Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Greifen Sie mit den Kontoeinstellungen auf ECS Amazon-Funktionen zu

Sie können in den ECS Amazon-Kontoeinstellungen bestimmte Funktionen aktivieren oder deaktivieren. Sie können die einzelnen Kontoeinstellungen für jede AWS-Region auf Kontoebene oder für einen bestimmten Benutzer oder eine bestimmte Rolle aktivieren oder deaktivieren.

Möglicherweise möchten Sie sich von bestimmten Features an- oder abmelden, wenn einer der folgenden Punkte für Sie relevant ist:

Die folgenden Kontoeinstellungen sind verfügbar. Sie müssen sich für jede Kontoeinstellung separat an- und abmelden.

Amazon-Ressourcennamen (ARNs) und IDs

Wenn ECS Amazon-Ressourcen erstellt werden, wird jeder Ressource ein eindeutiger Amazon-Ressourcenname (ARN) und eine Ressourcen-ID (ID) zugewiesen. Wenn Sie ein Befehlszeilentool oder Amazon verwenden, ECS API um mit Amazon zu arbeitenECS, IDs sind Ressourcen ARNs oder für bestimmte Befehle erforderlich. Wenn Sie beispielsweise den AWS CLI Befehl stop-task verwenden, um eine Aufgabe zu beenden, müssen Sie die Aufgabe ARN oder ID im Befehl angeben.

Amazon führt ECS ein neues Format für Amazon Resource Names (ARNs) und Ressourcen IDs für Amazon ECS Services, Tasks und Container-Instances ein. Der Opt-In-Status für jeden Ressourcentyp bestimmt das Format Amazon Resource Name (ARN), das die Ressource verwendet. Sie müssen sich für das neue ARN Format entscheiden, um Funktionen wie das Ressourcen-Tagging für diesen Ressourcentyp nutzen zu können.

Sie können sich für das neue Format Amazon-Ressourcenname (ARN) und Ressourcen-ID pro Region an- und abmelden. Aktuell wird jedes neu erstellte Konto standardmäßig aktiviert.

Sie können das neue Format Amazon-Ressourcenname (ARN) und Ressourcen-ID jederzeit aktivieren oder deaktivieren. Nachdem Sie sich angemeldet haben, verwenden alle neuen Ressourcen, die Sie erstellen, das neue Format.

In den folgenden Abschnitten wird beschrieben, wie ARN sich die Formate für Ressourcen-IDs ändern. Weitere Informationen zur Umstellung auf die neuen Formate finden Sie unter Amazon Elastic Container Service FAQ.

Format des Amazon-Ressourcennamens (ARN)

Einige Ressourcen haben einen benutzerfreundlichen Namen (z. B. einen Service namens production). In anderen Fällen müssen Sie eine Ressource im Format Amazon Resource Name (ARN) angeben. Das neue ARN Format für ECS Amazon-Aufgaben, -Services und Container-Instances beinhaltet den Clusternamen. Informationen darüber, wie Sie sich für das neue ARN Format entscheiden, finden Sie unterÄnderung der ECS Amazon-Kontoeinstellungen.

Die folgende Tabelle zeigt sowohl das aktuelle Format als auch das neue Format für jeden Ressourcentyp:

Länge der Ressourcen-ID

Eine Ressourcen-ID hat die Form einer eindeutigen Kombination von Buchstaben und Zahlen. Zu den neuen Ressourcen-ID-Formaten gehören kürzere Formate IDs für ECS Amazon-Aufgaben und Container-Instances. Das aktuelle Ressourcen-ID-Format ist 36 Zeichen lang. Die neuen IDs haben ein 32-Zeichen-Format, das keine Bindestriche enthält. Weitere Informationen zum Verwenden des neuen Ressourcen-ID-Formats finden Sie unter Änderung der ECS Amazon-Kontoeinstellungen.

Der Standardwert ist enabled.

Nur Ressourcen, die nach der Aktivierung gestartet werden, erhalten das neue Format ARN und die Ressourcen-ID. Für bestehende Ressourcen ändert sich nichts. Damit die ECS Services und Aufgaben von Amazon auf die neuen Formate ARN und Resource ID umgestellt werden können, müssen Sie den Service oder die Aufgabe neu erstellen. Um eine Container-Instance auf das neue Format ARN und das Resource ID-Format umzustellen, muss die Container-Instance entleert und eine neue Container-Instance gestartet und im Cluster registriert werden.

ARNund Zeitplan im Format der Ressourcen-ID

Der Zeitplan für die An- und Abmeldefristen für den neuen Amazon-Ressourcennamen (ARN) und das neue Ressourcen-ID-Format für ECS Amazon-Ressourcen endete am 1. April 2021. Alle neuen Konten werden standardmäßig für das neue Format aktiviert. Alle neu erstellten Ressourcen erhalten das neue Format, und Sie können es nicht mehr deaktivieren.

Container Insights

Am 2. Dezember 2024 AWS veröffentlichte Container Insights mit verbesserter Beobachtbarkeit für AmazonECS. Diese Version unterstützt verbesserte Beobachtbarkeit für ECS Amazon-Cluster, die die Starttypen Amazon EC2 und Fargate verwenden. Nachdem Sie Container Insights mit verbesserter Observability auf Amazon konfiguriert habenECS, erfasst Container Insights automatisch detaillierte Infrastrukturtelemetriedaten von der Cluster-Ebene bis zur Container-Ebene in Ihrer Umgebung und zeigt Ihre Daten in Dashboards an, die Ihnen eine Vielzahl von Metriken und Dimensionen zeigen. Sie können diese out-of-the-box Dashboards dann in der Container Insights-Konsole verwenden, um den Zustand und die Leistung Ihres Containers besser zu verstehen und Probleme durch die Identifizierung von Anomalien schneller zu beheben.

Wir empfehlen Ihnen, Container Insights mit verbesserter Observability anstelle von Container Insights zu verwenden, da dies einen detaillierten Einblick in Ihre Container-Umgebung bietet und so die durchschnittliche Zeit bis zur Problembehebung reduziert. Weitere Informationen finden Sie im Amazon CloudWatch Benutzerhandbuch unter Amazon ECS Container Insights with enhanced Observability Metrics.

Die Standardeinstellung für die containerInsights Kontoeinstellung istdisabled.

Container Insights mit verbesserter Beobachtbarkeit

Verwenden Sie den folgenden Befehl, um Container Insights mit verbesserter Beobachtbarkeit zu aktivieren.

Stellen Sie die containerInsights Kontoeinstellung auf enhanced ein.

aws ecs put-account-setting --name containerInsights --value enhanced

Beispielausgabe

{
    "setting": {
        "name": "containerInsights",
        "value": "enhanced",
        "principalArn": "arn:aws:iam::123456789012:johndoe",
         "type": user
    }
}

Nachdem Sie diese Kontoeinstellung festgelegt haben, verwenden alle neuen Cluster automatisch Container Insights mit verbesserter Beobachtbarkeit. Verwenden Sie den update-cluster-settings Befehl, um Container Insights mit verbesserter Observability zu einem vorhandenen Cluster hinzuzufügen oder um einen Cluster von Container Insights auf Container Insights mit verbesserter Observability zu aktualisieren.

aws ecs update-cluster-settings --cluster cluster-name --settings name=containerInsights,value=enhanced

Sie können die Konsole auch verwenden, um Container Insights mit verbesserter Observability zu konfigurieren. Weitere Informationen finden Sie unter. Änderung der ECS Amazon-Kontoeinstellungen

Container Insights

Wenn Sie die containerInsights Kontoeinstellung auf festlegenenabled, ist Container Insights für alle neuen Cluster standardmäßig aktiviert. Sie können bestehende Cluster ändern, indem Sie update-cluster-settings

Um Container Insights zu verwenden, setzen Sie die containerInsights Kontoeinstellung aufenabled. Verwenden Sie den folgenden Befehl, um Container Insights zu aktivieren.

aws ecs put-account-setting --name containerInsights --value enabled

Beispielausgabe

{
    "setting": {
        "name": "containerInsights",
        "value": "enabled",
        "principalArn": "arn:aws:iam::123456789012:johndoe",
         "type": user
    }
}

Wenn Sie die containerInsights Kontoeinstellung auf setzenenabled, ist Container Insights für alle neuen Cluster standardmäßig aktiviert. Verwenden Sie den update-cluster-settings Befehl, um Container Insights zu einem vorhandenen Cluster hinzuzufügen.

aws ecs update-cluster-settings --cluster cluster-name --settings name=containerInsights,value=enabled

Sie können Container Insights auch über die Konsole konfigurieren. Weitere Informationen finden Sie unterÄnderung der ECS Amazon-Kontoeinstellungen.

AWS Fargate Einhaltung des Federal Information Processing Standard (FIPS-140)

Fargate unterstützt den Federal Information Processing Standard (FIPS-140), der die Sicherheitsanforderungen für kryptografische Module zum Schutz sensibler Informationen festlegt. Es handelt sich um den aktuellen Regierungsstandard der Vereinigte Staaten und Kanadas und gilt für Systeme, die dem Federal Information Security Management Act (FISMA) oder dem Federal Risk and Authorization Management Program (FedRAMP) entsprechen müssen.

Der Name der Ressource lautetfargateFIPSMode.

Der Standardwert ist disabled.

Sie müssen die Einhaltung des Federal Information Processing Standard (FIPS-140) auf Fargate aktivieren. Weitere Informationen finden Sie unter AWS Fargate Bundesstandard für Informationsverarbeitung (FIPS-140).

Führen Sie Folgendes aus: put-account-setting-default mit der Option fargateFIPSMode festgelegt auf enabled. Weitere Informationen finden Sie unter put-account-setting-defaultAmazon Elastic Container Service API Reference.

Sie können ausführenlist-account-settings, um den aktuellen FIPS -140-Konformitätsstatus anzuzeigen. Verwenden Sie die Option effective-settings, um die Einstellungen auf Kontoebene anzuzeigen.

aws ecs list-account-settings --effective-settings

Tagging-Autorisierung

Amazon führt ECS die Tagging-Autorisierung für die Erstellung von Ressourcen ein. Benutzer müssen über Tagging-Berechtigungen für Aktionen verfügen, mit denen die Ressource erstellt wird, z. B. ecsCreateCluster Wenn Sie eine Ressource erstellen und Tags für diese Ressource angeben, AWS führt eine zusätzliche Autorisierung durch, um zu überprüfen, ob Berechtigungen zum Erstellen von Tags vorhanden sind. Daher müssen Sie explizite Berechtigungen für die Verwendung der Aktion ecs:TagResource gewähren. Weitere Informationen finden Sie unter Berechtigung zum Markieren von Ressourcen bei der Erstellung gewähren.

Um sich für die Tagging-Autorisierung zu entscheiden, führen Sie put-account-setting-default mit der Option tagResourceAuthorization aus, wobei diese auf enable gesetzt werden muss. Weitere Informationen finden Sie unter put-account-setting-defaultAmazon Elastic Container Service API Reference. Sie können list-account-settings ausführen, um den aktuellen Status der Tagging-Autorisierung einzusehen.

Nachdem Sie die Tagging-Autorisierung aktiviert haben, müssen Sie die entsprechenden Berechtigungen konfigurieren, damit Benutzer Ressourcen bei der Erstellung taggen können. Weitere Informationen finden Sie unter Berechtigung zum Markieren von Ressourcen bei der Erstellung gewähren.

Sie können list-account-settings ausführen, um den aktuellen Status der Tagging-Autorisierung einzusehen. Verwenden Sie die Option effective-settings, um die Einstellungen auf Kontoebene anzuzeigen.

aws ecs list-account-settings --effective-settings

Zeitplan der Tagging-Autorisierung

Sie können überprüfen, ob die Tag-Autorisierung aktiv ist, indem Sie den Befehl list-account-settings ausführen, um den Wert tagResourceAuthorization anzuzeigen. Wenn der Wert on ist, bedeutet dies, dass die Tagging-Autorisierung verwendet wird. Weitere Informationen finden Sie unter list-account-settingsAmazon Elastic Container Service API Reference.

Nachfolgend finden Sie die wichtigen Daten im Zusammenhang mit der Tagging-Autorisierung.

AWS Fargate Einstellung der Aufgabe, Wartezeit

AWS sendet Benachrichtigungen, wenn Fargate-Aufgaben auf einer Plattformversion ausgeführt werden, die als veraltet markiert ist. Weitere Informationen finden Sie unter Außerbetriebnahme und Wartung von Aufgaben für AWS Fargate bei Amazon ECS .

AWS ist verantwortlich für das Patchen und die Wartung der zugrunde liegenden Infrastruktur für AWS Fargate. Wenn AWS festgestellt wird, dass für eine auf Fargate gehostete ECS Amazon-Aufgabe ein Sicherheits- oder Infrastruktur-Update erforderlich ist, müssen die Aufgaben gestoppt und neue Aufgaben gestartet werden, um sie zu ersetzen. Sie können die Wartezeit konfigurieren, bis Aufgaben für das Patchen außer Betrieb genommen werden. Sie haben die Möglichkeit, die Aufgabe sofort einzustellen, 7 Kalendertage oder 14 Kalendertage zu warten.

Diese Einstellung befindet sich auf Kontoebene.

Sie können den Zeitpunkt konfigurieren, zu dem Fargate mit der Außerbetriebnahme der Aufgabe beginnt. Wählen Sie für Workloads, die eine sofortige Anwendung der Updates erfordern, die Einstellung „Sofort“ (0). Wenn Sie mehr Kontrolle benötigen, z. B. wenn eine Aufgabe nur während eines bestimmten Zeitfensters gestoppt werden kann, konfigurieren Sie die Optionen 7 Tage (7) oder 14 Tage (14).

Wir empfehlen Ihnen, eine kürzere Wartezeit zu wählen, damit Sie neuere Versionen der Plattformversionen früher erwerben können.

Konfigurieren Sie die Wartezeit, indem Sie das put-account-setting-default Programm ausführen oder put-account-setting als Root-Benutzer oder als Administratorbenutzer ausführen. Verwenden Sie die Option fargateTaskRetirementWaitPeriod für name und die Option value, die auf einen der folgenden Werte eingestellt ist:

Der Standardwert ist 7 Tage.

Weitere Informationen finden Sie unter put-account-setting-defaultund put-account-settingin der Amazon Elastic Container Service API Reference.

Sie können den folgenden Befehl ausführen, um die Wartezeit auf 14 Tage festzulegen.

aws ecs put-account-setting-default --name fargateTaskRetirementWaitPeriod --value 14

Beispielausgabe

{
    "setting": {
        "name": "fargateTaskRetirementWaitPeriod",
        "value": "14",
        "principalArn": "arn:aws:iam::123456789012:root",
        "type: user"
    }
}

Sie können list-account-settings ausführen, um die aktuelle Fargate-Wartezeit für die Außerbetriebnahme der Aufgabe anzuzeigen. Verwenden Sie die Option effective-settings.

aws ecs list-account-settings --effective-settings

Erhöhen Sie die Netzwerkschnittstellen der Linux-Container-In

Jede ECS Amazon-Aufgabe, die den awsvpc Netzwerkmodus verwendet, erhält ihre eigene elastic network interface (ENI), die an die Container-Instance angehängt ist, die sie hostet. Es gibt ein Standardlimit für die Anzahl der Netzwerkschnittstellen, die an eine EC2 Amazon-Instance angehängt werden können, und die primäre Netzwerkschnittstelle zählt als eine. Beispielsweise können einer c5.large Instance standardmäßig bis zu drei ENIs zugeordnet sein. Die primäre Netzwerkschnittstelle für die Instance zählt als eine, sodass Sie der Instance zwei ENIs weitere hinzufügen können. Weil jede Aufgabe, die den awsvpc Netzwerkmodus verwendet, eine ENI, können Sie in der Regel nur zwei solcher Aufgaben auf diesem Instanztyp ausführen.

Amazon ECS unterstützt den Start von Container-Instances mit mehr ENI Dichte unter Verwendung unterstützter EC2 Amazon-Instance-Typen. Wenn Sie diese Instance-Typen verwenden und die awsvpcTrunking Kontoeinstellungen aktivieren, ENIs sind weitere für neu gestartete Container-Instances verfügbar. Diese Konfiguration gibt Ihnen die Möglichkeit, mehrere Aufgaben auf den einzelnen Container-Instances zu platzieren.

Eine c5.large Instance mit awsvpcTrunking hat beispielsweise einen erhöhten ENI Grenze von zwölf. Die Container-Instance wird über die primäre Netzwerkschnittstelle verfügen, und Amazon ECS erstellt eine „Trunk“ -Netzwerkschnittstelle und fügt sie an die Container-Instance an. Mit dieser Konfiguration können Sie also zehn Aufgaben anstelle der aktuellen zwei Aufgaben auf der Container-Instance starten.

Laufzeitüberwachung ( GuardDuty Amazon-Integration)

Runtime Monitoring ist ein intelligenter Dienst zur Bedrohungserkennung, der Workloads schützt, die auf Fargate- und EC2 Container-Instances ausgeführt werden, indem er die AWS Protokoll- und Netzwerkaktivitäten kontinuierlich überwacht, um bösartiges oder unbefugtes Verhalten zu identifizieren.

Der guardDutyActivate Parameter ist in Amazon schreibgeschützt ECS und gibt an, ob Runtime Monitoring von Ihrem Sicherheitsadministrator in Ihrem ECS Amazon-Konto ein- oder ausgeschaltet wurde. GuardDuty steuert diese Kontoeinstellung in Ihrem Namen. Weitere Informationen finden Sie unter ECSAmazon-Workloads mit Runtime Monitoring schützen.

Sie können ausführenlist-account-settings, um die aktuelle GuardDuty Integrationseinstellung anzuzeigen.

aws ecs list-account-settings 

Beispielausgabe

{
    "setting": {
        "name": "guardDutyActivate",
        "value": "on",
        "principalArn": "arn:aws:iam::123456789012:doej",
        "type": aws-managed"
    }
}

Doppelstapel IPv6 VPC

Amazon ECS unterstützt die Bereitstellung IPv6 von Aufgaben zusätzlich zur primären IPv4 Privatadresse mit einer Adresse.

Damit Aufgaben eine IPv6 Adresse erhalten, muss die Aufgabe den awsvpc Netzwerkmodus verwenden, in einem für den Dual-Stack-Modus VPC konfigurierten Modus gestartet werden und die dualStackIPv6 Kontoeinstellungen müssen aktiviert sein. Weitere Informationen zu anderen Anforderungen finden Sie unter Verwendung von VPC im Dual-Stack-Modus Für den EC2 Starttyp und Verwendung von VPC im Dual-Stack-Modus für den Fargate-Starttyp.

Wenn Sie zwischen dem 1. Oktober 2020 und dem 2. November 2020 eine Aufgabe im awsvpc Netzwerkmodus in einem IPv6 aktivierten Subnetz ausgeführt haben, lautet die dualStackIPv6 Standardkontoeinstellung in der Region, in der die Aufgabe ausgeführt wurde. disabled Wenn diese Bedingung nicht erfüllt wird, ist die standardmäßige dualStackIPv6-Einstellung in der Region enabled.

Der Standardwert ist disabled.