Imagem do Envoy

AWS App Mesh é uma malha de serviços baseada no proxy Envoy.

Você deve adicionar um proxy Envoy à tarefa do Amazon ECS, ao pod do Kubernetes ou à instância da EC2 Amazon representada pelo seu endpoint do App Mesh, como um nó virtual ou um gateway virtual. O App Mesh vende uma imagem de contêiner proxy Envoy que é corrigida com as atualizações mais recentes de vulnerabilidade e desempenho. O App Mesh testa cada nova versão do proxy Envoy em relação ao conjunto de recursos do App Mesh antes de disponibilizar uma nova imagem para você.

Variantes de imagem do Envoy

O App Mesh fornece duas variantes da imagem do contêiner proxy Envoy. As diferenças entre os dois são como o proxy Envoy se comunica com o plano de dados do App Mesh e como os proxies Envoy se comunicam entre si. Uma delas é uma imagem padrão, que se comunica com os endpoints padrão do serviço App Mesh. A outra variante é compatível com FIPS, que se comunica com os terminais do serviço FIPS do App Mesh e aplica a criptografia FIPS na comunicação TLS entre os serviços do App Mesh.

Você pode escolher uma imagem regional da lista abaixo ou uma imagem do nosso repositório público chamada aws-appmesh-envoy.

cat << EOF > Dockerfile
FROM public.ecr.aws/appmesh/aws-appmesh-envoy:v1.22.0.0-prod as envoy

FROM public.ecr.aws/amazonlinux/amazonlinux:2
RUN yum -y update && \
    yum clean all && \
    rm -rf /var/cache/yum

COPY --from=envoy /usr/bin/envoy /usr/bin/envoy
COPY --from=envoy /usr/bin/agent /usr/bin/agent
COPY --from=envoy /aws_appmesh_aggregate_stats.wasm /aws_appmesh_aggregate_stats.wasm

CMD [ "/usr/bin/agent" ]
EOF

docker build -f Dockerfile -t aws-appmesh-envoy:v1.22.0.0-prod-al2 .

O acesso a essa imagem de contêiner no Amazon ECR é controlado pelo AWS Identity and Access Management (IAM). Como resultado, você deve usar o IAM para verificar se você tem acesso de leitura ao Amazon ECR. Por exemplo, ao usar o Amazon ECS, você pode atribuir uma função apropriada de execução de tarefas a uma tarefa do Amazon ECS. Se você usa políticas do IAM que limitam o acesso a recursos específicos do Amazon ECR, certifique-se de verificar se você permite acesso ao nome do recurso da Amazon (ARN) específico da região que identifica o repositório aws-appmesh-envoy. Por exemplo, na região us-west-2, você permite acesso ao seguinte recurso: arn:aws:ecr:us-west-2:840364872350:repository/aws-appmesh-envoy. Para obter mais informações, consulte Políticas gerenciadas do Amazon ECR. Se você estiver usando o Docker em uma EC2 instância da Amazon, autentique o Docker no repositório. Para obter mais informações, consulte Autenticação de registro.

Ocasionalmente, lançamos novos atributos do App Mesh que dependem das alterações do Envoy que ainda não foram mescladas às imagens upstream do Envoy. Para usar esses novos atributos do App Mesh antes que as alterações do Envoy sejam mescladas no upstream, você deve usar a imagem de contêiner do Envoy fornecida pelo App Mesh. Para ver uma lista de mudanças, consulte os problemas do GitHub roteiro do App Mesh com o Envoy Upstream rótulo. Recomendamos o uso da imagem do contêiner do App Mesh como a melhor opção compatível.