Amazon ECS Sample App

Congratulations!

Your application is now running on a container in Amazon ECS.

' -Force ; C:\\ServiceMonitor.exe w3svc" ], "portMappings": [ { "protocol": "tcp", "containerPort": 80, "hostPort": 8080 } ] } ], "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role", "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole" } ``` 1. 通过运行以下命令注册任务定义：以下命令使用由 `sh` 和兼容的 shell 使用的反斜杠连续字符。此命令与 PowerShell 不兼容。您必须修改该命令才能将其与 PowerShell 配合使用。 ``` $ aws ecs register-task-definition \ --cli-input-json file://windows-gmsa-domainless-task-def.json ``` ## 步骤 10：将 Windows 容器实例注册到集群启动 Amazon EC2 Windows 实例并运行 ECS 容器代理将其注册为集群中的容器实例。ECS 在注册到启动任务的集群的容器实例上运行任务。 1. 要启动在 AWS 管理控制台中为 Amazon ECS 配置的 Amazon EC2 Windows 实例，请参阅 [启动 Amazon ECS Windows 容器实例](launch_window-container_instance.md)。在步骤中停下来获取*用户数据*。 1. 对于 gMSA，用户数据必须在启动 ECS 容器代理之前设置环境变量 `ECS_GMSA_SUPPORTED`。对于 ECS Exec，代理必须以参数 `-EnableTaskIAMRole` 开头。要通过阻止任务访问 EC2 IMDS Web 服务来检索角色凭证来保护实例 IAM 角色的安全，请添加参数 `-AwsvpcBlockIMDS`。这仅适用于使用 `awsvpc` 网络模式的任务。 ``` [Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine") Import-Module ECSTools Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS ``` 1. 查看 **Summary**（摘要）面板中您的实例配置的摘要，当您准备好后，选择 **Launch instance**（启动实例）。 ## 步骤 11：验证容器实例您可以使用 AWS 管理控制台验证集群中是否有容器实例。但是，gMSA 需要以*属性*表示的其他功能。这些属性在 AWS 管理控制台中不可见，因此本教程使用 AWS CLI。此步骤使用 AWS CLI。您可以在默认 shell 的 AWS CloudShell 中运行这些命令，即 `bash`。 1. 列出集群中的容器实例。容器实例的 ID 与 EC2 实例的 ID 不同。 ``` $ aws ecs list-container-instances ``` 输出： ``` { "containerInstanceArns": [ "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID" ] } ``` 例如，`526bd5d0ced448a788768334e79010fd` 是有效的容器实例 ID。 1. 使用上一步中的容器实例 ID 获取容器实例的详细信息。将 `MyContainerInstanceID` 替换为 ID。以下命令使用由 `sh` 和兼容的 shell 使用的反斜杠连续字符。此命令与 PowerShell 不兼容。您必须修改该命令才能将其与 PowerShell 配合使用。 ``` $ aws ecs describe-container-instances \ ----container-instances MyContainerInstanceID ``` 请注意，输出很长。 1. 验证 `attributes` 列表中是否有一个键名为 `name` 和值为 `ecs.capability.gmsa-domainless` 的对象。以下是对象的示例。输出： ``` { "name": "ecs.capability.gmsa-domainless" } ``` ## 步骤 12：运行 Windows 任务运行 Amazon ECS 任务。如果集群中只有 1 个容器实例，则可以使用 `run-task`。如果有许多不同的容器实例，那么使用 `start-task` 和指定运行任务的容器实例 ID 可能比在任务定义中添加放置约束来控制在哪种类型的容器实例上运行该任务要容易得多。此步骤使用 AWS CLI。您可以在默认 shell 的 AWS CloudShell 中运行这些命令，即 `bash`。 1. 以下命令使用由 `sh` 和兼容的 shell 使用的反斜杠连续字符。此命令与 PowerShell 不兼容。您必须修改该命令才能将其与 PowerShell 配合使用。 ``` aws ecs run-task --task-definition windows-gmsa-domainless-task \ --enable-execute-command --cluster windows-domainless-gmsa-cluster ``` 记下该命令返回的任何 ID。 1. 运行以下命令验证任务是否已启动。此命令会等待，直到任务开始后才返回 shell 提示符。将 `MyTaskID` 替换为上一步中的任务 ID。 ``` $ aws ecs wait tasks-running --task MyTaskID ``` ## 步骤 13：验证容器是否有 gMSA 凭证验证任务中的容器是否有 Kerberos 令牌。gMSA 此步骤使用 AWS CLI。您可以在默认 shell 的 AWS CloudShell 中运行这些命令，即 `bash`。 1. 以下命令使用由 `sh` 和兼容的 shell 使用的反斜杠连续字符。此命令与 PowerShell 不兼容。您必须修改该命令才能将其与 PowerShell 配合使用。 ``` $ aws ecs execute-command \ --task MyTaskID \ --container windows_sample_app \ --interactive \ --command powershell.exe ``` 输出将是 PowerShell 提示符。 1. 在容器内的 PowerShell 终端中运行以下命令。 ``` PS C:\> klist get ExampleAccount$ ``` 在输出中，请注意 `Principal` 是您之前创建的输出。 ## 步骤 14：清除完成本教程后，您应清除相关资源，以避免产生与未使用的资源相关的费用。此步骤使用 AWS CLI。您可以在默认 shell 的 AWS CloudShell 中运行这些命令，即 `bash`。 1. 停止任务。将 `MyTaskID` 替换为步骤 12 [步骤 12：运行 Windows 任务](#tutorial-gmsa-windows-step12) 中的任务 ID。 ``` $ aws ecs stop-task --task MyTaskID ``` 1. 终止 Amazon EC2 实例。之后，集群中的容器实例将在一小时后自动删除。您可以使用 Amazon EC2 控制台查找和终止实例。或者，您可以运行以下命令。要运行该命令，请在步骤 1 [步骤 11：验证容器实例](#tutorial-gmsa-windows-step11) 的 `aws ecs describe-container-instances` 命令输出中找到 EC2 实例 ID。i-10a64379 是 EC2 实例 ID 的示例。 ``` $ aws ec2 terminate-instances --instance-ids MyInstanceID ``` 1. 删除 Amazon S3 中的 CredSpec 文件。将 `MyBucket` 替换为您的 Amazon S3 存储桶的名称。 ``` $ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json ``` 1. 在 Secrets Manager 中删除密钥。如果您改用 SSM Parameter Store，请删除该参数。以下命令使用由 `sh` 和兼容的 shell 使用的反斜杠连续字符。此命令与 PowerShell 不兼容。您必须修改该命令才能将其与 PowerShell 配合使用。 ``` $ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \ --force-delete-without-recovery ``` 1. 取消注册并删除任务定义。通过取消注册任务定义，可以将其标记为非活动状态，这样它就无法用于启动新任务。然后，您可以删除任务定义。 1. 通过指定版本来取消注册任务定义。ECS 会自动生成任务定义的版本，这些版本从 1 开始编号。您可以按照与容器映像上的标签相同的格式来引用版本，例如 `:1`。 ``` $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1 ``` 1. 删除任务定义。 ``` $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1 ``` 1. （可选）如果您创建了集群，请删除 ECS 集群。 ``` $ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster ``` ## 调试适用于 Windows 容器的 Amazon ECS 无域 gMSA Amazon ECS 任务状态 ECS 只会尝试启动任务一次。任何有问题的任务都将停止，并设置为状态 `STOPPED`。任务问题有两种常见类型。首先，是无法启动的任务。其次，应用程序已在其中一个容器内停止的任务。在 AWS 管理控制台中，查看任务的**停止原因**字段中，了解任务停止的原因。在 AWS CLI 中，描述任务并查看 `stoppedReason`。有关 AWS 管理控制台和 AWS CLI 中的步骤，请参阅 [查看 Amazon ECS 已停止任务错误](stopped-task-errors.md)。 Windows 事件容器中 gMSA 的 Windows 事件记录在 `Microsoft-Windows-Containers-CCG` 日志文件中，可以在 `Logs\Microsoft\Windows\Containers-CCG\Admin` 的“应用程序和服务”部分中的事件查看器中找到。有关更多调试技巧，请参阅 Microsoft Learn 网站上的[适用于 Windows 容器的 gMSA 的故障排除](https://learn.microsoft.com/en-us/virtualization/windowscontainers/manage-containers/gmsa-troubleshooting#non-domain-joined-container-hosts-use-event-logs-to-identify-configuration-issues)。 ECS 代理 gMSA 插件 Windows 容器实例上的 ECS 代理的 gMSA 插件的日志位于以下目录 `C:/ProgramData/Amazon/gmsa-plugin/` 中。查看此日志，以了解无域用户凭证是否是从存储位置（例如 Secrets Manager）下载的，以及凭证格式是否正确读取。