ein CloudWatch Kontoübergreifende Beobachtbarkeit. Weitere Hinweise zur Konfiguration der kontoübergreifenden Beobachtbarkeit finden Sie unter CloudWatch kontoübergreifende Beobachtbarkeit in der Amazonas CloudWatch Benutzerleitfaden. Für weitere Informationen über die CloudWatch Metriken für Service Connect finden Sie unter Amazon ECS CloudWatch Metriken.