Amazon ECS Sample App

Congratulations!

Your application is now running on a container in Amazon ECS.

' -Force ; C:\\ServiceMonitor.exe w3svc" ], "portMappings": [ { "protocol": "tcp", "containerPort": 80, "hostPort": 8080 } ] } ], "taskRoleArn": "arn:aws:iam::111122223333:role/ecs-exec-demo-task-role", "executionRoleArn": "arn:aws:iam::111122223333:role/ecsTaskExecutionRole" } ``` 1. 執行下列命令來註冊任務定義：以下命令使用由 `sh` 和相容 shell 所使用的反斜線接續字元。此命令與 PowerShell 不相容。您必須修改命令才能將其與 PowerShell 搭配使用。 ``` $ aws ecs register-task-definition \ --cli-input-json file://windows-gmsa-domainless-task-def.json ``` ## 步驟 10：將 Windows 容器執行個體註冊至叢集啟動 Amazon EC2 Windows 執行個體並執行 ECS 容器代理程式，以將其註冊為叢集中的容器執行個體。ECS 會在已註冊至叢集 (任務在其中啟動) 的容器執行個體上執行任務。 1. 若要啟動在中為 Amazon ECS 設定的 Amazon EC2 Windows 執行個體 AWS 管理主控台，請參閱 [啟動 Amazon ECS Windows 容器執行個體](launch_window-container_instance.md)。在*使用者資料*的步驟停止。 1. 若為 gMSA，使用者資料必須先設定環境變數 `ECS_GMSA_SUPPORTED`，才能啟動 ECS 容器代理程式。對於 ECS Exec，代理程式必須以引數 `-EnableTaskIAMRole` 開頭。若要防止任務到達 EC2 IMDS Web 服務以擷取角色憑證，以保護執行個體 IAM 角色，請新增引數 `-AwsvpcBlockIMDS`。這只適用於使用 `awsvpc` 網路模式的任務。 ``` [Environment]::SetEnvironmentVariable("ECS_GMSA_SUPPORTED", $TRUE, "Machine") Import-Module ECSTools Initialize-ECSAgent -Cluster windows-domainless-gmsa-cluster -EnableTaskIAMRole -AwsvpcBlockIMDS ``` 1. 檢閱 **Summary** (摘要) 面板中執行個體組態的摘要，並在準備就緒時選擇 **Launch instance** (啟動執行個體)。 ## 步驟 11：驗證容器執行個體您可以使用 AWS 管理主控台驗證叢集中是否存在容器執行個體。但是，gMSA 需要指示為*屬性*的其他功能。這些屬性不會顯示在中 AWS 管理主控台，因此本教學課程會使用 AWS CLI。此步驟使用 AWS CLI。您可以在預設 Shell (即 `bash`) 的 AWS CloudShell 中執行這些命令。 1. 列出叢集中的容器執行個體。容器執行個體的 ID 與 EC2 執行個體的 ID 不同。 ``` $ aws ecs list-container-instances ``` 輸出： ``` { "containerInstanceArns": [ "arn:aws:ecs:aws-region:111122223333:container-instance/default/MyContainerInstanceID" ] } ``` 例如，`526bd5d0ced448a788768334e79010fd` 是有效的容器執行個體 ID。 1. 使用上一個步驟中的容器執行個體 ID 來取得容器執行個體的詳細資訊。使用 ID 取代 `MyContainerInstanceID`。以下命令使用由 `sh` 和相容 shell 所使用的反斜線接續字元。此命令與 PowerShell 不相容。您必須修改命令才能將其與 PowerShell 搭配使用。 ``` $ aws ecs describe-container-instances \ ----container-instances MyContainerInstanceID ``` 請注意，輸出內容非常長。 1. 驗證 `attributes` 清單中是否存在一個索引鍵為 `name` 且值為 `ecs.capability.gmsa-domainless` 的物件。下列為物件的範例。輸出： ``` { "name": "ecs.capability.gmsa-domainless" } ``` ## 步驟 12：執行 Windows 任務執行 Amazon ECS 任務。如果叢集中只有 1 個容器執行個體，您可以使用 `run-task`。如果有許多不同的容器執行個體，則相較於將置放條件限制新增至任務定義，以控制要執行此任務的容器執行個體類型，使用 `start-task` 並指定要在其上執行任務的容器執行個體 ID 可能會更為容易。此步驟使用 AWS CLI。您可以在預設 Shell (即 `bash`) 的 AWS CloudShell 中執行這些命令。 1. 以下命令使用由 `sh` 和相容 shell 所使用的反斜線接續字元。此命令與 PowerShell 不相容。您必須修改命令才能將其與 PowerShell 搭配使用。 ``` aws ecs run-task --task-definition windows-gmsa-domainless-task \ --enable-execute-command --cluster windows-domainless-gmsa-cluster ``` 請注意，任務 ID 是由命令傳回。 1. 執行下列命令，以驗證任務已開始。這個命令會等待，直到任務開始時才傳回 Shell 提示字元。使用前一步驟中的任務 ID，取代 `MyTaskID`。 ``` $ aws ecs wait tasks-running --task MyTaskID ``` ## 步驟 13：驗證容器具有 gMSA 憑證驗證任務中的容器具有 Kerberos 權杖。gMSA 此步驟使用 AWS CLI。您可以在預設 Shell (即 `bash`) 的 AWS CloudShell 中執行這些命令。 1. 以下命令使用由 `sh` 和相容 shell 所使用的反斜線接續字元。此命令與 PowerShell 不相容。您必須修改命令才能將其與 PowerShell 搭配使用。 ``` $ aws ecs execute-command \ --task MyTaskID \ --container windows_sample_app \ --interactive \ --command powershell.exe ``` 輸出將是 PowerShell 提示字元。 1. 在容器內的 PowerShell 終端中執行以下命令。 ``` PS C:\> klist get ExampleAccount$ ``` 在輸出中，請注意 `Principal` 是您先前所建立的項目。 ## 步驟 14：清除完成此教學課程時，建議您清除相關聯的資源，以免未使用的資源產生費用。此步驟使用 AWS CLI。您可以在預設 Shell (即 `bash`) 的 AWS CloudShell 中執行這些命令。 1. 停止任務。使用步驟 12 中的任務 ID [步驟 12：執行 Windows 任務](#tutorial-gmsa-windows-step12) 取代 `MyTaskID`。 ``` $ aws ecs stop-task --task MyTaskID ``` 1. 終止 Amazon EC2 執行個體。之後，叢集中的容器執行個體將會在一小時後自動刪除。您可以使用 Amazon EC2 主控台來尋找和終止執行個體。或者，您可以執行下列命令。若要執行命令，請在步驟 1 [步驟 11：驗證容器執行個體](#tutorial-gmsa-windows-step11) 的 `aws ecs describe-container-instances` 命令輸出中尋找 EC2 執行個體識別碼。i-10a64379 是 EC2 執行個體 ID 的範例。 ``` $ aws ec2 terminate-instances --instance-ids MyInstanceID ``` 1. 刪除 Amazon S3 中的 CredSpec 檔案。將 `MyBucket` 取代為您的 Amazon S3 儲存貯體的名稱。 ``` $ aws s3api delete-object --bucket MyBucket --key ecs-domainless-gmsa-credspec/gmsa-cred-spec.json ``` 1. 從 Secrets Manager 中刪除密碼。如果您改用 SSM 參數存放區，請刪除參數。以下命令使用由 `sh` 和相容 shell 所使用的反斜線接續字元。此命令與 PowerShell 不相容。您必須修改命令才能將其與 PowerShell 搭配使用。 ``` $ aws secretsmanager delete-secret --secret-id gmsa-plugin-input \ --force-delete-without-recovery ``` 1. 取消註冊並刪除任務定義。透過取消註冊任務定義，您可以將其標記為非作用中狀態，以便無法用於啟動新任務。然後，您可以刪除任務定義。 1. 透過指定版本取消註冊任務定義。ECS 會自動建立任務定義的版本，編號從 1 開始。您引用的版本與容器映像上的標籤格式相同，例如 `:1`。 ``` $ aws ecs deregister-task-definition --task-definition windows-gmsa-domainless-task:1 ``` 1. 刪除任務定義。 ``` $ aws ecs delete-task-definitions --task-definition windows-gmsa-domainless-task:1 ``` 1. (選用) 如果您已建立叢集，請刪除 ECS 叢集。 ``` $ aws ecs delete-cluster --cluster windows-domainless-gmsa-cluster ``` ## 偵錯 Windows 容器的 Amazon ECS 無網域 gMSA Amazon ECS 任務狀態 ECS 會嘗試僅啟動一次任務。任何有問題的任務均會停止，並設定為狀態 `STOPPED`。任務有兩種常見的問題類型。首先是無法啟動的任務。其次是應用程式已在容器之一內停止的任務。在中 AWS 管理主控台，查看任務的**停止原因**欄位，了解任務停止的原因。在 AWS CLI中，描述任務並查看 `stoppedReason`。如需 AWS 管理主控台和中的步驟 AWS CLI，請參閱 [檢視 Amazon ECS 已停止任務錯誤](stopped-task-errors.md)。 Windows 事件容器中 gMSA 的 Windows 事件記錄在 `Microsoft-Windows-Containers-CCG` 日誌中，您可以在 `Logs\Microsoft\Windows\Containers-CCG\Admin`「應用程式和服務」區段的「事件檢視器」中找到。如需詳細的偵錯提示，請參閱 Microsoft Learn 網站上的 [ Windows 容器 gMSA 故障排除](https://learn.microsoft.com/en-us/virtualization/windowscontainers/manage-containers/gmsa-troubleshooting#non-domain-joined-container-hosts-use-event-logs-to-identify-configuration-issues)。 ECS 代理程式 gMSA 外掛程式 Windows 容器執行個體上 ECS 代理程式的 gMSA 外掛程式記錄位於下列目錄 `C:/ProgramData/Amazon/gmsa-plugin/` 中。查看此日誌，查看是否已從儲存位置 (例如 Secrets Manager) 下載無網域使用者憑證，以及是否正確讀取憑證格式。