如何在私有子网中的 Fargate 上运行 Amazon ECS 任务？

简短描述

您可以在私有子网中在 Fargate 上运行 Amazon ECS 任务，无论其是否接入互联网。对于某些操作，任务需要访问互联网。例如，Amazon ECS 需要访问互联网才能从公共存储库拉取映像。

要在未接入互联网的私有子网中运行任务，请创建虚拟私有云 (VPC) 端点。要在私有子网中运行需要访问互联网的任务，请创建 NAT 网关。

解决方法

为未接入互联网的私有子网配置 VPC 端点

完成以下步骤：

1. 创建带有公有或私有子网的 VPC。
2. 创建连接到 Amazon Simple Storage Service (Amazon S3) 的网关端点。
3. 为 Amazon Elastic Container Registry (Amazon ECR) 创建 VPC 接口端点。

**注意：**对于使用 Amazon CloudWatch Logs 和 AWS Secrets Manager 向任务添加密钥的任务，请为这两种服务创建接口 VPC 端点。此外，请为这些 VPC 端点创建安全组，并允许 TCP 端口 443 上来自 Fargate 任务安全组或 VPC CIDR 块的入站流量。

为接入互联网的私有子网配置 NAT 网关

要为私有子网配置 NAT 网关，请参阅如何在 Amazon VPC 中为私有子网设置 NAT 网关？

创建 Amazon ECS 集群和服务

完成以下步骤：

1. 创建 Amazon ECS 集群。
   **注意：**对于 Infrastructure（基础架构），请选择 AWS Fargate (serverless)（AWS Fargate(无服务器)）。
2. 创建 Amazon ECS 服务。有关说明，请参阅使用默认选项创建服务和使用定义的参数创建服务。
   **注意：**选择子网时，请选择您为 VPC 端点或 NAT 网关配置的私有子网。创建安全组时，允许端口 443 上的出站流量访问 Amazon ECS 端点。