View a markdown version of this page

Amazon ECS Service Connect avec service partagé AWS Cloud Map espaces de noms - Amazon Elastic Container Service
Considérations

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Amazon ECS Service Connect avec service partagé AWS Cloud Map espaces de noms

Amazon ECS Service Connect prend en charge l'utilisation du partage AWS Cloud Map espaces de noms sur plusieurs Comptes AWS dans le même Région AWS. Cette fonctionnalité vous permet de créer des applications distribuées dans lesquelles les services s'exécutent dans différents Comptes AWS peuvent se découvrir et communiquer entre eux via Service Connect. Les espaces de noms partagés sont gérés à l’aide d’ AWS Resource Access Manager (AWS RAM), qui permet un partage sécurisé des ressources entre comptes. Pour plus d'informations sur les espaces de noms partagés, consultez Cross-account AWS Cloud Map partage d'espaces de noms dans le AWS Cloud Map Guide du développeur.

Important

Vous devez utiliser l’autorisation gérée AWSRAMPermissionCloudMapECSFullPermission pour partager l’espace de noms afin que Service Connect fonctionne correctement avec l’espace de noms.

Lorsque vous utilisez le mode partagé AWS Cloud Map espaces de noms avec Service Connect, services provenant de plusieurs Comptes AWS peuvent participer au même espace de noms de service. Ceci est particulièrement utile pour les organisations ayant plusieurs Comptes AWS qui doivent maintenir une communication service à service au-delà des limites des comptes tout en préservant la sécurité et l'isolement.

Note

Pour communiquer avec des services situés dans différents VPC, vous devez configurer la connectivité entre VPC. Cela peut être réalisé à l’aide d’une connexion d’appairage de VPC. Pour plus d’informations, consultez la section Création ou suppression d’une connexion d’appairage de VPC dans le Guide d’appairage de VPC Amazon Virtual Private Cloud.

Considérations

Tenez compte des points suivants lorsque vous utilisez le mode partagé AWS Cloud Map espaces de noms avec Service Connect :

  • AWS RAM doit être disponible dans Région AWS où vous souhaitez utiliser l'espace de noms partagé.

  • L'espace de noms partagé doit être dans le même Région AWS en tant que services et clusters Amazon ECS.

  • Vous devez utiliser l’ARN de l’espace de noms, et non l’ID, lorsque vous configurez Service Connect avec un espace de noms partagé.

  • Tous les types d’espaces de noms sont pris en charge : espaces de noms HTTP, DNS privé et DNS public.

  • Si l’accès à un espace de noms partagé est révoqué, les opérations Amazon ECS qui nécessitent une interaction avec l’espace de noms (telles que CreateService, UpdateService et ListServicesByNamespace) échoueront. Pour plus d’informations sur la résolution des problèmes d’autorisation liés aux espaces de noms partagés, consultez la section Résolution des problèmes liés à Amazon ECS Service Connect avec un service partagé AWS Cloud Map espaces de noms.

  • Pour la découverte de service à l’aide de requêtes DNS dans un espace de noms DNS privé partagé :

    • Le propriétaire de l’espace de noms devra appeler create-vpc-association-authorization avec l’ID de la zone hébergée privée associée à l’espace de noms et le VPC du consommateur.

      aws route53 create-vpc-association-authorization --hosted-zone-id Z1234567890ABC --vpc VPCRegion=us-east-1,VPCId=vpc-12345678

    • Le consommateur de l’espace de noms devra appeler associate-vpc-with-hosted-zone avec l’ID de la zone hébergée privée.

      aws route53 associate-vpc-with-hosted-zone --hosted-zone-id Z1234567890ABC --vpc VPCRegion=us-east-1,VPCId=vpc-12345678

  • Seul le propriétaire de l’espace de noms peut gérer le partage des ressources.

  • Les consommateurs de l’espace de noms peuvent créer et gérer des services au sein de l’espace de noms partagé, mais ne peuvent pas modifier l’espace de noms lui-même.

  • Les noms de découverte doivent être uniques dans l’espace de noms partagé, quel que soit le compte qui crée le service.

  • Les services de l'espace de noms partagé peuvent découvrir et se connecter à des services provenant d'autres AWS comptes ayant accès à l'espace de noms.

  • Lorsque vous activez TLS pour Service Connect et utilisez un espace de noms partagé, l’autorité de certification (CA) CA privée AWS est limitée à l’espace de noms. Lorsque l’accès à l’espace de noms partagé est révoqué, l’accès à l’autorité de certification est interrompu.

  • Lorsqu'ils travaillent avec un espace de noms partagé, les propriétaires d'espaces de noms et les consommateurs n'ont pas accès à Amazon multicompte CloudWatch métriques par défaut. Les mesures cibles sont publiées uniquement pour les comptes qui possèdent des services clients. Un compte propriétaire de services client n'a pas accès aux métriques reçues par un compte propriétaire de services client-serveur, et vice versa. Pour permettre l'accès aux statistiques entre comptes, configurez CloudWatch observabilité entre comptes. Pour plus d'informations sur la configuration de l'observabilité entre comptes, consultez CloudWatch observabilité entre comptes dans le Amazon CloudWatch Guide de l'utilisateur. Pour plus d'informations sur le CloudWatch statistiques pour Service Connect, voir Amazon ECS CloudWatch indicateurs.