Imagen de Envoy

AWS App Mesh es una malla de servicios basada en el proxy de Envoy.

Debes añadir un proxy de Envoy a la ECS tarea de Amazon, al pod de Kubernetes o a la EC2 instancia de Amazon representada por tu punto de conexión de App Mesh, como un nodo virtual o una puerta de enlace virtual. App Mesh vende una imagen de contenedor proxy de Envoy parcheada con las últimas actualizaciones de vulnerabilidad y rendimiento. App Mesh prueba cada nueva versión de proxy de Envoy comparándola con el conjunto de funciones App Mesh antes de poner a tu disposición una nueva imagen.

Variantes de imagen de Envoy

App Mesh ofrece dos variantes de la imagen del contenedor proxy de Envoy. La diferencia entre ambos es la forma en que el proxy de Envoy se comunica con el plano de datos de App Mesh y la forma en que los proxies de Envoy se comunican entre sí. Una es una imagen estándar, que se comunica con los puntos finales del servicio App Mesh estándar. La otra variante es FIPS compatible con -R, que se comunica con los puntos finales del FIPS servicio App Mesh y aplica la FIPS criptografía en la comunicación entre los servicios de TLS App Mesh.

Puede elegir una imagen regional de la lista siguiente o una imagen de nuestro repositorio público denominada aws-appmesh-envoy.

cat << EOF > Dockerfile
FROM public.ecr.aws/appmesh/aws-appmesh-envoy:v1.22.0.0-prod as envoy

FROM public.ecr.aws/amazonlinux/amazonlinux:2
RUN yum -y update && \
    yum clean all && \
    rm -rf /var/cache/yum

COPY --from=envoy /usr/bin/envoy /usr/bin/envoy
COPY --from=envoy /usr/bin/agent /usr/bin/agent
COPY --from=envoy /aws_appmesh_aggregate_stats.wasm /aws_appmesh_aggregate_stats.wasm

CMD [ "/usr/bin/agent" ]
EOF

docker build -f Dockerfile -t aws-appmesh-envoy:v1.22.0.0-prod-al2 .

El acceso a esta imagen de contenedor en Amazon ECR está controlado por AWS Identity and Access Management (IAM). Como resultado, debes usarlo IAM para verificar que tienes acceso de lectura a AmazonECR. Por ejemplo, cuando utilizas AmazonECS, puedes asignar una función de ejecución de tareas adecuada a una ECS tarea de Amazon. Si utilizas IAM políticas que limitan el acceso a ECR recursos de Amazon específicos, asegúrate de que permites el acceso al nombre de recurso de Amazon específico de la región (ARN) que identifica el aws-appmesh-envoy repositorio. Por ejemplo, en la región us-west-2, permite el acceso al siguiente recurso: arn:aws:ecr:us-west-2:840364872350:repository/aws-appmesh-envoy. Para obtener más información, consulta Amazon ECR Managed Policies. Si utilizas Docker en una EC2 instancia de Amazon, autentica Docker en el repositorio. Para obtener más información, consulte Autenticación del registro.

De vez en cuando lanzamos nuevas características de App Mesh que dependen de los cambios de Envoy que aún no se han fusionado con las imágenes originales de Envoy. Para usar estas nuevas características de App Mesh antes de que los cambios de Envoy se fusionen previamente, debe usar la imagen del contenedor de Envoy vendida por App Mesh. Para ver una lista de cambios, consulta la hoja de GitHubruta de App Mesh sobre los problemas con la Envoy Upstream etiqueta. Recomendamos que utilice la imagen del contenedor de App Mesh Envoy como la mejor opción compatible.