Acesso aos recursos do Amazon ECS com as configurações de conta

É possível acessar as configurações de conta Amazon ECS para optar por aceitar ou recusar recursos específicos. Para cada Região da AWS, você pode optar por aceitar ou recusar cada configuração de conta no nível da conta ou para um usuário ou perfil específico.

É possível optar por aceitar ou recusar recursos específicos se alguma das opções a seguir for relevante para você:

As seguintes configurações de conta estão disponíveis. Você deve aceitar e rejeitar separadamente cada configuração de conta.

Nomes de recursos da Amazon (ARNs) e IDs

Quando recursos do Amazon ECS são criados, são atribuídos a cada recurso um nome do recurso da Amazon (ARN) e um identificador de recurso (ID) exclusivos. Se você usar uma ferramenta de linha de comando ou a API do Amazon ECS para trabalhar com o Amazon ECS, é necessário ter os ARNs ou os IDs dos recursos para determinados comandos. Por exemplo, se você usar o comando stop-task da AWS CLI para interromper uma tarefa, será necessário especificar o ARN ou o ID da tarefa no comando.

O Amazon ECS está apresentando um novo formato para nomes de recursos da Amazon (ARNs) e IDs de recursos para serviços, tarefas e instâncias de contêiner do Amazon ECS. O status de aceitação para cada tipo de recurso determina o formato do nome do recurso da Amazon (ARN) usado pelo recurso. Você deve optar por aceitar o novo formato de ARN para usar recursos, como marcação de recursos, para esse tipo de recurso.

É possível optar por aceitar e recusar o novo formato do nome do recurso da Amazon (ARN) e de ID do recurso conforme a região. Atualmente, qualquer conta nova criada é aceita por padrão.

É possível optar por aceitar ou recusar o novo formato do nome de recurso da Amazon (ARN) e do ID de recurso a qualquer momento. Depois de aceitar, todos os novos recursos que você criar usarão o novo formato.

As seções a seguir descrevem como os formatos de ARN e ID do recurso estão sendo alterados. Para obter mais informações sobre a transição para os novos formatos, consulte Perguntas frequentes do Amazon Elastic Container Service.

Formato do nome do recurso da Amazon (ARN)

Alguns recursos têm um nome amigável, como um serviço denominado production. Em outros casos, você deve especificar um recurso usando o formato de nome de recurso da Amazon (ARN). O novo formato de ARN para tarefas, serviços e instâncias de contêiner do Amazon ECS inclui o nome do cluster. Para obter detalhes sobre a aceitação do novo formato de ARN, consulte Modificar configurações de conta do Amazon ECS.

A tabela a seguir mostra o formato atual e o novo formato para cada tipo de recurso.

Tamanho do ID do recurso

Um ID de recurso assume a forma de uma combinação exclusiva de letras e números. Novos formatos de ID de recurso incluem IDs mais curtos para tarefas e instâncias de contêiner do Amazon ECS. O formato atual de ID de recurso tem 36 caracteres. Os novos IDs têm um formato de 32 caracteres que não inclui hifens. Para obter informações sobre a aceitação do novo formato de ID do recurso, consulte Modificar configurações de conta do Amazon ECS.

O padrão é enabled.

Somente recursos lançados após a aceitação recebem o novo formato do ARN e do ID do recurso. Nenhum recurso existente é afetado. Para que os serviços e tarefas do Amazon ECS façam a transição para os novos formatos de ARN e ID de recurso, será necessário recriar a tarefa ou o serviço. Para fazer a transição de uma instância de contêiner para o novo formato do ARN e do ID do recurso, a instância de contêiner deve ser drenada e uma nova instância de contêiner deve ser iniciada e registrada no cluster.

Cronograma do formato do ARN e do ID do recurso

O cronograma para os períodos de aceitação e recusa do novo formato do nome do recurso da Amazon (ARN) e do ID do recurso para recursos do Amazon ECS terminou em 1.º de abril de 2021. Por padrão, todas as novas contas aderem ao novo formato. Todos os novos recursos criados receberão o novo formato e você não pode mais recusar.

Container Insights

O CloudWatch Container Insights coleta, agrega e resume métricas e logs das suas aplicações e microsserviços conteinerizados. As métricas incluem a utilização de recursos, como CPU, memória, disco e rede. O Container Insights também fornece informações de diagnóstico, como falhas de reinicialização de contêiner, para ajudar a isolar problemas e resolvê-los rapidamente. Você também pode definir alarmes do CloudWatch em métricas que o Container Insights coleta. Para ter mais informações, consulte Monitoração de contêineres do Amazon ECS usando o Container Insights.

Ao aceitar a configuração da conta do containerInsights, todos os novos clusters têm o Container Insights habilitado por padrão. É possível desabilitar essa configuração para clusters específicos quando criá-los. Você também pode alterar essa configuração usando a API UpdateClusterSettings.

Para clusters que contenham tarefas ou serviços que usem o tipo de inicialização do EC2, as instâncias de contêiner devem estar executando a versão 1.29.0 ou posterior do agente do Amazon ECS para usar o Container Insights. Para ter mais informações, consulte Gerenciamento de instâncias de contêiner do Linux no Amazon ECS.

O padrão é disabled.

Conformidade do AWS Fargate com o Padrão Federal de Processamento de Informações (FIPS-140)

O Fargate oferece suporte ao Padrão Federal de Processamento de Informações (FIPS-140), que especifica os requisitos de segurança para módulos criptográficos que protejam informações confidenciais. É o padrão atual dos governos dos Estados Unidos e do Canadá e é aplicável a sistemas que precisam estar em conformidade com a Lei Federal de Gerenciamento de Segurança da Informação (FISMA) ou com o Programa Federal de Gerenciamento de Riscos e Autorizações (FedRAMP).

O nome do recurso é

O padrão é disabled.

Você deve ativar a conformidade com o FIPS-140. Para ter mais informações, consulte Padrão Federal de Processamento de Informações (FIPS-140) do AWS Fargate.

Você deve ativar a conformidade com o Padrão Federal de Processamento de Informações (FIPS-140) no Fargate. Para ter mais informações, consulte Padrão Federal de Processamento de Informações (FIPS-140) do AWS Fargate.

Execute put-account-setting-default com a opção fargateFIPSMode definida como enabled. Para obter mais informações, consulte put-account-setting-default na Referência de API do Amazon Elastic Container Service.

É possível executar list-account-settings para visualizar o status atual de conformidade com o FIPS-140. Use a opção effective-settings para visualizar as configurações do nível da conta.

aws ecs list-account-settings --effective-settings

Autorização para atribuição de tags

O Amazon ECS está introduzindo a autorização para a atribuição de tags para a criação de recursos. Os usuários devem ter permissões de marcação para ações que criam o recurso, como ecsCreateCluster. Quando você cria um recurso e especifica tags para esse recurso, a AWS executa uma autorização adicional para verificar se há permissões para criar tags. Portanto, é preciso conceder permissões explícitas para usar a ação ecs:TagResource. Para ter mais informações, consulte Conceder permissão para a atribuição de tags a recursos durante a criação.

Para optar pela autorização para a atribuição de tags, execute put-account-setting-default com a opção tagResourceAuthorization definida como enable. Para obter mais informações, consulte put-account-setting-default na Referência de API do Amazon Elastic Container Service. É possível executar list-account-settings para ver o status atual da autorização para atribuição de tags.

Depois de habilitar a autorização de marcação, você deve configurar as permissões apropriadas para permitir que os usuários marquem recursos na criação. Para ter mais informações, consulte Conceder permissão para a atribuição de tags a recursos durante a criação.

É possível executar list-account-settings para ver o status atual da autorização para atribuição de tags. Use a opção effective-settings para visualizar as configurações do nível da conta.

aws ecs list-account-settings --effective-settings

Cronograma de autorização para atribuição de tags

É possível confirmar se a autorização para atribuição de tags está ativa executando list-account-settings para visualizar o valor tagResourceAuthorization. Quando o valor for on, isso significa que a autorização para atribuição de tags está em uso. Para obter mais informações, consulte list-account-settings na Referência de API do Amazon Elastic Container Service.

Veja a seguir as datas importantes relacionadas à autorização para atribuição de tags.

Tempo de espera para a retirada da tarefa do AWS Fargate

A AWS envia notificações quando você tiver tarefas do Fargate em execução em uma revisão de versão da plataforma marcada para ser retirada. Para ter mais informações, consulte Retirada e manutenção de tarefas para o AWS Fargate no Amazon ECS .

A AWS é responsável por aplicar patches e manter a infraestrutura subjacente do AWS Fargate. Quando a AWS determina que é necessário fazer uma atualização de segurança ou de infraestrutura para uma tarefa do Amazon ECS hospedada no Fargate, é necessário interromper as tarefas e iniciar novas tarefas para substituí-las. É possível configurar o período de espera antes que as tarefas sejam retiradas para aplicação de patches. Você tem a opção de retirar a tarefa imediatamente, esperar 7 dias corridos ou esperar 14 dias corridos.

Essa configuração está no nível da conta.

É possível configurar a hora em que o Fargate inicia a retirada da tarefa. Para workloads que exijam a aplicação imediata das atualizações, escolha a configuração imediata (0). Quando precisar de mais controle, por exemplo, quando uma tarefa só puder ser interrompida durante uma determinada janela, configure a opção de 7 dias (7) ou 14 dias (14).

Recomendamos que você escolha um período de espera mais curto para receber as revisões das versões da plataforma mais recentes mais cedo.

Configure o período de espera executando put-account-setting-default ou put-account-setting como usuário-raiz ou um usuário administrativo. Use a opção fargateTaskRetirementWaitPeriod para o name e a opção value definida como um dos valores a seguir:

O padrão são 7 dias.

Para obter mais informações, consulte put-account-setting-default e put-account-setting na Referência de API do Amazon Elastic Container Service.

Você pode executar o comando a seguir para definir o período de espera para 14 dias.

aws ecs put-account-setting-default --name fargateTaskRetirementWaitPeriod --value 14

Exemplo de saída

{
    "setting": {
        "name": "fargateTaskRetirementWaitPeriod",
        "value": "14",
        "principalArn": "arn:aws:iam::123456789012:root",
        "type: user"
    }
}

É possível executar list-account-settings para visualizar o tempo de espera atual da retirada da tarefa do Fargate. Use a opção effective-settings.

aws ecs list-account-settings --effective-settings

Aumento de interfaces de rede de instância de contêiner do Linux

Cada tarefa do Amazon ECS que usa o modo de rede awsvpc recebe a própria interface de rede elástica (ENI), que está anexada à instância de contêiner que a hospeda. Existe um limite padrão para o número de interfaces de rede que podem ser anexadas a uma instância do Amazon EC2, e a interface de rede primária conta como uma delas. Por exemplo, por padrão, uma instância c5.large pode ter até três ENIs associadas a ela. A interface de rede principal para a instância conta como uma, por isso você pode associar mais duas ENIs à instância. Como cada tarefa que usa o modo de rede awsvpc exige uma ENI, em geral, você pode executar somente duas dessas tarefas nesse tipo de instância.

O Amazon ECS oferece suporte à execução de instâncias de contêiner com maior densidade de ENI usando tipos de instâncias do Amazon EC2 compatíveis. Quando você usa esses tipos de instância e ativa a configuração da conta awsvpcTrunking, ENIs adicionais ficam disponíveis em instâncias de contêiner iniciadas recentemente. Essa configuração permite que você coloque mais tarefas em cada instância de contêiner.

Por exemplo, uma instância c5.large com awsvpcTrunking tem um limite de ENI aumentado para doze. A instância de contêiner terá a interface de rede prmária e o Amazon ECS cria e anexa uma interface de rede "tronco" à instância de contêiner. Portanto, essa configuração permite que você inicie 10 tarefas na instância de contêiner, em vez das duas tarefas atuais.

Monitoramento de runtime (integração com o Amazon GuardDuty)

O monitoramento de runtime é um serviço inteligente de detecção de ameaças que protege as workloads em execução nas instâncias de contêiner do Fargate e do EC2, monitorando continuamente as atividades de log e rede da AWS para identificar comportamentos maliciosos ou não autorizados.

O parâmetro guardDutyActivate é somente leitura no Amazon ECS e indica se o monitoramento de runtime está ativado ou desativado pelo administrador de segurança na sua conta do Amazon ECS. O GuardDuty controla essa configuração de conta em seu nome. Para obter mais informações, consulte Protecting Amazon ECS workloads with Runtime Monitoring.

Você pode executar list-account-settings para visualizar a configuração atual de integração do GuardDuty.

aws ecs list-account-settings 

Exemplo de saída

{
    "setting": {
        "name": "guardDutyActivate",
        "value": "on",
        "principalArn": "arn:aws:iam::123456789012:doej",
        "type": aws-managed"
    }
}

VPC IPv6 de pilha dupla

O Amazon ECS oferece suporte ao fornecimento de tarefas com um endereço IPv6 além do endereço IPv4 privado primário.

Para que as tarefas recebam um endereço IPv6, a tarefa deve usar o modo de rede awsvpc, deve ser iniciada em uma VPC configurada para o modo de pilha dupla e a configuração da conta do dualStackIPv6 deve estar habilitada. Para obter mais informações sobre outros requisitos, consulte Usar uma VPC no modo de pilha dupla para o tipo de execução do EC2 e Usar uma VPC no modo de pilha dupla para o tipo de execução do Fargate.

Se você tinha uma tarefa em execução usando o modo de rede awsvpc em uma sub-rede habilitada para IPv6 entre 1.º de outubro de 2020 e 2 de novembro de 2020, a configuração padrão dualStackIPv6 da conta na região em que a tarefa estava sendo executada é disabled. Se essa condição não for atendida, a configuração padrão dualStackIPv6 na região será enabled.

O padrão é disabled.