Envoy 이미지

AWS App Mesh 는 Envoy 프록시를 기반으로 하는 서비스 메시입니다.

Envoy 프록시를 App Mesh 엔드포인트(예: 가상 노드 또는 가상 게이트웨이)로 표시되는 Amazon ECS 태스크, Kubernetes 포드 또는 Amazon EC2 인스턴스에 추가해야 합니다. App Mesh는 최신 취약성 및 성능 업데이트로 패치된 Envoy 프록시 컨테이너 이미지를 제공합니다. App Mesh는 새 이미지를 사용할 수 있도록 만들기 전에 App Mesh 기능 세트를 기준으로 각 새 Envoy 프록시 릴리스를 테스트합니다.

Envoy 이미지 변형

App Mesh는 Envoy 프록시 컨테이너 이미지의 두 가지 변형을 제공합니다. 두 가지 차이점은 Envoy 프록시가 App Mesh 데이터 영역과 통신하는 방식과 Envoy 프록시가 서로 통신하는 방식입니다. 하나는 표준 App Mesh 서비스 엔드포인트와 통신하는 표준 이미지입니다. 다른 변형은 FIPS를 준수하며, App Mesh FIPS 서비스 엔드포인트와 통신하고 App Mesh 서비스 간의 TLS 통신에서 FIPS 암호화를 적용합니다.

아래 목록에서 리전별 이미지를 선택하거나 이름이 aws-appmesh-envoy인 퍼블릭 리포지토리에서 이미지를 선택할 수 있습니다.

cat << EOF > Dockerfile
FROM public.ecr.aws/appmesh/aws-appmesh-envoy:v1.22.0.0-prod as envoy

FROM public.ecr.aws/amazonlinux/amazonlinux:2
RUN yum -y update && \
    yum clean all && \
    rm -rf /var/cache/yum

COPY --from=envoy /usr/bin/envoy /usr/bin/envoy
COPY --from=envoy /usr/bin/agent /usr/bin/agent
COPY --from=envoy /aws_appmesh_aggregate_stats.wasm /aws_appmesh_aggregate_stats.wasm

CMD [ "/usr/bin/agent" ]
EOF

docker build -f Dockerfile -t aws-appmesh-envoy:v1.22.0.0-prod-al2 .

Amazon ECR에서이 컨테이너 이미지에 대한 액세스는 AWS Identity and Access Management (IAM)에 의해 제어됩니다. 따라서 IAM을 사용하여 Amazon ECR에 대한 읽기 권한이 있는지 확인해야 합니다. 예를 들어, Amazon ECS를 사용하는 경우 Amazon ECS 태스크에 적절한 태스크 실행 역할을 할당할 수 있습니다. 특정 Amazon ECR 리소스에 대한 액세스를 제한하는 IAM 정책을 사용하는 경우 aws-appmesh-envoy 리포지토리를 식별하는 리전별 Amazon 리소스 이름(ARN)에 대한 액세스를 허용하는지 확인하세요. 예를 들어, us-west-2 리전에서는 arn:aws:ecr:us-west-2:840364872350:repository/aws-appmesh-envoy 리소스에 대한 액세스를 허용합니다. 자세한 내용은 Amazon ECR 관리형 정책을 참조하세요. Amazon EC2 인스턴스에서 Docker를 사용하는 경우 리포지토리에서 Docker를 인증합니다. 자세한 내용은 레지스트리 인증을 참조하십시오.

아직 업스트림 Envoy 이미지에 병합되지 않은 Envoy 변경 사항을 기준으로 하는 새로운 App Mesh 기능이 출시되는 경우가 있습니다. Envoy 변경 사항이 업스트림에 병합되기 전에 이러한 새로운 App Mesh 기능을 사용하려면 App Mesh에서 제공하는 Envoy 컨테이너 이미지를 사용해야 합니다. 변경 사항 목록은 Envoy Upstream 레이블이 있는 App Mesh GitHub 로드맵 문제를 참조하세요. App Mesh Envoy 컨테이너 이미지를 최상의 지원 옵션으로 사용하는 것이 좋습니다.