Bild des Gesandten

AWS App Mesh ist ein Service Mesh, das auf dem Envoy-Proxy basiert.

Sie müssen der ECS Amazon-Aufgabe, dem Kubernetes-Pod oder der EC2 Amazon-Instance, die durch Ihren App Mesh Mesh-Endpunkt repräsentiert wird, einen Envoy-Proxy hinzufügen, z. B. einen virtuellen Knoten oder ein virtuelles Gateway. App Mesh verkauft ein Envoy-Proxy-Container-Image, das mit den neuesten Sicherheitslücken- und Leistungsupdates gepatcht ist. App Mesh testet jede neue Envoy-Proxy-Version anhand des App Mesh Mesh-Funktionsumfangs, bevor Ihnen ein neues Image zur Verfügung gestellt wird.

Envoy-Bildvarianten

App Mesh bietet zwei Varianten des Envoy-Proxy-Container-Images. Der Unterschied zwischen den beiden besteht darin, wie der Envoy-Proxy mit der App Mesh Mesh-Datenebene kommuniziert und wie die Envoy-Proxys miteinander kommunizieren. Eines ist ein Standard-Image, das mit den Standard-App Mesh-Dienstendpunkten kommuniziert. Die andere Variante ist FIPS -konform, sie kommuniziert mit den Endpunkten des App Mesh FIPS Mesh-Dienstes und erzwingt FIPS Kryptografie bei der TLS Kommunikation zwischen App Mesh Mesh-Diensten.

Sie können entweder ein regionales Bild aus der folgenden Liste oder ein Bild aus unserem öffentlichen Repository mit dem Namen auswählen. aws-appmesh-envoy

cat << EOF > Dockerfile
FROM public.ecr.aws/appmesh/aws-appmesh-envoy:v1.22.0.0-prod as envoy

FROM public.ecr.aws/amazonlinux/amazonlinux:2
RUN yum -y update && \
    yum clean all && \
    rm -rf /var/cache/yum

COPY --from=envoy /usr/bin/envoy /usr/bin/envoy
COPY --from=envoy /usr/bin/agent /usr/bin/agent
COPY --from=envoy /aws_appmesh_aggregate_stats.wasm /aws_appmesh_aggregate_stats.wasm

CMD [ "/usr/bin/agent" ]
EOF

docker build -f Dockerfile -t aws-appmesh-envoy:v1.22.0.0-prod-al2 .

Der Zugriff auf dieses Container-Image in Amazon ECR wird von AWS Identity and Access Management (IAM) gesteuert. Aus diesem Grund müssen Sie überprüfenIAM, ob Sie Lesezugriff auf Amazon habenECR. Wenn Sie beispielsweise Amazon verwendenECS, können Sie einer ECS Amazon-Aufgabe eine entsprechende Aufgabenausführungsrolle zuweisen. Wenn Sie IAM Richtlinien verwenden, die den Zugriff auf bestimmte ECR Amazon-Ressourcen einschränken, stellen Sie sicher, dass Sie den Zugriff auf den regionsspezifischen Amazon-Ressourcennamen (ARN) zulassen, der das aws-appmesh-envoy Repository identifiziert. In der us-west-2 Region gewähren Sie beispielsweise den Zugriff auf die folgende Ressource:arn:aws:ecr:us-west-2:840364872350:repository/aws-appmesh-envoy. Weitere Informationen finden Sie unter Von Amazon ECR verwaltete Richtlinien. Wenn Sie Docker auf einer EC2 Amazon-Instance verwenden, authentifizieren Sie Docker im Repository. Weitere Informationen finden Sie unter Registrierungsauthentifizierung.

Wir veröffentlichen gelegentlich neue App Mesh Mesh-Funktionen, die von Envoy-Änderungen abhängen, die noch nicht mit den Upstream-Envoy-Images zusammengeführt wurden. Um diese neuen App Mesh Mesh-Funktionen zu verwenden, bevor die Envoy-Änderungen im Upstream zusammengeführt werden, müssen Sie das von App Mesh angebotene Envoy-Container-Image verwenden. Eine Liste der Änderungen finden Sie in der App Mesh GitHub Mesh-Roadmap Probleme mit dem Envoy Upstream Label. Wir empfehlen, das App Mesh Envoy-Container-Image als die am besten unterstützte Option zu verwenden.