Akses ECS fitur Amazon dengan pengaturan akun - Amazon Elastic Container Service
Nama Sumber Daya Amazon (ARNs) dan IDsARNdan garis waktu format ID sumber dayaAWS Fargate Kepatuhan Standar Pemrosesan Informasi Federal (FIPS-140)Otorisasi penandaanMenandai garis waktu otorisasiAWS Fargate tugas pensiun waktu tungguPemantauan Runtime ( GuardDuty integrasi Amazon)

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Akses ECS fitur Amazon dengan pengaturan akun

Anda dapat masuk ke pengaturan ECS akun Amazon untuk memilih masuk atau keluar dari fitur tertentu. Untuk masing-masing Wilayah AWS, Anda dapat memilih untuk, atau memilih keluar dari, setiap pengaturan akun di tingkat akun atau untuk pengguna atau peran tertentu.

Anda mungkin ingin memilih masuk atau keluar dari fitur tertentu jika salah satu dari berikut ini relevan bagi Anda:

  • Pengguna atau peran dapat memilih atau memilih keluar dari pengaturan akun tertentu untuk akun individu mereka.

  • Pengguna atau peran dapat mengatur pengaturan opt-in atau opt-out default untuk semua pengguna di akun.

  • Pengguna root atau pengguna dengan hak administrator dapat memilih, atau memilih keluar dari, peran atau pengguna tertentu apa pun di akun. Jika pengaturan akun untuk pengguna root diubah, itu menetapkan default untuk semua pengguna dan peran yang tidak dipilih oleh pengaturan akun individual.

catatan

Pengguna federasi mengasumsikan pengaturan akun pengguna root dan tidak dapat mengatur pengaturan akun eksplisit untuk mereka secara terpisah.

Pengaturan akun berikut tersedia. Anda harus secara terpisah opt-in dan opt-out untuk setiap pengaturan akun.

Nama Sumber Daya Amazon (ARNs) dan IDs

Nama sumber daya:serviceLongArnFormat, taskLongArnFormat, dan containerInstanceLongArnFormat

Amazon ECS memperkenalkan format baru untuk Amazon Resource Names (ARNs) dan sumber daya IDs untuk ECS layanan Amazon, tugas, dan instance container. Status keikutsertaan untuk setiap jenis sumber daya menentukan format Amazon Resource Name (ARN) yang digunakan sumber daya. Anda harus memilih ARN format baru untuk menggunakan fitur seperti penandaan sumber daya untuk jenis sumber daya tersebut. Untuk informasi selengkapnya, lihat Nama Sumber Daya Amazon (ARNs) dan IDs.

Default-nya adalah enabled.

Hanya sumber daya yang diluncurkan setelah memilih untuk menerima format ID baru ARN dan sumber daya. Semua sumber daya yang ada tidak terpengaruh. Agar ECS layanan dan tugas Amazon dapat beralih ke format ID baru ARN dan sumber daya, Anda harus membuat ulang layanan atau tugas. Untuk mentransisikan instance container ke format ID baru ARN dan resource, instance container harus dikeringkan dan instance container baru harus diluncurkan dan didaftarkan ke cluster.

catatan

Tugas yang diluncurkan oleh ECS layanan Amazon hanya dapat menerima format ID baru ARN dan sumber daya jika layanan dibuat pada atau setelah 16 November 2018, dan pengguna yang membuat layanan telah memilih format baru untuk tugas.

AWSVPCtrunking

Nama sumber daya: awsvpcTrunking

Amazon ECS mendukung peluncuran instans kontainer dengan peningkatan kepadatan elastic network interface (ENI) menggunakan jenis EC2 instans Amazon yang didukung. Saat Anda menggunakan jenis instans ini dan ikut serta dalam pengaturan awsvpcTrunking akun, tambahan ENIs tersedia pada instance container yang baru diluncurkan. Anda dapat menggunakan konfigurasi ini untuk menempatkan lebih banyak tugas menggunakan mode awsvpc jaringan pada setiap instance kontainer. Dengan menggunakan fitur ini, c5.large instance dengan awsvpcTrunking enabled memiliki peningkatan ENI kuota sepuluh. Instance container memiliki antarmuka jaringan utama, dan Amazon ECS membuat dan melampirkan antarmuka jaringan “trunk” ke instance container. Antarmuka jaringan utama dan antarmuka jaringan trunk tidak dihitung terhadap ENI kuota. Oleh karena itu, Anda dapat menggunakan konfigurasi ini untuk meluncurkan sepuluh tugas pada instance container alih-alih dua tugas saat ini. Untuk informasi selengkapnya, lihat Meningkatkan antarmuka jaringan instans penampung Amazon ECS Linux.

Default-nya adalah disabled.

Hanya sumber daya yang diluncurkan setelah memilih menerima ENI batas yang meningkat. Semua sumber daya yang ada tidak terpengaruh. Untuk mentransisikan instance kontainer ke ENI kuota yang ditingkatkan, instance kontainer harus dikeringkan dan instance kontainer baru didaftarkan ke cluster.

CloudWatch Wawasan Kontainer

Nama sumber daya: containerInsights

CloudWatch Container Insights mengumpulkan, mengumpulkan, dan merangkum metrik dan log dari aplikasi dan layanan mikro dalam kontainer Anda. Metrik termasuk pemanfaatan untuk sumber daya sepertiCPU, memori, disk, dan jaringan. Wawasan Kontainer juga akan menyediakan informasi diagnostik, seperti kegagalan mengulang kembali kontainer, untuk membantu Anda melakukan isolasi atas masalah dan mengatasi masalah itu dengan cepat. Anda juga dapat menyetel CloudWatch alarm pada metrik yang dikumpulkan Container Insights. Untuk informasi selengkapnya, lihat Pantau ECS wadah Amazon menggunakan Wawasan Kontainer.

Ketika Anda memilih pengaturan akun containerInsights, semua klaster baru memiliki Wawasan Kontainer yang diaktifkan secara default. Anda dapat menonaktifkan pengaturan ini untuk klaster tertentu ketika Anda membuatnya. Anda juga dapat mengubah pengaturan ini dengan menggunakan UpdateClusterSettings API.

Untuk cluster yang berisi tugas atau layanan yang menggunakan jenis EC2 peluncuran, instance container Anda harus menjalankan ECS agen Amazon versi 1.29.0 atau yang lebih baru untuk menggunakan Container Insights. Untuk informasi selengkapnya, lihat Manajemen instans penampung Amazon ECS Linux.

Default-nya adalah disabled.

Tumpukan ganda VPC IPv6

Nama sumber daya: dualStackIPv6

Amazon ECS mendukung penyediaan tugas dengan IPv6 alamat selain IPv4 alamat pribadi utama.

Agar tugas menerima IPv6 alamat, tugas harus menggunakan mode awsvpc jaringan, harus diluncurkan dalam VPC konfigurasi untuk mode dual-stack, dan pengaturan dualStackIPv6 akun harus diaktifkan. Untuk informasi selengkapnya tentang persyaratan lainnya, lihat Menggunakan mode VPC dual-stack untuk jenis EC2 peluncuran dan Menggunakan mode VPC dual-stack untuk jenis peluncuran Fargate.

penting

Pengaturan dualStackIPv6 akun hanya dapat diubah menggunakan Amazon ECS API atau AWS CLI. Untuk informasi selengkapnya, lihat Memodifikasi pengaturan ECS akun Amazon.

Jika Anda memiliki tugas yang berjalan menggunakan mode awsvpc jaringan di subnet yang IPv6 diaktifkan antara tanggal 1 Oktober 2020 dan 2 November 2020, pengaturan dualStackIPv6 akun default di Wilayah tempat tugas dijalankan adalahdisabled. Jika kondisi tersebut tidak terpenuhi, dualStackIPv6 pengaturan default di Wilayah adalahenabled.

Default-nya adalah disabled.

Kepatuhan Fargate FIPS -140

Nama sumber daya: fargateFIPSMode

Fargate mendukung Federal Information Processing Standard (FIPS-140) yang menetapkan persyaratan keamanan untuk modul kriptografi yang melindungi informasi sensitif. Ini adalah standar pemerintah Amerika Serikat dan Kanada saat ini, dan berlaku untuk sistem yang harus mematuhi Undang-Undang Manajemen Keamanan Informasi Federal (FISMA) atau Program Manajemen Risiko dan Otorisasi Federal (FedRAMP).

Default-nya adalah disabled.

Anda harus mengaktifkan kepatuhan FIPS -140. Untuk informasi selengkapnya, lihat AWS Fargate Standar Pemrosesan Informasi Federal (FIPS-140).

penting

Pengaturan fargateFIPSMode akun hanya dapat diubah menggunakan Amazon ECS API atau AWS CLI. Untuk informasi selengkapnya, lihat Memodifikasi pengaturan ECS akun Amazon.

Otorisasi Sumber Daya Tag

Nama sumber daya: tagResourceAuthorization

Beberapa ECS API tindakan Amazon memungkinkan Anda menentukan tag saat membuat sumber daya.

Amazon ECS memperkenalkan otorisasi penandaan untuk pembuatan sumber daya. Pengguna harus memiliki izin untuk tindakan yang membuat sumber daya, sepertiecsCreateCluster. Jika tag ditentukan dalam tindakan pembuatan sumber daya, AWS lakukan otorisasi tambahan pada ecs:TagResource tindakan untuk memverifikasi apakah pengguna atau peran memiliki izin untuk membuat tag. Oleh karena itu, Anda harus memberikan izin eksplisit untuk menggunakan tindakan. ecs:TagResource Untuk informasi selengkapnya, lihat Berikan izin untuk menandai sumber daya pada pembuatan.

Masa tunggu pensiun tugas Fargate

Nama sumber daya: fargateTaskRetirementWaitPeriod

AWS bertanggung jawab untuk menambal dan memelihara infrastruktur yang mendasari AWS Fargate. Saat AWS menentukan bahwa pembaruan keamanan atau infrastruktur diperlukan untuk ECS tugas Amazon yang dihosting di Fargate, tugas harus dihentikan dan tugas baru diluncurkan untuk menggantikannya. Anda dapat mengonfigurasi periode tunggu sebelum tugas dihentikan untuk ditambal. Anda memiliki opsi untuk segera menghentikan tugas, menunggu 7 hari kalender, atau menunggu 14 hari kalender.

Pengaturan ini ada di tingkat akun.

Aktivasi Runtime Monitoring

Nama sumber daya: guardDutyActivate

guardDutyActivateParameter ini hanya-baca di Amazon ECS dan menunjukkan apakah Runtime Monitoring diaktifkan atau dimatikan oleh administrator keamanan Anda di akun Amazon Anda. ECS GuardDuty mengontrol pengaturan akun ini atas nama Anda. Untuk informasi selengkapnya, lihat Melindungi ECS beban kerja Amazon dengan Runtime Monitoring.

Topik

Nama Sumber Daya Amazon (ARNs) dan IDs

Saat ECS sumber daya Amazon dibuat, setiap sumber daya diberi Nama Sumber Daya Amazon (ARN) dan pengenal sumber daya (ID) yang unik. Jika Anda menggunakan alat baris perintah atau Amazon ECS API untuk bekerja dengan AmazonECS, sumber daya ARNs atau IDs diperlukan untuk perintah tertentu. Misalnya, jika Anda menggunakan AWS CLI perintah stop-task untuk menghentikan tugas, Anda harus menentukan tugas ARN atau ID dalam perintah.

Anda dapat memilih dan memilih keluar dari Amazon Resource Name (ARN) dan format ID sumber daya baru berdasarkan per wilayah. Saat ini, setiap akun baru yang dibuat akan disertakan secara default.

Anda dapat memilih atau memilih keluar dari Amazon Resource Name (ARN) dan format ID sumber daya baru kapan saja. Setelah Anda ikut serta, sumber daya baru apa pun yang Anda buat menggunakan format baru.

catatan

ID sumber daya tidak berubah setelah dibuat. Oleh karena itu, memilih masuk atau keluar dari format baru tidak memengaruhi sumber daya IDs yang ada.

Bagian berikut menjelaskan bagaimana ARN dan format ID sumber daya berubah. Untuk informasi selengkapnya tentang transisi ke format baru, lihat Amazon Elastic Container Service FAQ.

Format Nama Sumber Daya Amazon (ARN)

Beberapa sumber daya memiliki nama yang mudah digunakan, seperti layanan bernama production. Dalam kasus lain, Anda harus menentukan sumber daya menggunakan format Amazon Resource Name (ARN). ARNFormat baru untuk ECS tugas, layanan, dan instans penampung Amazon menyertakan nama cluster. Untuk informasi tentang memilih ARN format baru, lihatMemodifikasi pengaturan ECS akun Amazon.

Tabel berikut menunjukkan format saat ini dan format baru untuk setiap jenis sumber daya.

Jenis sumber daya ARN
Instans kontainer

Saat ini: arn:aws:ecs:region:aws_account_id:container-instance/container-instance-id

Baru: arn:aws:ecs:region:aws_account_id:container-instance/cluster-name/container-instance-id
ECSLayanan Amazon

Saat ini: arn:aws:ecs:region:aws_account_id:service/service-name

Baru: arn:aws:ecs:region:aws_account_id:service/cluster-name/service-name
ECSTugas Amazon

Saat ini: arn:aws:ecs:region:aws_account_id:task/task-id

Baru: arn:aws:ecs:region:aws_account_id:task/cluster-name/task-id
Panjang ID Sumber Daya

ID sumber daya berisi kombinasi unik dari huruf dan angka. Format ID sumber daya baru mencakup lebih pendek IDs untuk ECS tugas Amazon dan instance penampung. Format ID sumber daya saat ini adalah 36 karakter. Yang baru IDs dalam format 32 karakter yang tidak menyertakan tanda hubung apa pun. Untuk informasi lebih lanjut tentang memilih format ID sumber daya baru, lihat Memodifikasi pengaturan ECS akun Amazon.

ARNdan garis waktu format ID sumber daya

Garis waktu untuk periode opt-in dan opt-out untuk Amazon Resource Name (ARN) baru dan format ID sumber daya untuk sumber ECS daya Amazon berakhir pada 1 April 2021. Secara default, semua akun dipilih ke format baru. Semua sumber daya baru yang dibuat menerima format baru, dan Anda tidak dapat lagi memilih keluar.

AWS Fargate Kepatuhan Standar Pemrosesan Informasi Federal (FIPS-140)

Anda harus mengaktifkan kepatuhan Standar Pemrosesan Informasi Federal (FIPS-140) pada Fargate. Untuk informasi selengkapnya, lihat AWS Fargate Standar Pemrosesan Informasi Federal (FIPS-140).

Jalankan put-account-setting-default dengan fargateFIPSMode opsi yang disetel keenabled. Untuk informasi selengkapnya, lihat, put-account-setting-defaultdi APIReferensi Layanan Amazon Elastic Container.

  • Anda dapat menggunakan perintah berikut untuk mengaktifkan kepatuhan FIPS -140.

    aws ecs put-account-setting-default --name fargateFIPSMode --value enabled

    Contoh Output

    {
    "setting": {
        "name": "fargateFIPSMode",
        "value": "enabled",
        "principalArn": "arn:aws:iam::123456789012:root",
         "type": user
    }
}

Anda dapat menjalankan list-account-settings untuk melihat status kepatuhan FIPS -140 saat ini. Gunakan effective-settings opsi untuk melihat pengaturan tingkat akun.

aws ecs list-account-settings --effective-settings

Otorisasi penandaan

Amazon ECS memperkenalkan otorisasi penandaan untuk pembuatan sumber daya. Pengguna harus memiliki izin penandaan untuk tindakan yang membuat sumber daya, seperti. ecsCreateCluster Saat Anda membuat sumber daya dan menentukan tag untuk sumber daya tersebut, AWS lakukan otorisasi tambahan untuk memverifikasi bahwa ada izin untuk membuat tag. Oleh karena itu, Anda harus memberikan izin eksplisit untuk menggunakan tindakan. ecs:TagResource Untuk informasi selengkapnya, lihat Berikan izin untuk menandai sumber daya pada pembuatan.

Untuk ikut serta dalam menandai otorisasi, jalankan put-account-setting-default dengan tagResourceAuthorization opsi yang disetel ke. enable Untuk informasi selengkapnya, lihat, put-account-setting-defaultdi APIReferensi Layanan Amazon Elastic Container. Anda dapat menjalankan list-account-settings untuk melihat status otorisasi penandaan saat ini.

  • Anda dapat menggunakan perintah berikut untuk mengaktifkan otorisasi penandaan.

    aws ecs put-account-setting-default --name tagResourceAuthorization --value on --region region

    Contoh Output

    {
    "setting": {
        "name": "tagResourceAuthorization",
        "value": "on",
        "principalArn": "arn:aws:iam::123456789012:root",
        "type": user
    }
}

Setelah mengaktifkan otorisasi penandaan, Anda harus mengonfigurasi izin yang sesuai untuk memungkinkan pengguna menandai sumber daya saat pembuatan. Untuk informasi selengkapnya, lihat Berikan izin untuk menandai sumber daya pada pembuatan.

Anda dapat menjalankan list-account-settings untuk melihat status otorisasi penandaan saat ini. Gunakan effective-settings opsi untuk melihat pengaturan tingkat akun.

aws ecs list-account-settings --effective-settings

Menandai garis waktu otorisasi

Anda dapat mengonfirmasi apakah otorisasi penandaan aktif dengan menjalankan list-account-settings untuk melihat nilainya. tagResourceAuthorization Ketika nilainyaon, itu berarti otorisasi penandaan sedang digunakan. Untuk informasi selengkapnya, lihat, list-account-settingsdi APIReferensi Layanan Amazon Elastic Container.

Berikut ini adalah tanggal-tanggal penting yang terkait dengan otorisasi penandaan.

  • 18 April 2023 - Otorisasi penandaan diperkenalkan. Semua akun baru dan yang sudah ada harus ikut serta untuk menggunakan fitur ini. Anda dapat memilih untuk mulai menggunakan otorisasi penandaan. Dengan ikut serta, Anda harus memberikan izin yang sesuai.

  • 9 Februari 2024 - 6 Maret 2024 - Semua akun baru dan akun yang ada yang tidak terkena dampak telah mengaktifkan otorisasi penandaan secara default. Anda dapat mengaktifkan atau menonaktifkan pengaturan tagResourceAuthorization akun untuk memverifikasi IAM kebijakan Anda.

    AWS telah memberi tahu akun yang terkena dampak.

    Untuk menonaktifkan fitur, jalankan put-account-setting-default dengan tagResourceAuthorization opsi yang disetel keoff.

  • 7 Maret 2024 - Jika Anda telah mengaktifkan otorisasi penandaan, Anda tidak dapat lagi menonaktifkan pengaturan akun.

    Kami menyarankan Anda menyelesaikan pengujian IAM kebijakan Anda sebelum tanggal ini.

  • 29 Maret 2024 - Semua akun menggunakan otorisasi penandaan. Pengaturan tingkat akun tidak akan lagi tersedia di ECS konsol Amazon atau. AWS CLI

AWS Fargate tugas pensiun waktu tunggu

AWS mengirimkan pemberitahuan ketika Anda memiliki tugas Fargate yang berjalan pada revisi versi platform yang ditandai untuk pensiun. Untuk informasi selengkapnya, lihat Tugas pensiun dan pemeliharaan untuk AWS Fargate di Amazon ECS .

Anda dapat mengkonfigurasi waktu Fargate memulai tugas pensiun. Untuk beban kerja yang memerlukan aplikasi pembaruan segera, pilih pengaturan langsung (0). Ketika Anda membutuhkan kontrol lebih, misalnya, ketika tugas hanya dapat dihentikan selama jendela tertentu, konfigurasikan opsi 7 hari (7), atau 14 hari (14).

Kami menyarankan Anda memilih masa tunggu yang lebih pendek untuk mengambil revisi versi platform yang lebih baru lebih cepat.

Konfigurasikan periode tunggu dengan menjalankan put-account-setting-default atau put-account-setting sebagai pengguna root atau pengguna administratif. Gunakan fargateTaskRetirementWaitPeriod opsi untuk name dan value opsi yang disetel ke salah satu nilai berikut:

  • 0- AWS mengirim pemberitahuan, dan segera mulai pensiun tugas yang terpengaruh.

  • 7- AWS mengirim pemberitahuan, dan menunggu 7 hari kalender sebelum mulai pensiun tugas yang terpengaruh.

  • 14- AWS mengirim pemberitahuan, dan menunggu 14 hari kalender sebelum mulai pensiun tugas yang terpengaruh.

Defaultnya adalah 7 hari.

Untuk informasi selengkapnya, lihat, put-account-setting-defaultdan put-account-settingdi APIReferensi Layanan Amazon Elastic Container.

Anda dapat menjalankan perintah berikut untuk mengatur periode tunggu menjadi 14 hari.

aws ecs put-account-setting-default --name fargateTaskRetirementWaitPeriod --value 14

Contoh Output

{
    "setting": {
        "name": "fargateTaskRetirementWaitPeriod",
        "value": "14",
        "principalArn": "arn:aws:iam::123456789012:root",
        "type: user"
    }
}

Anda dapat menjalankan list-account-settings untuk melihat waktu tunggu pensiun tugas Fargate saat ini. Gunakan effective-settings opsi.

aws ecs list-account-settings --effective-settings

Pemantauan Runtime ( GuardDuty integrasi Amazon)

Runtime Monitoring adalah layanan deteksi ancaman cerdas yang melindungi beban kerja yang berjalan di Fargate dan instance EC2 container dengan terus memantau aktivitas AWS log dan jaringan untuk mengidentifikasi perilaku berbahaya atau tidak sah.

guardDutyActivateParameter ini hanya-baca di Amazon ECS dan menunjukkan apakah Runtime Monitoring diaktifkan atau dimatikan oleh administrator keamanan Anda di akun Amazon Anda. ECS GuardDuty mengontrol pengaturan akun ini atas nama Anda. Untuk informasi selengkapnya, lihat Melindungi ECS beban kerja Amazon dengan Runtime Monitoring.

Anda dapat menjalankan list-account-settings untuk melihat pengaturan GuardDuty integrasi saat ini. 

aws ecs list-account-settings

Contoh Output

{
    "setting": {
        "name": "guardDutyActivate",
        "value": "on",
        "principalArn": "arn:aws:iam::123456789012:doej",
        "type": aws-managed"
    }
}