View a markdown version of this page

Points de terminaison VPC de l'interface Amazon ECS (AWS PrivateLink) - Amazon Elastic Container Service
ConsidérationsCompréhension des modèles de dénomination des points de terminaison Amazon ECSCréation de points de terminaison de VPC pour Amazon ECSCréation d'une stratégie de point de terminaison d'un VPC pour Amazon ECS

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Points de terminaison VPC de l'interface Amazon ECS (AWS PrivateLink)

Vous pouvez améliorer le niveau de sécurité de votre VPC en configurant Amazon ECS pour utiliser un point de terminaison d’un VPC d'interface. Les points de terminaison de l'interface sont alimentés par AWS PrivateLink, une technologie qui vous permet d'accéder en privé aux API Amazon ECS à l'aide d'adresses IP privées. AWS PrivateLink limite l'ensemble du trafic réseau entre votre VPC et Amazon ECS vers le réseau Amazon. Vous n'avez pas besoin d'une passerelle Internet, d'un périphérique NAT ni d'une passerelle privée virtuelle.

Pour plus d'informations sur AWS PrivateLink et points de terminaison VPC, voir Points de terminaison VPC dans le Guide de l'utilisateur d'Amazon VPC.

Considérations

Considérations relatives aux points de terminaison dans les régions introduites à compter du 23 décembre 2023

Avant de configurer des points de terminaison d'un VPC d'interface pour Amazon ECS, tenez compte de ce qui suit :

  • Vous devez disposer des éléments suivants Region-specific Points de terminaison VPC :

    Note

    Si vous ne configurez pas tous les points de terminaison, votre trafic passera par les points de terminaison publics, et non par votre point de terminaison de VPC.

    • com.amazonaws.region.ecs-agent

    • com.amazonaws.region.ecs-telemetry

    • com.amazonaws.region.ecs

    Par exemple, la région Canada Ouest (Calgary) (ca-west-1) a besoin des points de terminaison de VPC suivants :

    • com.amazonaws.ca-west-1.ecs-agent

    • com.amazonaws.ca-west-1.ecs-telemetry

    • com.amazonaws.ca-west-1.ecs

  • Lorsque vous utilisez un modèle pour créer AWS ressources de la nouvelle région et le modèle a été copié à partir d'une région introduite avant le 23 décembre 2023, en fonction de la région de copie, effectuez l'une des opérations suivantes.

    Par exemple, la région source de la copie est USA Est (Virginie du Nord) (us-east-1). La région destination de la copie est Canada Ouest (Calgary) (ca-west-1)

    Configuration Action

    La région source copiée ne possède aucun point de terminaison VPC.

    Créez les trois points de terminaison de VPC pour la nouvelle région (par exemple, com.amazonaws.ca-west-1.ecs-agent).

    La région copiée contient Region-specific Points de terminaison VPC.

    1. Créez les trois points de terminaison de VPC pour la nouvelle région (par exemple, com.amazonaws.ca-west-1.ecs-agent).

    2. Supprimez les trois points de terminaison VPC pour la région source (par exemple, com.amazonaws.us-east-1.ecs-agent).

Éléments à prendre en compte pour les points de terminaison de VPC Amazon ECS pour Fargate

Lorsqu’il existe un point de terminaison de VPC pour ecr.dkr et ecr.api dans le même VPC dans lequel une tâche Fargate est déployée, le point de terminaison de VPC est utilisé. S’il n’y a pas de point de terminaison de VPC, l’interface Fargate est utlilisée.

Avant de configurer des points de terminaison d'un VPC d'interface pour Amazon ECS, tenez compte de ce qui suit :

  • Les tâches utilisant Fargate ne nécessitent pas les points de terminaison VPC d'interface pour Amazon ECS, mais vous pourriez avoir besoin de points de terminaison VPC d'interface pour Amazon ECR, Secrets Manager ou Amazon CloudWatch Journaux décrits dans les points suivants.

    • Pour autoriser vos tâches à extraire des images privées depuis Amazon ECR, vous devez créer les points de terminaison d’un VPC d'interface pour Amazon ECR. Pour de plus amples informations, veuillez consulter Points de terminaison de VPC d'interface (AWS PrivateLink) dans le Guide de l'utilisateur Amazon Elastic Container Registry.

      Important

      • Si vous configurez Amazon ECR pour utiliser un point de terminaison de VPC d'interface, vous pouvez créer un rôle d'exécution de tâche incluant des clés de condition pour restreindre l'accès à un VPC ou à un point de terminaison de VPC spécifique. Pour plus d’informations, consultez Tâches Fargate extrayant des images Amazon ECR via les autorisations des points de terminaison d’interface.

      • Si vos tâches se situent dans un IPv6-only configurez et utilisez un URI d'image Amazon ECR dualstack, notez qu'Amazon ECR ne prend pas en charge les points de terminaison VPC à interface dualstack. Pour plus d’informations, consultez la section Premiers pas avec les requêtes IPv6 dans le Guide de l’utilisateur Amazon Elastic Container Registry.

    • Pour autoriser vos tâches à extraire des données sensibles depuis Secrets Manager, vous devez créer les points de terminaison d’un VPC d'interface pour Secrets Manager. Pour de plus amples informations, veuillez consulter Utilisation de Secrets Manager avec des points de terminaison de VPC dans le Guide de l'utilisateur AWS Secrets Manager .

    • Si votre VPC ne possède pas de passerelle Internet et que vos tâches utilisent awslogs pilote de journal auquel envoyer les informations de journal CloudWatch Journaux, vous devez créer une interface pour laquelle vous devez créer un point de terminaison VPC CloudWatch Journaux. Pour plus d'informations, voir En utilisant CloudWatch Journaux avec les points de terminaison VPC d'interface dans le Amazon CloudWatch Guide de l'utilisateur des journaux.

  • Les points de terminaison d'un VPC ne prennent pas en charge les demandes inter-régions pour le moment. Veillez à créer votre point de terminaison dans la même région que celle dans laquelle vous souhaitez envoyer vos appels d'API à Amazon ECS. Supposons, par exemple, que vous souhaitiez exécuter des tâches dans USA Est (Virginie du Nord). Vous devez ensuite créer le point de terminaison Amazon ECS VPC dans USA Est (Virginie du Nord). Un point de terminaison d'un VPC Amazon ECS créé dans une autre région ne peut pas exécuter de tâche dans USA Est (Virginie du Nord).

  • Prise en charge des terminaux VPC uniquement Amazon-provided DNS via Amazon Route 53. Si vous souhaitez utiliser votre propre DNS, vous pouvez utiliser le transfert DNS conditionnel. Pour en savoir plus, consultez Jeux d'options DHCP dans le Guide de l'utilisateur Amazon VPC.

  • Le groupe de sécurité attaché au point de terminaison d'un VPC doit autoriser les connexions entrantes sur le port TCP 443 à partir du sous-réseau privé du VPC.

  • La gestion Service Connect du proxy Envoy utilise le point de terminaison d'un VPC com.amazonaws.region.ecs-agent. Lorsque vous n'utilisez pas les points de terminaison d'un VPC, la gestion Service Connect du proxy Envoy utilise le point de terminaison ecs-sc de cette région. Pour obtenir la liste des points de terminaison Amazon ECS dans chaque région, veuillez consulter Points de terminaison et quotas Amazon ECS (langue française non garantie).

Considérations relatives aux points de terminaison de VPC Amazon ECS

Avant de configurer des points de terminaison d'un VPC d'interface pour Amazon ECS, tenez compte de ce qui suit :

  • Les tâches qui utilisent EC2 nécessitent que les instances de conteneur sur lesquelles elles sont lancées exécutent la version 1.25.1 ou ultérieure de l’agent de conteneur Amazon ECS. Pour plus d’informations, consultez Gestion des instances de conteneur Amazon ECS Linux.

  • Pour autoriser vos tâches à extraire des données sensibles depuis Secrets Manager, vous devez créer les points de terminaison d’un VPC d'interface pour Secrets Manager. Pour de plus amples informations, veuillez consulter Utilisation de Secrets Manager avec des points de terminaison de VPC dans le Guide de l'utilisateur AWS Secrets Manager .

  • Si votre VPC ne possède pas de passerelle Internet et que vos tâches utilisent awslogs pilote de journal auquel envoyer les informations de journal CloudWatch Journaux, vous devez créer une interface pour laquelle vous devez créer un point de terminaison VPC CloudWatch Journaux. Pour plus d'informations, voir En utilisant CloudWatch Journaux avec les points de terminaison VPC d'interface dans le Amazon CloudWatch Guide de l'utilisateur des journaux.

  • Les points de terminaison d'un VPC ne prennent pas en charge les demandes inter-régions pour le moment. Veillez à créer votre point de terminaison dans la même région que celle dans laquelle vous souhaitez envoyer vos appels d'API à Amazon ECS. Supposons, par exemple, que vous souhaitiez exécuter des tâches dans USA Est (Virginie du Nord). Vous devez ensuite créer le point de terminaison Amazon ECS VPC dans USA Est (Virginie du Nord). Un point de terminaison de VPC Amazon ECS créé dans une autre région ne peut pas exécuter de tâche dans la région USA Est (Virginie du Nord).

  • Prise en charge des terminaux VPC uniquement Amazon-provided DNS via Amazon Route 53. Si vous souhaitez utiliser votre propre DNS, vous pouvez utiliser le transfert DNS conditionnel. Pour en savoir plus, consultez Jeux d'options DHCP dans le Guide de l'utilisateur Amazon VPC.

  • Le groupe de sécurité attaché au point de terminaison d'un VPC doit autoriser les connexions entrantes sur le port TCP 443 à partir du sous-réseau privé du VPC.

Compréhension des modèles de dénomination des points de terminaison Amazon ECS

L'agent de conteneur Amazon ECS utilise DiscoverPollEndpoint API permettant de trouver l'agent et les points de terminaison de télémétrie auxquels se connecter. Les noms d'hôte renvoyés varient selon que l'appel utilise ou non com.amazonaws.region.ecs point de terminaison VPC d'interface.

  • Lorsque l'appel passe par ecs interface point de terminaison VPC, les points de terminaison renvoyés utilisent les noms DNS privés de base ecs-a.region.amazonaws.com et ecs-t.region.amazonaws.com. Un identifiant numérique apparaît dans le chemin de l'URL, par exemple https://ecs-a.region.amazonaws.com/acs/1/.

  • Lorsque l'appel ne passe pas par le ecs interface point de terminaison VPC, les points de terminaison renvoyés peuvent utiliser des noms d'hôte numérotés, tels que ecs-a-1.region.amazonaws.com et ecs-t-1.region.amazonaws.com. Ces noms d'hôte se réfèrent à des points de terminaison publics.

Il n'est pas nécessaire de créer des enregistrements DNS pour les noms d'hôtes numérotés. Si vous utilisez vos propres zones hébergées privées Route 53 au lieu du DNS privé du terminal, créez des zones hébergées uniquement pour les domaines suivants :

  • ecs.region.amazonaws.com

  • ecs-a.region.amazonaws.com

  • ecs-t.region.amazonaws.com

Résolution des problèmes de connectivité des agents via les terminaux VPC

Si vos instances de conteneur se connectent à des noms d'hôte numérotés tels que ecs-a-1.region.amazonaws.com, l'agent DiscoverPollEndpoint l'appel ne passe pas par le ecs point de terminaison VPC d'interface. Vérifiez les points suivants à partir de l'instance de conteneur :

  • ecs.region.amazonaws.com se résout aux adresses IP privées de votre ecs point final.

  • Si l'agent utilise un proxy HTTP, soit le proxy résout ecs.region.amazonaws.com à votre ecs point de terminaison, ou le nom d'hôte se trouve dans NO_PROXY. Sinon, le proxy peut envoyer l'appel via le chemin public même si le DNS de l'instance est correct. Pour plus d’informations, consultez Utilisation d’un proxy HTTP pour les instances de conteneur Amazon ECS Linux.

Une fois l'appel passé par ecs point de terminaison auquel l'agent se connecte ecs-a.region.amazonaws.com et ecs-t.region.amazonaws.com. Assurez-vous que vous avez également créé le ecs-agent et ecs-telemetry interfacer les points de terminaison VPC et que ces noms d'hôtes soient résolus en adresses IP privées. Pour plus d’informations, consultez Création de points de terminaison de VPC pour Amazon ECS.

Création de points de terminaison de VPC pour Amazon ECS

Pour créer le point de terminaison VPC pour le service Amazon ECS, utilisez le Accédez à un AWS service utilisant une interface VPC endpoint procédure dans le Guide de l'utilisateur d'Amazon VPC pour créer les points de terminaison suivants. Si vous disposez d'instances de conteneur dans votre VPC, vous devriez créer les points de terminaison dans l'ordre dans lequel ils sont répertoriés. Si vous envisagez de créer vos instances de conteneur après la création de votre point de terminaison d'un VPC, alors l'ordre n'est pas important.

Note

Si vous ne configurez pas tous les points de terminaison, votre trafic passera par les points de terminaison publics, et non par votre point de terminaison de VPC.

Lorsque vous créez des points de terminaison, Amazon ECS crée également un nom DNS privé pour le point de terminaison. Par exemple, ecs-a.region.amazonaws.com pour ecs-agent et ecs-t.region.amazonaws.com pour ecs-telemetry.

  • com.amazonaws.region.ecs-agent

  • com.amazonaws.region.ecs-telemetry

  • com.amazonaws.region.ecs

Note

region représente l'identifiant de région pour un AWS Région prise en charge par Amazon ECS, telle que us-east-2 pour la région de l'Est des États-Unis (Ohio).

Le point de terminaison ecs-agent utilise l’API ecs:poll, et le point de terminaison ecs-telemetry utilise l’API ecs:poll et ecs:StartTelemetrySession.

Si vous avez des tâches existantes qui utilisent le type de lancement EC2, une fois que vous avez créé les points de terminaison d’un VPC, chaque instance de conteneur a besoin de récupérer la nouvelle configuration. Pour ce faire, vous devez redémarrer chaque instance de conteneur ou redémarrer l'agent de conteneur Amazon ECS sur chaque instance de conteneur. Faites ce qui suit pour redémarrer l'agent de conteneur.

Pour redémarrer l'agent de conteneur Amazon ECS

  1. Connectez-vous à votre instance de conteneur via SSH.

  2. Arrêtez l'agent de conteneur .

    sudo docker stop ecs-agent

  3. Démarrer l'agent de conteneur.

    sudo docker start ecs-agent

Une fois les points de terminaison d'un VPC créés et l'agent de conteneur Amazon ECS redémarré sur chaque instance de conteneur, toutes les tâches nouvellement lancées adopteront la nouvelle configuration.

Création d'une stratégie de point de terminaison d'un VPC pour Amazon ECS

Vous pouvez attacher une stratégie de point de terminaison au point de terminaison d’un VPC qui contrôle l'accès à Amazon ECS. La politique spécifie les informations suivantes :

  • Le principal qui peut exécuter des actions.

  • Les actions qui peuvent être effectuées.

  • Les ressources sur lesquelles les actions peuvent être exécutées.

Pour plus d'informations, consultez Contrôle de l'accès aux services avec points de terminaison d'un VPC dans le Guide de l'utilisateur Amazon VPC.

Exemple : stratégie de point de terminaison d’un VPC pour les actions de l'API Amazon ECS

Voici un exemple de politique de point de terminaison pour Amazon ECS. Lorsqu'elle est attachée à un point de terminaison, cette politique accorde l'accès à l'autorisation de créer et de répertorier des clusters. Les actions CreateCluster et ListClusters n'acceptent aucune ressource. La définition de ressource est donc définie sur * pour toutes les ressources. 

{
   "Statement":[
    {
      "Principal":"*",
      "Effect": "Allow",
      "Action": [
        "ecs:CreateCluster",
        "ecs:ListClusters"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}