プライベートサブネットの Fargate で Amazon ECS タスクを実行する方法を教えてください。

簡単な説明

Amazon ECS タスクは、インターネットアクセスの有無にかかわらず、プライベートサブネット内の Fargate で実行できます。特定の操作では、タスクにインターネットアクセスが必要です。たとえば、パブリックリポジトリからイメージを取得する場合は、Amazon ECS にはインターネットアクセスが必要です。

インターネットアクセスのないプライベートサブネットでタスクを実行するには、仮想プライベートクラウド (VPC) エンドポイントを作成します。プライベートサブネットでインターネットアクセスを必要とするタスクを実行するには、NAT ゲートウェイを作成します。

解決策

インターネットアクセスのないプライベートサブネットに VPC エンドポイントを設定する

次の手順を実行します。

1. パブリックサブネットまたはプライベートサブネットで VPC を作成します。
2. Amazon Simple Storage Service (Amazon S3) に接続するゲートウェイエンドポイントを作成します。
3. Amazon Elastic Container Registry (Amazon ECR) 用の VPC インターフェイスエンドポイントを作成します。

注: Amazon CloudWatch Logs と AWS Secrets Manager を使用してタスクにシークレットを追加するタスクでは、両方のサービスにインターフェイス VPC エンドポイントを作成してください。さらに、VPC エンドポイント用のセキュリティグループを作成し、Fargate タスクのセキュリティグループまたは VPC CIDR ブロックからのインバウンドトラフィックを TCP ポート 443 で許可してください。

インターネットアクセスのあるプライベートサブネットに NAT ゲートウェイを設定する

プライベートサブネットに NAT ゲートウェイを設定する方法については、「Amazon VPC のプライベートサブネットに NAT ゲートウェイを設定する方法を教えてください」を参照してください。

Amazon ECS クラスターとサービスを作成する

次の手順を実行します。

1. Amazon ECS クラスターを作成します。
   注: [インフラストラクチャ] で [AWS Fargate (サーバーレス)] を選択します。
2. Amazon ECS サービスを作成する手順については、「デフォルトオプションを使用してサービスを作成する」および「定義したパラメータを使用してサービスを作成する」を参照してください。
   注: サブネットを選択する際は、VPC エンドポイントまたは NAT ゲートウェイに設定したプライベートサブネットを選択してください。セキュリティグループの作成時には、Amazon ECS エンドポイントに接続するために、アウトバウンドトラフィックをポート 443 で許可してください。