Amazon ECS Service Connect con espacios de nombres de AWS Cloud Map compartidos - Amazon Elastic Container Service
Consideraciones

Amazon ECS Service Connect con espacios de nombres de AWS Cloud Map compartidos

Amazon ECS Service Connect admite el uso de espacios de nombres de AWS Cloud Map compartidos entre varias Cuentas de AWS dentro de la misma Región de AWS. Esta capacidad le permite crear aplicaciones distribuidas en las que los servicios que se ponen en marcha en diferentes Cuentas de AWS pueden detectarse y comunicarse entre sí a través de Service Connect. Los espacios de nombres compartidos se administran mediante AWS Resource Access Manager (AWS RAM), lo que permite compartir recursos entre cuentas de forma segura. Para obtener más información sobre los espacios de nombres compartidos, consulte Cross-account AWS Cloud Map namespace sharing en la Guía para desarrolladores de AWS Cloud Map.

importante

Debe usar el permiso administrado AWSRAMPermissionCloudMapECSFullPermission para compartir el espacio de nombres para que Service Connect funcione correctamente con el espacio de nombres.

Cuando usa espacios de nombres de AWS Cloud Map compartidos con Service Connect, los servicios de varias Cuentas de AWS pueden participar en el mismo espacio de nombres del servicio. Esto resulta especialmente útil para las organizaciones con varias Cuentas de AWS que tienen que mantener la comunicación entre servicios a través de los límites de las cuentas y, al mismo tiempo, preservar la seguridad y el aislamiento.

nota

Para comunicarse con los servicios que se encuentran en diferentes VPC, deberá configurar la conectividad entre VPC. Esto se puede lograr mediante una conexión de emparejamiento de VPC. Para obtener más información, consulte Creación o eliminación de una interconexión de VPC en la Guía de emparejamiento de VPC de Amazon Virtual Private Cloud.

Consideraciones

Cuando utilice espacios de nombres de AWS Cloud Map compartidos con Service Connect, tenga en cuenta lo siguiente:

  • AWS RAM debe estar disponible en la Región de AWS en la que desee utilizar el espacio de nombres compartido.

  • El espacio de nombres compartido debe estar en la misma Región de AWS que los servicios y clústeres de Amazon ECS.

  • Debe usar el ARN del espacio de nombres, no el ID, al configurar Service Connect con un espacio de nombres compartido.

  • Se admiten todos los tipos de espacios de nombres: HTTP, DNS privado y DNS público.

  • Si se revoca el acceso a un espacio de nombres compartido, se producirá un error en las operaciones de Amazon ECS que necesiten la interacción con el espacio de nombres (como CreateService, UpdateService y ListServicesByNamespace) fallarán. Para obtener más información sobre cómo solucionar problemas relacionados con los permisos con espacios de nombres compartidos, consulte Solución de problemas de Amazon ECS Service Connect con espacios de nombres de AWS Cloud Map compartidos.

  • Para la detección de servicios mediante consultas de DNS en un espacio de nombres de DNS privado compartido, siga estos pasos:

    • El propietario del espacio de nombres tendrá que llamar a create-vpc-association-authorization con el ID de la zona alojada privada asociada al espacio de nombres y la VPC del consumidor.

      aws route53 create-vpc-association-authorization --hosted-zone-id Z1234567890ABC --vpc VPCRegion=us-east-1,VPCId=vpc-12345678

    • El consumidor del espacio de nombres tendrá que llamar a associate-vpc-with-hosted-zone con el ID de la zona alojada privada.

      aws route53 associate-vpc-with-hosted-zone --hosted-zone-id Z1234567890ABC --vpc VPCRegion=us-east-1,VPCId=vpc-12345678

  • Solo el propietario del espacio de nombres puede administrar el recurso compartido.

  • Los consumidores del espacio de nombres pueden crear y administrar servicios dentro del espacio de nombres compartido, pero no pueden modificar el espacio de nombres en sí.

  • Los nombres de detección deben ser únicos dentro del espacio de nombres compartido, independientemente de la cuenta que cree el servicio.

  • Los servicios del espacio de nombres compartido pueden detectar servicios de otras cuentas de AWS que tengan acceso al espacio de nombres y conectarse a ellos.

  • Al habilitar TLS para Service Connect y usar un espacio de nombres compartido, la autoridad de certificación (CA) de AWS Private CA se limita al espacio de nombres. Cuando se revoca el acceso al espacio de nombres compartido, se detiene el acceso a la CA.

  • Al trabajar con un espacio de nombres compartido, los propietarios y los consumidores del espacio de nombres no tienen acceso a las métricas de varias cuentas de Amazon CloudWatch de forma predeterminada. Las métricas de destino solo se publican para las cuentas que tienen servicios cliente. Las cuenta que son propietarias de servicios cliente no tienen acceso a las métricas que reciben las cuenta que son propietarias de servicios cliente-servidor, y viceversa. Para permitir el acceso entre cuentas a las métricas, configure la observabilidad entre cuentas de CloudWatch. Para obtener más información sobre cómo configurar la observabilidad entre cuentas, consulte Observabilidad entre cuentas de CloudWatch en la Guía del usuario de Amazon CloudWatch. Para obtener más información acerca de las métricas de CloudWatch para Service Connect, consulte Métricas de CloudWatch de Amazon ECS .