ECSを プライベートサブネットで実行

Tweet

Pocket

ECSはタスク実行時にVPC外のリソースにアクセスする必要があります。
パブリックサブネットに配置する場合は特に必要ありませんが、プライベートサブネットに配置する場合は、それらリソースへのアクセス手段が必要になります。

前提

• ECRのイメージを使用
• コンテナのログドライバーとしてawslogsを使用

タスク実行時にアクセスするリソース

• ECR: イメージのマニフェスト情報
• Amazon S3
  > ECRにはイメージのマニフェスト情報が配置されており、実際のコンテナレイヤー情報はS3に配置されている観点から必要
  ref. エンドポイントを使用してプライベートサブネットでECSを使用する
• CloudWatch：ログドライバーとしてawslogsを設定している場合

接続手段

• NATゲートウェイを使用
• VPC エンドポイントを使用

今回はVPC エンドポイントを使用する例を記載します。

VPC エンドポイント

InterfaceタイプのVPCエンドポイントはENIなのでセキュリティグループを割り当てます。
セキュリティグループはステーフルですが、タスク実行時にエンドポイント側発信のHTTPSアクセスがあるのでHTTPSを許可する必要があります。

参考

• https://docs.aws.amazon.com/ja_jp/AmazonECR/latest/userguide/vpc-endpoints.html
• https://aws.amazon.com/jp/premiumsupport/knowledge-center/ecs-fargate-tasks-private-subnet/?utm_source=pocket_mylist
• https://dev.classmethod.jp/articles/privatesubnet_ecs/
• https://blog.not75743.com/post/ecs_private/