Image de l'envoyé

AWS App Mesh est un maillage de services basé sur le proxy Envoy.

Vous devez ajouter un proxy Envoy à la ECS tâche Amazon, au pod Kubernetes ou à l'EC2instance Amazon représentée par votre point de terminaison App Mesh, tel qu'un nœud virtuel ou une passerelle virtuelle. App Mesh vend une image de conteneur proxy Envoy corrigée avec les dernières mises à jour des vulnérabilités et des performances. App Mesh teste chaque nouvelle version du proxy Envoy par rapport à l'ensemble de fonctionnalités App Mesh avant de mettre une nouvelle image à votre disposition.

Variantes d'image Envoy

App Mesh propose deux variantes de l'image du conteneur proxy Envoy. La différence entre les deux réside dans la manière dont le proxy Envoy communique avec le plan de données App Mesh et dans la manière dont les proxys Envoy communiquent entre eux. L'une est une image standard, qui communique avec les points de terminaison du service App Mesh standard. L'autre variante est FIPS conforme, elle communique avec les points de terminaison du FIPS service App Mesh et applique la FIPS cryptographie aux communications entre les services TLS App Mesh.

Vous pouvez choisir une image régionale dans la liste ci-dessous ou une image de notre référentiel public nomméaws-appmesh-envoy.

cat << EOF > Dockerfile
FROM public.ecr.aws/appmesh/aws-appmesh-envoy:v1.22.0.0-prod as envoy

FROM public.ecr.aws/amazonlinux/amazonlinux:2
RUN yum -y update && \
    yum clean all && \
    rm -rf /var/cache/yum

COPY --from=envoy /usr/bin/envoy /usr/bin/envoy
COPY --from=envoy /usr/bin/agent /usr/bin/agent
COPY --from=envoy /aws_appmesh_aggregate_stats.wasm /aws_appmesh_aggregate_stats.wasm

CMD [ "/usr/bin/agent" ]
EOF

docker build -f Dockerfile -t aws-appmesh-envoy:v1.22.0.0-prod-al2 .

L'accès à cette image de conteneur dans Amazon ECR est contrôlé par AWS Identity and Access Management (IAM). Par conséquent, vous devez vérifier que vous disposez d'un accès en lecture à AmazonECR. IAM Par exemple, lorsque vous utilisez AmazonECS, vous pouvez attribuer un rôle d'exécution de tâche approprié à une ECS tâche Amazon. Si vous utilisez des IAM politiques qui limitent l'accès à ECR des ressources Amazon spécifiques, assurez-vous d'autoriser l'accès au nom de ressource Amazon spécifique à la région (ARN) qui identifie le aws-appmesh-envoy référentiel. Par exemple, dans la us-west-2 région, vous autorisez l'accès à la ressource suivante :arn:aws:ecr:us-west-2:840364872350:repository/aws-appmesh-envoy. Pour plus d'informations, consultez Amazon ECR Managed Policies. Si vous utilisez Docker sur une EC2 instance Amazon, authentifiez Docker auprès du référentiel. Pour plus d'informations, consultez Authentification de registre.

Nous publions occasionnellement de nouvelles fonctionnalités d'App Mesh qui dépendent des modifications apportées par Envoy qui n'ont pas encore été fusionnées avec les images d'Envoy en amont. Pour utiliser ces nouvelles fonctionnalités d'App Mesh avant que les modifications d'Envoy ne soient fusionnées en amont, vous devez utiliser l'image du conteneur App Mesh-vended Envoy. Pour obtenir la liste des modifications, consultez la GitHubfeuille de route d'App Mesh concernant les problèmes liés à l'Envoy Upstreamétiquette. Nous vous recommandons d'utiliser l'image du conteneur App Mesh Envoy comme meilleure option prise en charge.