Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Architettura per le istanze gestite da Amazon ECS

Istanze gestite da Amazon ECS è un'opzione di calcolo completamente gestita per Amazon ECS che consente di eseguire carichi di lavoro containerizzati sull'intera gamma di tipi di istanze Amazon EC2, affidando al contempo la gestione dell'infrastruttura ad AWS. Con Amazon ECS Managed Instances, puoi accedere a funzionalità di calcolo specifiche come l'accelerazione GPU, particolari architetture di CPU, alte prestazioni di rete e tipi di istanze specializzati, mentre AWS gestisce il provisioning, la scalabilità, l'applicazione di patch e la manutenzione dell'infrastruttura sottostante.

Quando utilizzi Amazon ECS Managed Instances, impacchetti l'applicazione in contenitori e specifichi i requisiti di elaborazione. AWS seleziona automaticamente i tipi di istanze Amazon EC2 generici più ottimizzati in termini di costi che soddisfano le tue esigenze di carico di lavoro, oppure puoi specificare gli attributi di istanza desiderati, tra cui tipi di istanze, produttori di CPU e acceleratori. Le istanze gestite di Amazon ECS gestiscono completamente tutti gli aspetti dell'infrastruttura, tra cui scalabilità, applicazione di patch e ottimizzazione dei costi, senza compromettere l'accesso a AWS funzionalità e integrazioni Amazon EC2.

Le istanze gestite da Amazon ECS supportano container Linux con ottimizzazioni e configurazioni di sicurezza specifiche della piattaforma. Per impostazione predefinita, le istanze gestite da Amazon ECS ottimizzano l'utilizzo dell'infrastruttura collocando più attività più piccole su istanze più grandi, contribuendo a ridurre i costi e migliorare i tempi di avvio delle attività.

In questo argomento vengono descritti i diversi componenti dei processi e dei servizi delle istanze gestite da Amazon ECS oltre a particolari considerazioni sull'utilizzo delle istanze gestite da Amazon ECS con Amazon ECS.

Nozioni di base

Per iniziare a usare le istanze gestite di Amazon ECS, devi creare i ruoli IAM richiesti e abilitare le istanze gestite di Amazon ECS nel tuo AWS account. Quindi è possibile creare un provider di capacità e avviare attività o servizi utilizzando il provider di capacità delle istanze gestite da Amazon ECS.

Per istruzioni dettagliate sulle operazioni di base, consultare:

fornitori di capacità

Istanze gestite da Amazon ECS provider di capacità per gestire la capacità di calcolo dei carichi di lavoro. Quando si crea un fornitore di capacità, è possibile utilizzare la selezione predefinita delle istanze o specificare requisiti di istanza personalizzati utilizzando instanceRequirements.

Sono disponibili le seguenti opzioni di provider di capacità:

Una strategia di provider di capacità può contenere solo un tipo di provider di capacità dal seguente elenco:

Selezione e ottimizzazione delle istanze

Amazon ECS sceglie i tipi di istanze per i carichi di lavoro delle Istanze gestite da Amazon ECS utilizzando uno dei seguenti metodi:

Istanze gestite da Amazon ECS ottimizza l'utilizzo e i costi dell'infrastruttura attraverso diversi meccanismi:

Amazon ECS utilizza le finestre degli eventi di Amazon EC2 per pianificare le attività di manutenzione durante i periodi di tempo preferiti. Le finestre degli eventi consentono di definire periodi di tempo ricorrenti in cui AWS può eseguire la manutenzione sulle istanze, aiutandoti a ridurre al minimo le interruzioni dei carichi di lavoro allineando la manutenzione alla pianificazione operativa. Per ulteriori informazioni, consultare Scheduled events for your instances nella Guida per l'utente di Amazon EC2.

Se hai bisogno di un forte isolamento, puoi configurare le istanze gestite di Amazon ECS per eseguire ogni attività su un'istanza separata con VM-level limiti di isolamento di sicurezza.

Definizioni di processi

I processi che utilizzano Istanze gestite da Amazon ECS supportano la maggior parte dei parametri di definizione delle attività Amazon ECS. Istanze gestite da Amazon ECS è compatibile con le definizioni di attività di Fargate esistenti utilizzando la versione della piattaforma 1.4.0, semplificando la migrazione.

Per utilizzare Istanze gestite da Amazon ECS, imposta il parametro di definizione dell'attività requiresCompatibilities in modo da includere MANAGED_INSTANCES. Le definizioni delle attività possono specificare la compatibilità tra Fargate e Istanze gestite da Amazon ECS per una maggiore flessibilità nelle opzioni di implementazione.

Architettura del sistema operativo e della CPU

Sono supportati i seguenti sistemi operativi:

Sono disponibili 2 architetture per la definizione di attività Amazon ECS, ARM e X86_64.

Quando esegui contenitori Linux su istanze gestite di Amazon ECS, puoi utilizzare l'architettura CPU X86_64 o l'architettura ARM64 per ARM-based applicazioni.

Funzionalità principali

Di seguito sono riportate le caratteristiche principali di Istanze gestite da Amazon ECS:

Ruoli IAM

Istanze gestite da Amazon ECS richiede due ruoli IAM:

Conformità e sicurezza

Istanze gestite da Amazon ECS implementa più livelli di sicurezza per proteggere i carichi di lavoro:

Le istanze gestite di Amazon ECS supportano gli stessi programmi di conformità di Amazon ECS, tra cui PCI-DSS, HIPAA e FedRAMP. Nelle regioni supportate, è possibile configurare gli endpoint FIPS a livello di fornitore di capacità per contribuire a raggiungere la conformità FedRAMP.

Rete

Le Istanze gestite da Amazon ECS supportano le modalità di rete awsvpc e host. La modalità di rete awsvpc fornisce a ciascuna attività una propria interfaccia di rete elastica e un indirizzo IP privato all'interno del VPC. Ciò consente controlli granulari dei gruppi di sicurezza e degli ACL di rete a livello di attività. Nella modalità rete host, le attività condividono il namespace di rete dell'host delle Istanze gestite da Amazon ECS. Per ulteriori informazioni sulle reti di processi nelle Istanze gestite da Amazon ECS, consultare Rete di attività di Amazon ECS per istanze gestite Amazon ECS.

Archiviazione dell’istanza

Le Istanze gestite da Amazon ECS supportano la configurazione della dimensione del volume di dati Amazon EBS collegato all'istanza. Questo archivio è condiviso tra tutte le attività eseguite sull'istanza e può essere utilizzato per i montaggi vincolati. Il volume può essere montato e condiviso tra container che utilizzano i parametri volumes, mountPoint e volumesFrom nella definizione di attività.

Il volume è collegato durante la creazione dell'istanza. Puoi specificare la dimensione del volume, in GiB, quando crei un provider di capacità delle Istanze gestite da Amazon ECS utilizzando il parametro storageConfiguration.

{
...

    "managedInstancesProvider": {
        "infrastructureRoleArn": "arn:aws:iam::123456789012:role/ecsInfrastructureRole",
        "instanceLaunchTemplate": {
            "ec2InstanceProfileArn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceProfile",
            "networkConfiguration": {
                "subnets": [
                    "subnet-abcdef01234567",
                    "subnet-bcdefa98765432"
                ],
                "securityGroups": [ 
                    "sg-0123456789abcdef"
                ]
            },
            "storageConfiguration": {
                "storageSizeinGiB" : 100

            }
        }
    }
 ... 
}

La dimensione minima di questo volume è 30 GiB e quella massima è 16.384 GiB. Per impostazione predefinita, la dimensione di questo volume è 80 GiB.

L'immagine del container estratta, compressa e non compressa per il processo viene memorizzata nel volume. Per determinare la quantità totale di archiviazione dell'istanza che il processo deve utilizzare come montaggio vincolante, è necessario sottrarre la quantità di archiviazione utilizzata dall'immagine del container dall'importo totale di archiviazione dell'istanza in cui è allocato il processo.

Le prestazioni dei volumi Amazon EBS collegati alle istanze gestite di Amazon ECS corrispondono alle prestazioni delle corrispondenti istanze Amazon EC2, come indicato nella Amazon EBS-optimized casi documentazione in Guida per l'utente di Amazon EC2.

È possibile creare snapshot del volume per eseguire un'analisi forense dei problemi di sicurezza o effettuare il debug dell'applicazione. Per ulteriori informazioni sulla creazione di snapshot dei volumi Amazon EBS, consultare Amazon EBS snapshots nella Guida per l'utente di Amazon EBS. Se la crittografia di Amazon EBS è abilitata per impostazione predefinita, il volume verrà crittografato con AWS KMS chiave specificata per la crittografia per impostazione predefinita. Per ulteriori informazioni sulla crittografia per impostazione predefinita, consultare Enable Amazon EBS encryption by default nella Guida per l'utente di Amazon EBS.

Oltre a utilizzare il volume di dati collegato all'istanza, è possibile anche configurare i volumi di dati per ogni attività eseguita su Istanze gestite da Amazon ECS. Per ulteriori informazioni sulle opzioni di archiviazione a livello di task disponibili, consultare Opzioni di archiviazione per le attività di Amazon ECS.

Storage locale

Archivio di istanze Amazon EC2 fornisce storage temporaneo a livello di blocco per le tue istanze Amazon EC2. Lo storage fornito dall'Instance Store di Amazon EC2 è accessibile tramite dischi collegati fisicamente agli host. Puoi configurare le istanze gestite di Amazon ECS per utilizzare l'instant store come volume di dati per le attività in esecuzione sull'istanza del contenitore. Quando abiliti lo storage locale e l'istanza dispone di volumi di storage di istanze, Amazon ECS utilizza i volumi dell'archivio di istanze invece di effettuare il provisioning di un volume di dati Amazon EBS. Questo può ridurre i costi di storage e migliorare I/O prestazioni per carichi di lavoro sensibili alla latenza. Non sono previsti costi aggiuntivi per l'utilizzo di volumi di storage di istanze con Amazon ECS Managed Instances.

Quando un'istanza ha più volumi di archiviazione di istanze, Amazon ECS li combina automaticamente in un unico volume RAID 0 e lo presenta come storage contiguo per le attività. Quando un'istanza non dispone di volumi di archiviazione delle istanze o quando lo storage locale è disabilitato, Amazon ECS esegue il provisioning di un volume di dati Amazon EBS con le dimensioni specificate in storageSizeGiB. I volumi dell'Instance Store sono effimeri. I dati sui volumi dell'archivio di istanze vengono persi quando l'istanza viene interrotta, terminata o in caso di guasto dell'hardware. Non utilizzare l'instance store per i dati che devono persistere.

Per abilitare l'archiviazione locale, creare un nuovo fornitore di capacità con localStorageConfiguration parametro e set useLocalStorage a true. Puoi anche usare instanceRequirements parametro per garantire che le istanze assegnate includano una memoria locale di dimensioni specifiche.

L'esempio seguente mostra una configurazione del fornitore di capacità con lo storage locale abilitato e i requisiti di istanza che specificano SSD-based archivio di istanze con un minimo di 50 GiB.

{
...
    "managedInstancesProvider": {
        "infrastructureRoleArn": "arn:aws:iam::123456789012:role/ecsInfrastructureRole",
        "instanceLaunchTemplate": {
            "ec2InstanceProfileArn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceProfile",
            "networkConfiguration": {
                "subnets": [
                    "subnet-abcdef01234567",
                    "subnet-bcdefa98765432"
                ],
                "securityGroups": [
                    "sg-0123456789abcdef"
                ]
            },
            "storageConfiguration": {
                "storageSizeGiB": 50
            },
            "localStorageConfiguration": {
                "useLocalStorage": true
            },
            "instanceRequirements": {
                "vCpuCount": {
                    "min": 0
                },
                "memoryMiB": {
                    "min": 0
                },
                "localStorage": "REQUIRED",
                "totalLocalStorageGB": {
                    "min": 50
                },
                "localStorageTypes": ["ssd"]
            }
        }
    }
}

Quando si omette il instanceRequirements configurazione, le impostazioni predefinite di Amazon ECS localStorage a INCLUDED. In questo caso, Amazon ECS considera le istanze con e senza volumi di storage di istanze per il provisioning. Le istanze con volumi di storage di istanze utilizzano un archivio di istanze per il volume di dati, mentre le istanze senza volumi di storage di istanze utilizzano un volume di dati Amazon EBS. Quando totalLocalStorageGB non è specificato, Amazon ECS utilizza tutto lo storage di istanze disponibile, senza applicare una dimensione minima.

Il storageSizeGiB valore in storageConfiguration definisce solo la dimensione del volume di dati di Amazon EBS e viene utilizzato quando lo storage di istanze non è disponibile. Il totalLocalStorageGB valore in instanceRequirements controlla la dimensione minima di archiviazione delle istanze richiesta per le istanze assegnate. Per garantire che tutte le istanze utilizzino l'archiviazione locale, imposta localStorage a REQUIRED e specificare una dimensione minima utilizzando totalLocalStorageGB.

Per verificare se una specifica istanza del contenitore con provisioning utilizza l'archiviazione locale, controlla ecs.capability.storage.local-storage-enabled attributo sull'istanza del contenitore.

Bilanciamento del carico nel servizio

È possibile scegliere di configurare i servizi Amazon ECS usando le Istanze gestite da Amazon ECS per l'utilizzo di Elastic Load Balancing per l'implementazione uniforme del traffico fra i processi del servizio.

I servizi di Amazon ECS sulle Istanze gestite da Amazon ECS supportano i tipi di bilanciatori del carico Application Load Balancer, Network Load Balancer e Gateway Load Balancer. route Application Load Balancer HTTP/HTTPS (livello 7), mentre i Network Load Balancer indirizzano il traffico TCP o UDP (livello 4).

Inoltre, quando si crea gruppi di destinazione per questi servizi, è necessario scegliere ip come tipo di destinazione e non instance. Il motivo è che i processi che usano la modalità di rete awsvpc sono associati a un'interfaccia di rete elastica e non direttamente con un'istanza Amazon EC2.

Monitoraggio e osservabilità

Amazon ECS Managed Instances offre funzionalità di monitoraggio complete tramite CloudWatch metriche e integrazione con strumenti di osservabilità:

Ottimizzazione dei prezzi e dei costi

Con le Istanze gestite da Amazon ECS, viene fatturata l'intera istanza Amazon EC2 che esegue le attività. Il prezzo dipende dai tipi di istanze selezionati per i propri carichi di lavoro.

Le Istanze gestite da Amazon ECS offrono diverse funzionalità di ottimizzazione dei costi:

I Savings Plans per il calcolo e le istanze si applicano anche ai carichi di lavoro delle Istanze gestite da Amazon ECS.

Service Quotas

I carichi di lavoro delle istanze gestite di Amazon ECS sono soggetti al tuo Amazon EC2 On-Demand quote di servizio per le istanze. I servizi Amazon ECS che utilizzano le Istanze gestite da Amazon ECS sono soggetti alle quote di servizio di Amazon ECS.

Per ulteriori informazioni sulle service quotas, consultare:

Considerazioni sulla migrazione

La migrazione alle Istanze gestite da Amazon ECS è semplice per la maggior parte dei carichi di lavoro:

Nella pianificazione della migrazione, tenere conto di quanto segue:

Considerazioni e limitazioni

Le seguenti limitazioni si applicano alle Istanze gestite da Amazon ECS:

Controlli organizzativi

Alcuni controlli organizzativi possono impedire il corretto funzionamento delle istanze gestite di Amazon ECS. In tal caso, devi aggiornare questi controlli per consentire ad Amazon ECS di disporre delle autorizzazioni necessarie per gestire le istanze EC2 per tuo conto.

Amazon ECS utilizza un ruolo di infrastruttura per il lancio delle istanze EC2 che supportano le istanze gestite di Amazon ECS. Questo ruolo di infrastruttura è un Ruolo IAM creato nel tuo account che consente ad Amazon ECS di gestire le istanze gestite di Amazon ECS per tuo conto. Politiche di controllo del servizio (SCP) si applicano sempre alle azioni eseguite con ruoli di infrastruttura. Ciò consente a un SCP di inibire le operazioni di Amazon ECS Managed Instances. La circostanza più comune si verifica quando una SCP viene utilizzata per limitare le Amazon Machine Image (AMI) che possono essere avviate. Per consentire il funzionamento delle istanze gestite di Amazon ECS, modifica l'SCP per consentire il lancio di AMI dagli account AMI delle istanze gestite di Amazon ECS.

Puoi anche possibile utilizzare la funzionalità EC2 Allowed AMIs per limitare la visibilità delle AMI in altri account. Se utilizzi questa funzionalità, devi espandere i criteri dell'immagine per includere anche gli account AMI di Amazon ECS Managed Instances nelle regioni di interesse.

Esempio di SCP per bloccare tutte le AMI ad eccezione delle AMI di Amazon ECS Managed Instances

L'SCP riportato di seguito impedisce le chiamate ec2:RunInstances a meno che l'AMI non appartenga all'account AMI Amazon ECS Managed Instances per us-west-2 o us-east-1.

{
  "Version":"2012-10-17",                                
  "Statement": [
    {
      "Sid": "DenyAMI",
      "Effect": "Deny",
      "Action": "ec2:RunInstances",
      "Resource": "arn:*:ec2:*::image/ami-*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceAccount": [
            "187296253231",
            "260073348889"
          ]
        }
      }
    }
  ]
}

Account AMI di Amazon ECS Managed Instances

AWS gli account che variano in base alla regione ospitano le AMI pubbliche di Amazon ECS Managed Instances.