Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Composants d'Amazon ECS Service Connect

Lorsque vous utilisez Amazon ECS Service Connect, vous configurez chaque ECS service Amazon pour exécuter une application serveur qui reçoit des demandes réseau (service client-serveur) ou pour exécuter une application cliente qui fait les demandes (service client).

Lorsque vous vous préparez à utiliser Service Connect, commencez par un service client-serveur. Vous pouvez ajouter une configuration Service Connect à un nouveau service ou à un service existant. Amazon ECS crée un point de terminaison Service Connect dans l'espace de noms. En outre, Amazon ECS crée un nouveau déploiement dans le service pour remplacer les tâches en cours d'exécution.

Les tâches existantes et les autres applications peuvent continuer à se connecter aux points de terminaison existants et aux applications externes. Si un service client-serveur ajoute des tâches avec sa montée en puissance, les nouvelles connexions des clients seront équilibrées entre toutes les tâches. Si un service client-serveur est mis à jour, les nouvelles connexions des clients seront équilibrées entre les tâches de la nouvelle version.

Les tâches existantes ne peuvent pas être résolues et se connecter au nouveau point de terminaison. Seules les nouvelles tâches dont une configuration Service Connect se trouve dans le même espace de noms et qui commencent à s'exécuter après ce déploiement peuvent être résolues et se connecter à ce point de terminaison.

Cela signifie que l'opérateur de l'application cliente détermine quand la configuration de son application change, même si l'opérateur de l'application serveur peut modifier sa configuration à tout moment. La liste des points de terminaison de l'espace de noms peut changer chaque fois qu'un service est déployé dans l'espace de noms. Les tâches existantes et les tâches de remplacement continuent de se comporter comme elles le faisaient après le déploiement le plus récent.

Considérez les exemples suivants.

Tout d'abord, supposons que vous créez une application disponible sur l'Internet public dans un AWS CloudFormation modèle unique et une AWS CloudFormation pile unique. La découverte et l'accessibilité publiques doivent être créées en dernier lieu par AWS CloudFormation, y compris le service client frontal. Les services doivent être créés dans cet ordre afin d'éviter toute période pendant laquelle le service client frontend fonctionne et est accessible au public, alors que le backend ne l'est pas. Cela permet d'éliminer l'envoi de messages d'erreur au public pendant cette période. Dans AWS CloudFormation, vous devez utiliser le dependsOn pour indiquer à AWS CloudFormation que plusieurs ECS services Amazon ne peuvent pas être créés en parallèle ou simultanément. Vous devez ajouter la valeur dependsOn au service client frontal pour chaque service backend client-serveur auquel les tâches clientes se connectent.

Ensuite, supposons qu'un service frontal existe sans configuration Service Connect. Les tâches se connectent à un service backend existant. Ajoutez d'abord une configuration Service Connect client-serveur au service backend, en utilisant le même nom dans le DNSou clientAlias que celui utilisé par le frontend. Cela crée un nouveau déploiement, si bien que la détection de toutes les restaurations de déploiement ou AWS Management Console AWS CLI, AWS SDKs ainsi que d'autres méthodes de restauration et rétablir le service de backend avec la configuration et le déploiement précédents. Si vous êtes satisfait des performances et du comportement du service backend, ajoutez une configuration Service Connect client ou client-serveur au service frontal. Seules les tâches du nouveau déploiement utilisent le proxy Service Connect qui est ajouté à ces nouvelles tâches. Si vous rencontrez des problèmes avec cette configuration, vous pouvez revenir à votre configuration précédente en utilisant la détection de restauration du déploiement ou AWS Management Console AWS CLI, AWS SDKs ainsi que d'autres méthodes de restauration et rétablir le service de backend avec la configuration et le déploiement précédents. Si vous utilisez un autre système de découverte de services basé sur Service Connect, toutes DNS les applications frontales ou clientes commencent à utiliser de nouveaux points de terminaison et à modifier la configuration des points de terminaison après l'expiration du DNS cache local, ce qui prend généralement plusieurs heures.

Réseaux

Par défaut, le proxy Service Connect écoute le mappage containerPort de ports de définition de tâche. Les règles de votre groupe de sécurité doivent autoriser le trafic entrant (entrant) à ce port depuis les sous-réseaux sur lesquels les clients seront exécutés.

Même si vous définissez un numéro de port dans la configuration du service Service Connect, cela ne modifie pas le port du service client-serveur écouté par le proxy Service Connect. Lorsque vous définissez ce numéro de port, Amazon ECS modifie le port du point de terminaison auquel les services clients se connectent, sur le proxy Service Connect au sein de ces tâches. Le proxy du service client se connecte au proxy du service client-serveur à l'aide du containerPort.

Si vous souhaitez modifier le port sur lequel le proxy Service Connect écoute, modifiez le ingressPortOverride dans la configuration Service Connect du service client-serveur. Si vous modifiez ce numéro de port, vous devez autoriser le trafic entrant sur ce port utilisé par le trafic vers ce service.

Le trafic que vos applications envoient aux ECS services Amazon configurés pour Service Connect nécessite qu'Amazon VPC et les sous-réseaux disposent de règles de table de routage et de ACL règles réseau qui autorisent les containerPort numéros de ingressPortOverride port que vous utilisez.

Vous pouvez utiliser Service Connect pour envoyer du trafic entre les deuxVPCs. Les mêmes exigences en matière de règles de table de routage, de réseau ACLs et de groupes de sécurité s'appliquent aux deuxVPCs.

Par exemple, deux clusters créent des tâches différentesVPCs. Un service dans chaque cluster est configuré pour utiliser le même espace de noms. Les applications dans ces deux services peuvent résoudre tous les points de terminaison de l'espace de noms sans aucune VPC DNS configuration. Cependant, les proxys ne peuvent pas se connecter à moins que le VPC peeringVPC, ou les tables de routage des sous-réseaux, et le VPC réseau n'ACLsautorisent le trafic sur les numéros de port containerPort etingressPortOverride.

Pour les tâches utilisant le mode bridge réseau, vous devez créer un groupe de sécurité doté d'une règle entrante autorisant le trafic sur la plage de ports dynamiques supérieure. Attribuez ensuite le groupe de sécurité à toutes les EC2 instances du cluster Service Connect.

Proxy Service Connect

Si vous créez ou mettez à jour un service avec la configuration Service Connect, Amazon ECS ajoute un nouveau conteneur à chaque nouvelle tâche dès son démarrage. Ce modèle d'utilisation d'un conteneur séparé est nommé sidecar. Ce conteneur n'est pas présent dans la définition de la tâche et vous ne pouvez pas le configurer. Amazon ECS gère la configuration du conteneur dans le service. Cela vous permet de réutiliser les mêmes définitions de tâches entre plusieurs services, espaces de noms et tâches sans Service Connect.

Configuration du proxy

Vos applications se connectent au proxy dans le conteneur sidecar dans le cadre de la même tâche dans laquelle se trouve l'application. Amazon ECS configure la tâche et les conteneurs de telle sorte que les applications ne se connectent au proxy que lorsque l'application est connectée aux noms des points de terminaison dans le même espace de noms. Tout le reste du trafic n'utilise pas le proxy. L'autre trafic inclut les adresses IP du même traficVPC, les points de terminaison de AWS service et le trafic externe.

Considérations

Prenez les points suivants en compte lors de l'utilisation de Service Connect :

Régions dans lesquelles Service Connect est disponible

Amazon ECS Service Connect est disponible dans les AWS régions suivantes :