本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 ECS Exec 監控 Amazon ECS容器

使用 Amazon ECS Exec，您可以直接與容器互動，而不需要先與主機容器作業系統、開放傳入連接埠或管理SSH金鑰互動。您可以使用 ECS Exec 在 中執行命令，或在 Amazon EC2執行個體或 上執行的容器取得 Shell AWS Fargate。如此一來就可以更輕鬆地收集診斷資訊並快速對錯誤進行故障診斷。例如，在開發環境中，您可以使用 ECS Exec 輕鬆與容器中的各種程序互動，並對應用程式進行疑難排解。在生產案例中，您可以使用它來取得容器的碎片存取權，以偵錯問題。

您可以從 Amazon ECS API、 AWS Command Line Interface （AWS CLI） 或 AWS Copilot 使用 ECS Exec，在執行中的 Linux AWS SDKs或 Windows 容器中執行命令CLI。如需使用 ECS Exec 的詳細資訊，以及使用 AWS Copilot 的影片逐步解說CLI，請參閱 Copilot GitHub 文件 。

您也可以使用 ECS Exec 來維護更嚴格的存取控制政策。透過選擇性地開啟此功能，您可以控制執行命令的人員，以及他們可以執行這些命令的任務。透過每個命令的日誌及其輸出，您可以使用 ECS Exec 檢視執行了哪些任務，並可使用 CloudTrail 來稽核誰存取了容器。

考量事項

對於本主題，您應該熟悉使用 ECS Exec 涉及的下列層面：

必要條件

開始使用 ECS Exec 之前，請確定您已完成下列動作：

架構

ECS Exec 使用 AWS Systems Manager （SSM） Session Manager 與執行中的容器建立連線，並使用 AWS Identity and Access Management （IAM） 政策來控制對執行中容器中執行中命令的存取。將必要的SSM代理程式二進位檔案繫結到容器中，即可實現此目標。Amazon ECS或 AWS Fargate 代理程式負責與您的應用程式程式碼一起啟動容器內SSM的核心代理程式。如需詳細資訊，請參閱 Systems Manager 工作階段管理員。

您可以使用 中的ExecuteCommand事件稽核哪些使用者存取容器， AWS CloudTrail 並將每個命令 （及其輸出） 記錄到 Amazon S3 或 Amazon CloudWatch Logs。若要使用您自己的加密金鑰加密本機用戶端與容器之間的資料，您必須提供 AWS Key Management Service （AWS KMS） 金鑰。

使用 ECS Exec

可選任務定義變更

如果您將任務定義參數設定為 initProcessEnabled true，這會啟動容器內的初始化程序。這會移除找到的任何殭屍SSM代理程式子程序。以下是範例。

{
    "taskRoleArn": "ecsTaskRole",
    "networkMode": "awsvpc",
    "requiresCompatibilities": [
        "EC2",
        "FARGATE"
    ],
    "executionRoleArn": "ecsTaskExecutionRole",
    "memory": ".5 gb",
    "cpu": ".25 vcpu",
    "containerDefinitions": [
        {
            "name": "amazon-linux",
            "image": "amazonlinux:latest",
            "essential": true,
            "command": ["sleep","3600"],
            "linuxParameters": {
                "initProcessEnabled": true
            }
        }
    ],
    "family": "ecs-exec-task"
}

為您的任務和服務開啟 ECS Exec

您可以在使用下列其中一個 AWS CLI 命令時指定--enable-execute-command旗標，以開啟服務和獨立任務的ECS執行功能：create-service、start-task、 update-service或 run-task。

例如，如果您執行下列命令，在 Fargate 上執行的新建立服務會開啟 ECS Exec 功能。如需建立服務的詳細資訊，請參閱 create-service。

aws ecs create-service \
    --cluster cluster-name \
    --task-definition task-definition-name \
    --enable-execute-command \
    --service-name service-name \
    --launch-type FARGATE \
     --network-configuration "awsvpcConfiguration={subnets=[subnet-12344321],securityGroups=[sg-12344321],assignPublicIp=ENABLED}" \
    --desired-count 1

開啟任務的 ECS Exec 後，您可以執行下列命令，以確認任務已準備就緒可供使用。如果 ExecuteCommandAgent 的 lastStatus 屬性會列為 RUNNING 且 enableExecuteCommand 屬性會設為 true，則您的任務已準備就緒。

aws ecs describe-tasks \
    --cluster cluster-name \
    --tasks task-id

以下輸出程式碼片段為您可能會看到的內容範例。

{
    "tasks": [
        {
            ...
            "containers": [
                {
                    ...
                    "managedAgents": [
                        {
                            "lastStartedAt": "2021-03-01T14:49:44.574000-06:00",
                            "name": "ExecuteCommandAgent",
                            "lastStatus": "RUNNING"
                        }
                    ]
                }
            ],
            ...
            "enableExecuteCommand": true,
            ...
        }
    ]
}

使用 ECS Exec 執行命令

在確認 ExecuteCommandAgent 正在執行後，您可以使用以下命令在容器上開啟交互式 Shell。如果您的任務包含多個容器，您必須使用 --container 旗標指定容器名稱。Amazon ECS僅支援啟動互動式工作階段，因此您必須使用 --interactive旗標。

下列命令將針對名為 的容器執行互動式/bin/sh命令 container-name 針對 ID 為 的任務 task-id.

所以此 task-id 是任務的 Amazon Resource Name （ARN）。

aws ecs execute-command --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "/bin/sh"

使用 ECS Exec 記錄

開啟登入您的任務和服務

Amazon 透過使用任務定義中設定的日誌驅動程式將日誌傳送至 CloudWatch 日誌，為使用 ECS Exec 執行的awslogs日誌命令ECS提供預設組態。如果您想要提供自訂組態， AWS CLI 支援 create-cluster 和 update-cluster 命令的 --configuration 旗標。也請務必了解容器映像需要安裝 cat script和 ，才能將命令日誌正確上傳至 Amazon S3 或 CloudWatch 日誌。如需建立叢集的詳細資訊，請參閱 create-cluster。

下列範例會建立叢集，然後將輸出記錄到 LogGroup 名為 的 CloudWatch 日誌cloudwatch-log-group-name和名為 的 Amazon S3 儲存貯體s3-bucket-name。

將 CloudWatchEncryptionEnabled選項設定為 時，您必須使用 AWS KMS 客戶受管金鑰來加密日誌群組true。如需有關如何加密日誌群組的資訊，請參閱 Amazon CloudWatch Logs 使用者指南 中的使用 在 CloudWatch 日誌中加密日誌資料 AWS Key Management Service。

aws ecs create-cluster \
    --cluster-name cluster-name \
    --configuration executeCommandConfiguration="{ \
        kmsKeyId=string, \
        logging=OVERRIDE, \
        logConfiguration={ \
            cloudWatchLogGroupName=cloudwatch-log-group-name, \
            cloudWatchEncryptionEnabled=true, \
            s3BucketName=s3-bucket-name, \
            s3EncryptionEnabled=true, \
            s3KeyPrefix=demo \
        } \
    }"

logging 屬性會決定 ECS Exec 記錄功能的行為：

IAM Amazon CloudWatch Logs 或 Amazon S3 Logging 所需的許可

若要啟用記錄，在ECS任務定義中參考的 Amazon 任務角色需要具有其他許可。這些額外的許可可以作為政策新增至任務角色。視您是否將日誌導向 Amazon CloudWatch Logs 或 Amazon S3 而定，它們會有所不同。

Amazon CloudWatch Logs

下列範例政策新增必要的 Amazon CloudWatch Logs 許可。

{
   "Version": "2012-10-17",
   "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
               "logs:CreateLogStream",
               "logs:DescribeLogStreams",
               "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:/aws/ecs/cloudwatch-log-group-name:*"
        }
   ]
}

Amazon S3

下列政策範例會新增必要 Amazon S3 許可。

{
   "Version": "2012-10-17",
   "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
           "Effect": "Allow",
           "Action": [
               "s3:GetEncryptionConfiguration"
           ],
           "Resource": "arn:aws:s3:::s3-bucket-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::s3-bucket-name/*"
        }
    ]
   }

IAM 使用您自己的 AWS KMS key （KMS 金鑰） 加密所需的許可

根據預設，本機用戶端與容器之間傳輸的資料會使用 AWS 提供的 TLS 1.2 加密。若要使用您自己的KMS金鑰進一步加密資料，您必須建立KMS金鑰並將kms:Decrypt許可新增至任務IAM角色。您的容器使用此許可來解密資料。如需建立KMS金鑰的詳細資訊，請參閱建立金鑰 。

您可以將下列內嵌政策新增至需要 AWS KMS 許可的任務IAM角色。如需詳細資訊，請參閱ECS 執行許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "kms-key-arn"
        }
    ]
}

若要使用您自己的KMS金鑰加密資料，必須授予使用 execute-command動作的使用者或群組kms:GenerateDataKey許可。

下列使用者或群組的範例政策包含使用您自己的KMS金鑰所需的許可。您必須指定KMS金鑰的 Amazon Resource Name （ARN）。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey"
            ],
            "Resource": "kms-key-arn"
        }
    ]
}

使用IAM政策限制對 ECS Exec 的存取

您可以使用下列一或多個IAM政策條件金鑰，限制使用者對執行命令API動作的存取：

使用下列範例IAM政策，使用者可以在執行的容器中執行命令，這些容器具有具有environment金鑰和development值的標籤，以及在名為 的叢集中執行cluster-name。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ExecuteCommand",
                "ecs:DescribeTasks"
            ],
         "Resource": [
                "arn:aws:ecs:region:aws-account-id:task/cluster-name/*",
                "arn:aws:ecs:region:aws-account-id:cluster/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ecs:ResourceTag/environment": "development"
                }
            }
        }
    ]
}

透過下列IAM政策範例，當容器名稱為 execute-commandAPI時，使用者無法使用 production-app。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ecs:ExecuteCommand"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {                    
                    "ecs:container-name": "production-app"
                }
            }
        }
    ]
}

透過下列IAM政策，使用者只能在 ECS Exec 關閉時啟動任務。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask",
                "ecs:StartTask",
                "ecs:CreateService",
                "ecs:UpdateService"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {                    
                    "ecs:enable-execute-command": "false"
                }
            }
        }
    ]
}

如需IAM政策條件金鑰的詳細資訊，請參閱服務授權參考 中的 Amazon Elastic Container Service 的動作、資源和條件金鑰。

限制存取「啟動工作階段」動作

雖然可以在 ECS Exec 之外啟動容器上的SSM工作階段，但可能會導致工作階段未記錄。在 ECS Exec 之外開始的工作階段也會計入工作階段配額。我們建議您使用 IAM政策直接拒絕 Amazon ECS任務ssm:start-session的動作來限制此存取權。您可以根據使用的標籤拒絕存取所有 Amazon ECS任務或特定任務。

以下是範例IAM政策，該政策拒絕存取具有指定叢集名稱之所有區域中的任務ssm:start-session動作。您可以選擇包含具有 cluster-name 的萬用字元。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:StartSession",
            "Resource": [
                "arn:aws:ecs:region:aws-account-id:task/cluster-name/*",
                "arn:aws:ecs:region:aws-account-id:cluster/*"
            ]
        }
    ]
}

下列範例IAM政策會拒絕對標記有標籤索引鍵 Task-Tag-Key 和標籤值 的所有區域中資源ssm:start-session的動作進行存取Exec-Task。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ecs:*:*:task/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Task-Tag-Key": "Exec-Task"
                }
            }
        }
    ]
}

如需使用 Amazon ECS Exec 時可能遇到的任何問題的協助，請參閱針對 Exec 的問題進行疑難排解。