Wie kann ich eine Amazon ECS-Aufgabe auf Fargate in einem privaten Subnetz ausführen?

Kurzbeschreibung

Du kannst Amazon ECS-Aufgaben auf Fargate in einem privaten Subnetz mit oder ohne Internetzugang ausführen. Für bestimmte Vorgänge ist für Aufgaben ein Internetzugang erforderlich. Amazon ECS benötigt beispielsweise einen Internetzugang, um Bilder aus öffentlichen Repositorys abzurufen.

Erstelle VPC-Endpunkte, um Aufgaben in einem privaten Subnetz ohne Internetzugang auszuführen. Um Aufgaben auszuführen, die einen Internetzugang in einem privaten Subnetz erfordern, erstelle ein NAT-Gateway.

Lösung

VPC-Endpunkte für ein privates Subnetz ohne Internetzugang konfigurieren

Führe die folgenden Schritte aus:

1. Erstelle eine VPC mit öffentlichen oder privaten Subnetzen.
2. Erstelle einen Gateway-Endpunkt, der eine Verbindung zu Amazon Simple Storage Service (Amazon S3) herstellt.
3. Erstelle VPC-Schnittstellenendpunkte für Amazon Elastic Container Registry (Amazon ECR).

Hinweis: Für Aufgaben, die Amazon CloudWatch Logs und AWS Secrets Manager verwenden, um Aufgaben Geheimnisse hinzuzufügen, erstelle Schnittstellen-VPC-Endpunkte für beide Services. Erstelle außerdem Sicherheitsgruppen für VPC-Endpunkte und lasse eingehenden Datenverkehr auf dem TCP-Port 443 von der Fargate-Task-Sicherheitsgruppe oder dem VPC-CIDR-Block zu.

Ein NAT-Gateway für ein privates Subnetz mit Internetzugang konfigurieren

Informationen zur Konfiguration eines NAT-Gateways für ein privates Subnetz findest du unter Wie richte ich ein NAT-Gateway für ein privates Subnetz in Amazon VPC ein?

Ein Amazon ECS-Cluster und -Service erstellen

Führe die folgenden Schritte aus:

1. Ein Amazon ECS-Cluster erstllen.
   Hinweis: Wähle für Infrastruktur AWS Fargate (Serverless) aus.
2. Erstelle eine Amazon ECS-Service. Anweisungen findest du unter Einen Service mit den Standardoptionen erstellen und Einen Service mit definierten Parametern erstellen.
   Hinweis: Wenn du ein Subnetz auswählst, wähle das private Subnetz, das du für die VPC-Endpunkte oder das NAT-Gateway konfiguriert hast. Wenn du die Sicherheitsgruppe erstellst, erlaube ausgehendem Datenverkehr auf Port 443, auf Amazon ECS-Endpunkte zuzugreifen.