Amazon ECS – Häufig gestellte Fragen

Page Topics

Allgemeines
5
Verwenden von Amazon ECS
16
Sicherheit und Compliance
7
Service Level Agreement
2

Allgemeines

Amazon ECS ist ein vollständig verwalteter, eigenständiger Container-Orchestrierungsservice, der Unternehmen die einfachste Möglichkeit bietet, containerisierte Anwendungen in beliebigem Umfang in AWS zu erstellen, bereitzustellen und zu verwalten - in herkömmlichen Amazon Elastic Cloud Compute (EC2)-Instances oder auf einer Serverless-Datenverarbeitungsebene mit AWS Fargate. Amazon ECS wird vollständig verwaltet und ist versionslos. Es bietet Tools und integrierte Unterstützung, die das Erstellen und Ausführen von containerisierten Anwendungen in AWS vereinfachen. Beispielsweise vereinfacht Amazon ECS Service Connect die Serviceerkennung, Konnektivität und Beobachtbarkeit von Datenverkehr während Amazon CloudWatch Container Insights Metriken und Protokolle erfasst, aggregiert und zusammenfasst. Mit Amazon ECS müssen Sie keine Server oder Cluster bereitstellen oder skalieren oder die Servertypen auswählen, auf denen Ihre Container ausgeführt werden sollen, oder das Cluster-Packen optimieren. Sie behalten die Kontrolle über die Betriebseigenschaften von Containern und können CPU- und Speicheranforderungen, Netzwerk- und IAM-Richtlinien sowie Starttyp und Datenvolumen angeben. Mit einfachen API-Aufrufen können Sie Container-aktivierte Anwendungen starten und beenden sowie den gesamten Zustand Ihres Clusters abfragen. Außerdem erhalten Sie Zugang zu vielen bekannten Features wie beispielsweise Sicherheitsgruppen, Elastic Load Balancing (ELB), Amazon Elastic Block Store (EBS)-Volumes und Identity Access Management (IAM)-Rollen. Mit Amazon ECS können Sie die Platzierung von Containern in Ihrem Cluster entsprechend Ihrem Ressourcenbedarf und Ihren Verfügbarkeitserfordernissen planen.

Amazon ECS ist ein vollständig verwalteter Container-Orchestrierungsservice, der es einfach macht, Container für die Bereitstellung und Verwaltung von lang laufenden Anwendungen, Services und Batch-Prozessen zu verwenden, ohne dass Sie Ihre eigene Cluster-Management-Infrastruktur installieren, betreiben und skalieren müssen. Amazon ECS hält die Anwendungsverfügbarkeit aufrecht und ermöglicht Ihnen, Ihre Container entsprechend der Kapazitätsanforderungen Ihrer Anwendung nach oben oder nach unten anzupassen. In Kombination mit AWS Fargate können Sie mit Amazon ECS Anwendungen bereitstellen, ohne die Recheninfrastruktur bereitstellen, verwalten oder skalieren zu müssen. Dadurch wird die Zeit reduziert, die Sie benötigen, um Ihre containerisierten Anwendungen erfolgreich zu erstellen, bereitzustellen oder zu migrieren. Darüber hinaus ist Amazon ECS in vertraute Funktionen wie ELB, Amazon Virtual Private Cloud (VPC), IAM, Application AutoScaling, Amazon CloudWatch und Amazon Elastic File System (EFS) integriert, sodass Sie keine generalisierten Abstraktionen erstellen oder verwalten müssen.

Amazon ECS ist ein vollständig verwalteter eigenständiger Container-Orchestrierungsservice, der Unternehmen die einfachste Möglichkeit bietet, containerisierte Anwendungen in jeder Größenordnung zu erstellen, bereitzustellen und zu verwalten. Amazon ECS wird vollständig verwaltet und ist versionslos. Es bietet Tools und integrierte Unterstützung, die das Erstellen und Ausführen von containerisierten Anwendungen in AWS vereinfachen. Mit Amazon ECS müssen Sie beispielsweise keine Server oder Cluster bereitstellen oder skalieren oder die Servertypen auswählen, auf denen Ihre Container ausgeführt werden sollen, oder die Clusterpackung optimieren. Sie behalten die Kontrolle über die Betriebseigenschaften von Containern und können CPU- und Speicheranforderungen, Netzwerk- und IAM-Richtlinien, Rechenplattform (AWS Fargate oder Amazon EC2) und Datenvolumen angeben. 

Mit AWS Fargate unterstützt Amazon ECS die Serverless-Container-Orchestrierung, sodass Sie bei der Skalierung, der Aufrechterhaltung der Verfügbarkeit und der Sicherung Ihrer containerisierten Workloads mehr von der operativen Exzellenz von AWS nutzen können. Wenn Sie Ihre containerbasierten Anwendungen mit wenig bis gar keinem Refactoring modernisieren möchten, aber dennoch die vielen Vorteile der Skalierbarkeit, Flexibilität und Kosten nutzen möchten, die Serverless-Datenverarbeitung bietet, ist Amazon ECS mit AWS Fargate die ideale Wahl für die Datenverarbeitung.

Amazon ECS Service Connect vereinfacht die Serviceerkennung, Konnektivität und Beobachtbarkeit von Datenverkehr während Amazon ECS CloudWatch Container Insights Metriken und Protokolle erfasst, aggregiert und zusammenfasst. Wenn Sie mehr Kontrolle über die Eigenschaften der Ausführung Ihrer Anwendungen wünschen, steht Ihnen Amazon ECS in Amazon EC2 zur Verfügung, und Amazon ECS Anywhere, wenn Sie Container-Workloads in Ihrer Infrastruktur ausführen möchten. Zusammengenommen bieten Ihnen Amazon ECS auf AWS Fargate, Amazon ECS auf Amazon EC2 und Amazon ECS Anywhere die Möglichkeit, eine Vielzahl von Anwendungen mit derselben Erfahrung und denselben Tools auszuführen. Vor diesem Hintergrund verwenden über 65 % aller neuen AWS-Containerkunden Amazon ECS.

Mit AWS haben Sie eine umfassende Auswahl an Serverless-Datenverarbeitungsoptionen, darunter Amazon ECS mit AWS Fargate und AWS Lambda, einem Serverless-Datenverarbeitungsservice, der Ihren Code als Reaktion auf Ereignisse mit ereignisgesteuerter Architektur (EDA) ausführt und die zugrunde liegenden Datenverarbeitungsressourcen automatisch für Sie verwaltet. Sie können je nach Anwendungsfall eine oder mehrere dieser Rechenoptionen verwenden. Ganz gleich, ob es sich um Amazon ECS mit AWS Fargate oder AWS Lambda handelt, die Serverless-AWS-Lösungen bieten die Vorteile von Skalierbarkeit, Flexibilität und Kosten, die Serverless-Datenverarbeitung bietet.

Für die Nutzung von Amazon ECS fallen keine zusätzlichen Gebühren an. Sie bezahlen für AWS-Ressourcen (z. B. Amazon-EC2-Instances, AWS-Fargate-Ressourcen oder Amazon-EBS-Volumes), die Sie erstellen, um Ihre Anwendung zu speichern und auszuführen. Sie zahlen nur für den tatsächlichen Gebrauch. Es fallen keine Mindestgebühren oder Vorauszahlungen an. Es gibt zwei verschiedene Gebührenmodelle für Amazon ECS. Amazon ECS auf AWS Outposts folgt demselben Modell wie Amazon EC2 Launch Type. 

  • Modell des Amazon-EC2-Starttyps: Für den Amazon-EC2-Starttyp fallen keine zusätzlichen Gebühren an. Sie bezahlen für AWS-Ressourcen (wie Amazon-EC2-Instances oder Amazon-EBS-Volumes), die Sie erstellen, um Ihre Anwendung zu speichern und auszuführen. Sie zahlen nur für den tatsächlichen Gebrauch. Es fallen keine Mindestgebühren oder Vorauszahlungen an. Detaillierte Preisinformationen finden Sie auf der Preisseite für Amazon EC2.
  • AWS-Fargate-Starttyp-Modell: Bei AWS Fargate zahlen Sie für die Menge an vCPU- und Arbeitsspeicherressourcen, die Ihre containerisierte Anwendung anfordert. vCPU- und Arbeitsspeicherressourcen werden ab dem Zeitpunkt, zu dem Ihre Container-Images abgerufen werden, bis zum Beenden der Amazon-ECS-Aufgabe berechnet, aufgerundet auf die nächste Sekunde. Es wird immer mindestens 1 Minute berechnet. Detaillierte Preisinformationen finden Sie auf der Preisseite für AWS Fargate.

Amazon ECS ist ein hoch skalierbarer Container-Orchestrierungsservice, mit dem Sie verteilte Anwendungen in Containern ausführen und verwalten können. AWS Lambda ist ein ereignisgesteuerter Datenverarbeitungsservice, der Ihren Code beim Eintreten bestimmter „Ereignisse“ wie Datenänderungen, Website-Klicks oder Nachrichten von anderen AWS-Services ausführt, ohne dass Sie dazu irgendeine Datenverarbeitungsinfrastruktur verwalten müssen. Viele Anwendungen verwenden diese beiden Konstrukte in der Produktion, und Kunden nutzen häufig beide, um ihre jeweiligen Vorteile zu nutzen.

Verwenden von Amazon ECS

Auf unserer Seite Erste Schritte erhalten Sie weitere Informationen für den Einstieg in die Verwendung von Amazon ECS. Egal ob Sie neu bei Amazon ECS sind oder bereits einen Anwendungsfall im Kopf haben, Sie können Ihren eigenen Weg wählen und den kuratierten Lernschritten folgen, um mit AWS Lambda zu beginnen.

Eine moderne Anwendungsarchitektur (z. B. Microservices) empfiehlt, Ihre Anwendungen in einzelne Einheiten aufzuteilen, und Amazon ECS ist für dieses Muster optimiert. Aufgaben sind die kleinste Recheneinheit in Amazon ECS und ermöglichen es Ihnen, eine Reihe von Containern, die Sie zusammenstellen möchten, deren Eigenschaften und deren Verknüpfung zu definieren. Aufgaben beinhalten alle Informationen, die Amazon ECS für die Platzierungsentscheidung benötigt. Für den Start eines einzelnen Containers sollte Ihre Aufgabendefinition nur eine Containerdefinition enthalten.

Ja. Der Serviceplaner von Amazon-ECS-Service kann lang andauernde Anwendungen und Services verwalten. Der Serviceplaner hilft Ihnen beim Aufrechterhalten der Anwendungsverfügbarkeit und ermöglicht Ihnen die Skalierung Ihrer Container nach oben oder unten, um die Kapazitätsanforderungen Ihrer Anwendung zu erfüllen. Mit dem Serviceplaner können Sie Datenverkehr mithilfe von ELB auf Ihre Container verteilen. Amazon ECS meldet Ihre Container automatisch beim zugehörigen Load Balancer an und ab. Der Serviceplaner sorgt außerdem dafür, dass Container, bei denen es Probleme gibt (Prüfung des ELB-Systemzustands nicht bestanden) oder die ausgefallen sind, wieder in Betrieb genommen werden, sodass Ihnen immer die gewünschte Anzahl einwandfreier Container zur Unterstützung Ihrer Anwendung zur Verfügung steht.

Sie können Ihre Anwendungen nach oben oder unten skalieren, indem Sie die Anzahl der Container ändern, die der Service nutzen soll. Sie können Ihre Anwendung aktualisieren, indem Sie ihre Definition ändern oder ein neues Image verwenden. Der Planer startet automatisch neue Container unter Verwendung der neuen Definition und stoppt die Container, die nach der vorherigen Definition laufen (wartet bei Verwendung von ELB auf das Ablaufen der ELB-Verbindungen).

Anwendungen und Microservices, die auf Amazon ECS bereitgestellt werden, nutzen den Application-Auto-Scaling-Service, um automatisch auf der Grundlage beobachteter Metrikdaten zu skalieren. Amazon ECS misst die Servicenutzung auf der Grundlage der CPU- und Speicherressourcen, die von den Aufgaben verbraucht werden, die zu einem Service gehören, und veröffentlicht CloudWatch-Metriken, nämlich „ECSServiceAverageCPUUtilization“ und „ECSServiceAverageMemoryUtilization“, mit diesen Daten. Application Auto Scaling kann diese vordefinierten Metriken dann in Verbindung mit Skalierungsrichtlinien verwenden, um die Anzahl der Aufgaben in einem Service proportional zu skalieren. Darüber hinaus gibt es Anwendungsfälle, in denen die durchschnittliche CPU- und Speicherauslastung eines Services allein keine zuverlässigen Indikatoren dafür sind, wann und in welchem Umfang eine Skalierungsaktion ausgeführt werden muss. Zu diesem Zweck unterstützt Application Auto Scaling auch die Skalierung eines Services auf der Grundlage einer benutzerdefinierten Metrikspezifikation, die eine CloudWatch-Metrik unserer Wahl darstellt, die möglicherweise besser geeignet ist. Dazu gehören Metriken, die andere Anwendungsaspekte wie die Anzahl der empfangenen HTTP-Anfragen, die Anzahl der aus einer Warteschleife/einem Thema abgerufenen Nachrichten und die Anzahl der Datenbanktransaktionen verfolgen. Sie können jetzt CloudWatch-Metriken oder Prometheus-Metriken Ihrer Wahl verwenden.

Weitere Informationen finden Sie unter: Automatische Skalierung von Amazon-ECS-Services auf der Grundlage benutzerdefinierter CloudWatch- und Prometheus-Metriken

Amazon ECS ermöglicht es Ihnen, eine Vielzahl von Anwendungen mit derselben Erfahrung und denselben Tools für eine Vielzahl von Rechenoptionen auszuführen:

  • AWS Fargate: AWS Fargate ist eine Serverless-Datenverarbeitungsengine mit nutzungsabhängiger Bezahlung. Es macht die Serverbereitstellung, Clusterverwaltung und Orchestrierung überflüssig. Amazon ECS verwendet von AWS Fargate bereitgestellte Container zur automatischen Skalierung, Lastverteilung und Verwaltung der Disposition Ihrer Container für die Verfügbarkeit und bietet so eine einfachere Möglichkeit für die Erstellung und den Betrieb containerisierter Anwendungen.
  • Amazon EC2: Mit Amazon in ECS auf EC2 besitzen Sie die EC2-Instances und haben die vollständige Kontrolle über alle Aspekte des Infrastrukturmanagements. Sie können beispielsweise bestimmte EC2-Instance-Typen auswählen oder das zugrunde liegende Betriebssystem anpassen. Sie können Auto Scaling Group Capacity Providers verwenden, um die Skalierung von EC2-Instances zu verwalten.
  • Lokale virtuelle Maschinen (VM) oder Server:
    • Amazon ECS Anywhere bietet Unterstützung für die Registrierung einer externen Instance, z. B. eines On-Premises-Servers oder einer virtuellen Maschine (VM), in Ihrem Amazon ECS-Cluster. 
    • Die Kapazität kann sich in einer der folgenden AWS-Ressourcen befinden:    
      • Availability Zones
      • Lokale Zonen
      • Wavelength-Zonen
      • AWS-Regionen
      • AWS Outposts

Ja. Amazon ECS unterstützt die automatische Skalierung der Recheninfrastruktur sowohl für AWS Fargate als auch für Amazon EC2, sodass Sie sich auf die Erstellung und Skalierung Ihrer Anwendungen statt auf die zugrunde liegende Infrastruktur konzentrieren können.

Amazon ECS mit AWS Fargate bietet Ihnen ein Serverless-Erlebnis, da AWS Fargate die für Ihre Anwendungen benötigte Recheninfrastruktur automatisch bereitstellt, skaliert und aktualisiert.

Für Ihre Anwendungen, die Amazon-EC2-Kapazität benötigen, bietet Amazon ECS Auto Scaling Group Capacity Providers, die Amazon-EC2-Instances automatisch entsprechend den Kapazitätsanforderungen Ihrer Anwendungen skalieren. Sie können eine Amazon EC2 Auto Scaling Group (ASG) mit Ihrer gewünschten Konfiguration für Amazon EC2-Instance-Typen, Amazon Machine Image (AMI), Netzwerkeinstellungen usw. erstellen und einen Capacity Provider erstellen, um Amazon-EC2-Instances in dieser ASG automatisch auf der Grundlage der Planungsanforderungen und der Auslastung Ihrer Anwendungen zu skalieren. verwaltet die Scale-In- und Scale-Out-Aktionen der ASG basierend auf der Auslastung Ihrer Aufgaben.

Amazon ECS Capacity Providers sind die Schnittstelle, über die Sie den Kapazitätsbedarf für Ihre Anwendungen definieren können. Mit Capacity Providers können Sie flexible Regeln dafür definieren, wie Ihre Anwendungen auf verschiedenen Arten von Rechenkapazität laufen, und die Skalierung der Kapazität verwalten. Capacity Providers funktionieren sowohl mit Amazon EC2 als auch mit AWS Fargate. Amazon ECS bietet vordefinierte Capacity Providers für AWS-Fargate- und Fargate-Spot-Kapazitäten für jeden Cluster. Für Amazon EC2 können Sie Ihre eigenen ASG Capacity Providers erstellen, um die Skalierung einer Amazon-EC2-Auto-Scaling-Gruppe zu verwalten. Wenn Sie Amazon-ECS-Aufgaben und -Services ausführen, können Sie diese auf mehrere Kapazitätsanbieter aufteilen, z. B. um einen Service in einem vordefinierten Prozentsatz auf AWS Fargate- und Fargate Spot-Kapazitäten zu verteilen.

Ja. Sie können die Run-Aufgabe von Amazon ECS verwenden, um eine oder mehrere Aufgaben gleichzeitig auszuführen. Die Run-Aufgabe startet die Aufgabe auf einer Instance, die die Anforderungen der Aufgabe einschließlich CPU, Arbeitsspeicher und Ports erfüllt. Sie können AWS Batch auch verwenden, um Ihre Batch-Datenverarbeitungs-Workloads auf Amazon ECS zu planen und auszuführen, sodass Sie sich auf die Analyse der Ergebnisse und die Lösung von Problemen konzentrieren können. 

Ja. Sie können jedes AMI verwenden, das der Amazon ECS AMI-Spezifikation entspricht. Wir empfehlen, mit dem Amazon ECS-fähigen Amazon Linux AMI zu beginnen. Außerdem sind Partner-AMIs erhältlich, die mit Amazon ECS kompatibel sind. Die Amazon-ECS-AMI-Spezifikation können Sie in der Dokumentation nachschlagen.

Amazon ECR ist mit Amazon ECS kombiniert, um Ihnen das einfache Speichern, Ausführen und Verwalten von Container-Abbilder für Anwendungen zu ermöglichen, die in Amazon ECS ausgeführt werden. Sie müssen lediglich das Amazon-ECR-Repository in Ihrer Aufgabendefinition angeben und AmazonEC2ContainerServiceforEC2Role an Ihre Instances anhängen. Amazon ECS ruft dann die entsprechenden Abbilder für Ihre Anwendungen ab.

AWS Fargate bietet Serverless-Computing für den Betrieb von Containern mit Amazon ECS. AWS Fargate ermöglicht Kunden, ihre Container ohne Bereitstellung oder Verwaltung von Amazon-EC2-Instances zu starten. AWS Fargate ist die einfachste Möglichkeit, Container auf AWS zu starten und auszuführen. Kunden, die eine bessere Kontrolle über ihre EC2-Instances benötigen, um Compliance- und Governance-Anforderungen zu erfüllen, oder erweiterte Anpassungsoptionen benötigen, können Amazon ECS mit Amazon-EC2-Instances verwenden

Amazon ECS unterstützt den Netzwerkbetrieb mit Docker-Containern und kann mit Amazon VPC integriert werden, um Container zu isolieren. So können Sie steuern, wie Container eine Verbindung zu anderen Services oder externem Datenverkehr aufbauen. Mit Amazon ECS können Sie zwischen vier Netzwerkmodi für Ihre Container wählen, die auf unterschiedliche Anwendungsfälle abgestimmt sind:

  • VPC-Modus: Dieser Modus weist jede ausgeführte Amazon-ECS-Aufgabe einer dedizierten, elastischen Netzwerkschnittstelle zu. Container verfügen so, wie Amazon-EC2-Instances, über umfassende Netzwerkfunktionen in einer VPC.
  • Bridge-Modus: Dieser Modus erstellt eine Linux-Bridge, die alle in einem lokalen virtuellen Netzwerk auf einem Host ausgeführten Container miteinander verbindet. Auf die Container kann anschließend über die Standardnetzwerkverbindung des Hosts zugegriffen werden.
  • Host-Modus: Dieser Modus fügt dem Netzwerkstapel des Hosts Container direkt hinzu, sodass diese dem Host-Netzwerk ohne Isolation ausgesetzt sind.
  • None: Dieser Modus deaktiviert den externen Netzwerkbetrieb für Container.
  • Service Connect: Amazon ECS Service Connect vereinfacht die Serviceerkennung, die Konnektivität und die Beobachtbarkeit des Datenverkehrs für Amazon ECS. Damit können Sie Anwendungen schneller erstellen, da Sie sich auf den Anwendungscode können statt auf Ihre Netzwerkinfrastruktur. Sie können Amazon ECS Service Connect verwenden, um logische Namen für Ihre Service-Endpunkte zu definieren und diese in Ihren Client-Anwendungen zu verwenden, um sie mit Abhängigkeiten zu verknüpfen. Mit Amazon ECS Service Connect senden Sie Ihren Datenverkehr an fehlerfreie Endpunkte und erhalten aussagefähige Datenverkehr-Telemetrie in der Amazon-ECS-Konsole und in Amazon CloudWatch. Native Amazon-ECS-Bereitstellungen sind mit Amazon ECS Service Connect robuster, da es automatisches Connection Draining unterstützt, mit dem Ihre Client-Anwendungen auf eine neue Version des Service-Endpunkts wechseln können, ohne dass es zu Datenverkehrsfehlern kommt. Mit Amazon ECS Service Connect können Sie:
    • Den Weg festlegen, wie sich Client-Anwendungen mit ihren Abhängigkeiten verbinden
    • Belastbare verteilte Anwendungen mit logischer Benennung schreiben und betreiben
    • Den Datenverkehr zwischen Amazon-ECS-Aufgaben überwachen und verteilen, ohne Load Balancer einsetzen und konfigurieren zu müssen.
    • Services schneller bereitstellen und Amazon-ECS-Microservices nahtloser in eine Anwendung integrieren
  • Serviceerkennung: Amazon ECS ist in AWS Cloud Map integriert, damit sich auf Containern ausgeführte Services leichter erkennen und miteinander verbinden können. AWS Cloud Map ist ein Service zur Ermittlung von Cloud-Ressourcen, mit dem Sie benutzerdefinierte Namen für Ihre Anwendungsressourcen definieren können. Es erhöht die Anwendungsverfügbarkeit, da Ihr Web-Service immer die aktuellsten Standorte dieser sich dynamisch verändernden Ressourcen findet.
  • Überwachung
    • Sie können Ihre Amazon-ECS-Ressourcen mithilfe von Amazon CloudWatch überwachen. Amazon CloudWatch sammelt und verarbeitet Rohdaten aus Amazon ECS und verarbeitet sie in lesbare Metriken, die nahezu in Echtzeit ablaufen. Diese Statistiken werden über einen Zeitraum von zwei Wochen aufgezeichnet, sodass Sie auf historische Informationen zugreifen und sich einen besseren Überblick über die Leistung Ihrer Cluster oder Services verschaffen können. Dafür fallen keine zusätzlichen Gebühren an. Weitere Informationen finden Sie unter Amazon-ECS-CloudWatch-Metriken.
    • Für erweiterte Metriken verwenden Sie CloudWatch Container Insights, um Metriken und Protokolle aus Ihren containerisierten Anwendungen und Microservices zu sammeln, zu aggregieren und zusammenzufassen, die für Ihre Amazon-ECS-Cluster verfügbar sind, die auf Amazon EC2 und AWS Fargate ausgeführt werden. CloudWatch sammelt automatisch Metriken für viele Ressourcen wie CPU, Arbeitsspeicher, Festplatte und Netzwerk. Container Insights bietet auch Diagnoseinformationen, wie z. B. Fehler beim Neustarten von Containern, damit Sie Probleme isolieren und schnell lösen können. Für Amazon ECS erfasst Container Insights Metriken auf Cluster-, Aufgaben- und Serviceebene sowohl auf Linux- als auch auf Windows Server-Instances. Es kann nur auf Linux-Instances Metriken auf Instance-Ebene sammeln. Netzwerkmetriken sind nur für Container im Bridge-Netzwerkmodus und awsvpc-Netzwerkmodus verfügbar. Sie sind nicht für Container im Host-Netzwerkmodus verfügbar. Weitere Informationen finden Sie unter Verwendung von Container Insights.
  • Protokollierung
    • Mit Amazon ECS können Sie alle Ihre API-Aufrufe von Amazon ECS protokollieren. Die Protokolldateien werden Ihnen über AWS CloudTrail zugestellt. Zu den aufgezeichneten Informationen gehören u. a der API-Aufrufer, der Zeitpunkt des API-Aufrufs, die IP-Quelladresse des API-Aufrufers, die Anforderungsparameter und die Antwortelemente, die von Amazon ECS zurückgegeben werden. CloudTrail bietet Ihnen eine Historie von API-Aufrufen, die über die AWS-Managementkonsole, AWS SDKs und die AWS-Befehlszeilenschnittstelle (CLI) vorgenommen werden. Es ermöglicht Sicherheitsanalysen, die Verfolgung von Ressourcenänderungen und die Überprüfung der Einhaltung von Richtlinien.
  • AWS Config
    • AWS Config ist mit Amazon ECS integriert, um Ihnen Einblick in die Konfiguration Ihrer AWS-Ressourcen in Ihrem AWS-Konto zu geben. Mit AWS Config können Sie überwachen und verfolgen, wie Ressourcen konfiguriert wurden, wie sie sich zueinander verhalten und wie sich die Konfigurationen und Beziehungen im Laufe der Zeit ändern. Mit AWS Config können Sie Compliance und Sicherheit, betriebliche Fehlersuche und Ressourcenverwaltung vereinfachen.
  • Dritte Partei
    • Amazon ECS unterstützt ein ganzes Ökosystem von Drittanbietern für Beobachtbarkeit, indem es offene Container-Standards nutzt. Weitere Informationen finden Sie auf der Amazon-ECS-Partnerseite.

Die Kosten für Amazon-ECS-Aufgaben, die auf AWS Fargate ausgeführt werden, sind in den AWS-Kosten- und Nutzungsberichten (CUR) und im AWS Cost Explorer automatisch verfügbar. Sie können sowohl verwaltete als auch von Benutzern hinzugefügte Tags verwenden, um Kosten für Ihre Amazon-ECS-Aufgaben zu aggregieren und neuen und bestehenden Geschäftseinheiten, Teams oder Anwendungen zuzuweisen.

Erfahren Sie mehr über Amazon-ECS-Nutzungsberichte.

Sie können in den AWS-Kosten- und Nutzungsberichten (CUR) auf Kosten- und Nutzungsinformationen für Amazon-ECS-Aufgaben zugreifen, die auf Amazon-EC2-Instances ausgeführt werden, indem Sie sich für Split Cost Allocation Data für Amazon ECS entscheiden. Split Cost Allocation Data generiert Kosten auf Aufgabenebene für Amazon-ECS-Aufgaben, die auf Amazon-EC2-Instances ausgeführt werden, indem der Ressourcenverbrauch jeder Aufgabe auf der Grundlage des Preises der Instance und des Prozentsatzes der CPU- und Speicherressourcen analysiert wird, die von den auf der Instance ausgeführten Containern verbraucht werden. Split Cost Allocation Data erfasst automatisch verwaltete und von Benutzern hinzugefügte Tags für Ihre Amazon-ECS-Aufgaben, sodass Sie Kosten aggregieren und neuen und bestehenden Geschäftseinheiten, Teams oder Anwendungen zuordnen können. Sie können sich in den Einstellungen der AWS-Kostenmanagement-Konsole für Split Cost Allocation Data für Amazon ECS entscheiden. Anschließend können Sie sich in den CUR-Berichtseinstellungen in der AWS-Fakturierungskonsole für Split Cost Allocation Data für Ihre individuellen CUR-Berichte entscheiden. 

Erfahren Sie mehr über die Aktivierung von Split Cost Allocation Data.
 

Sicherheit und Compliance

Amazon ECS plant Container für die Ausführung in durch Kunden kontrollierten Amazon-EC2-Instances oder mit AWS Fargate und basiert auf den gleichen Isolationskontrollen und der gleichen Compliance, die auch für Amazon-EC2-Kunden verfügbar ist. Ihre Rechen-Instances befinden sich in einer Virtual Private Cloud (VPC) mit einem von Ihnen festgelegten IP-Bereich. Sie entscheiden, auf welche Instances über das Internet zugegriffen werden kann und welche Instances privat sind.

  • Ihre Amazon-EC2-Instances verwenden eine IAM-Rolle zum Zugriff auf den Amazon-ECS-Service.
  • Ihre Amazon-ECS-Aufgaben verwenden eine IAM-Rolle zum Zugriff auf Services und Ressourcen.
  • Ihre Amazon-ECS-Aufgaben, die auf AWS Fargate ausgeführt werden, werden in isolierten virtuellen Maschinen ausgeführt.
  • Mithilfe von Sicherheitsgruppen und Netzwerk-ACLs können Sie den eingehenden und ausgehenden Netzwerkzugriff Ihrer Instances kontrollieren.
  • Sie können Ihre vorhandene IT-Infrastruktur über gemäß Branchenstandard verschlüsselte IPsec-VPN-Verbindungen mit Ressourcen in Ihrer VPC verbinden.
  • Sie können Ihre Amazon-EC2-Ressourcen als Dedicated Instances bereitstellen. Dedizierte Instances sind Amazon EC2-Instances, die auf Hardware ausgeführt werden, die zur zusätzlichen Isolation einem einzelnen Kunden vorbehalten ist.

Ja. Als Amazon-EC2-Kunde haben Sie Root-Zugriff auf das Betriebssystem (OS) Ihrer Container-Instances. Sie können Besitz der OS-Sicherheitseinstellungen nehmen und zusätzliche Software-Komponenten für Sicherheitsfunktionen konfigurieren, wie Überwachung, Patch-Verwaltung, Protokoll-Verwaltung und Host-Intrusionsüberwachung. 

Die Verwendung von Amazon ECS mit AWS Fargate sorgt für ein hohes Maß an Sicherheit und bietet die Möglichkeit, jeder Aufgabe detaillierte Berechtigungen zuzuweisen, sodass Sie bei der Erstellung von Anwendungen einen höheren Grad an Isolation, Netzwerkzugriffskontrolle und IAM-Steuerung erhalten. Mit AWS Fargate wird jede Aufgabe in einer separaten virtuellen Maschine (VM) ausgeführt, was mehr Isolation bietet als zwei Aufgaben, die sich denselben Host teilen. Jede Aufgabe verfügt außerdem über eine eigene Netzwerkschnittstelle, über die die Sicherheitsgruppe auf jede Aufgabe angewendet werden kann, wobei der eingehende und ausgehende Verkehr gesteuert werden kann.

Ja. Kunden können ihre Container-Instances für den Zugriff auf eine private Container-Image-Registry in einer VPC oder einer Registry konfigurieren, auf die auch außerhalb einer VPC zugegriffen werden kann, z. B. Amazon ECR.

Zuerst müssen Sie eine IAM-Rolle für die Aufgabe über die Servicerolle „Amazon EC2 Container Service Task Role“ erstellen und eine Richtlinie mit den erforderlichen Berechtigungen hinzufügen. Wenn Sie eine neue Aufgabendefinition erstellen oder eine Aufgabendefinition überarbeiten, können Sie eine Rolle festlegen, indem Sie sie über das Drop-down-Menü „Aufgabenrolle“ auswählen oder die im JSON-Format abgelegte Datei „taskRoleArn“ verwenden.

Amazon ECS erfüllt die Standards für PCI DSS Level 1, ISO 9001, ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3 und HIPAA.

Weitere Informationen finden Sie auf unseren Compliance-Seiten.

Ja. Amazon ECS ist HIPAA-geeignet. Wenn Sie bereits ein Business Associate Addendum (BAA) mit AWS abgeschlossen haben, können Sie Amazon ECS zur Verwaltung von verschlüsselten geschützten Gesundheitsdaten (Protected Health Information; PHI) in Containern verwenden, die in einem Veröffentlichungstyp von AWS Fargate oder in Amazon-EC2-Datenverarbeitungs-Instances implementiert sind.


Weitere Informationen finden Sie auf unserer Seite zur HIPAA-Compliance. Wenn Sie beabsichtigen, PHI zu verarbeiten, zu speichern oder zu übertragen und nicht über ein wirksames BAA von AWS verfügen, kontaktieren Sie uns, um weitere Informationen zu erhalten.

Ja. Durch Nutzung der AWS GovCloud (US) Region, erreichen Container und Cluster von Amazon ECS die Anforderungen für sensible Daten und regulierte Workloads mit Ihren Containern. Weitere Informationen finden Sie auf unserer Seite zu AWS GovCloud.

Kunden können auch ihre Workloads auf Amazon ECS mit AWS Fargate gemäß FIPS (Federal Information Processing Standard) 140-2 bereitstellen. FIPS ist ein US-amerikanischer und kanadischer Regierungsstandard, mit dem die Sicherheitsanforderungen für Verschlüsselungsmodule angegeben werden, die vertrauliche Informationen schützen.

Service Level Agreement

Unsere Computing-SLA garantiert einen monatlichen Verfügbarkeitsprozentsatz von mindestens 99,99 % für Amazon ECS. AWS geht zwei SLA-Verpflichtungen für Amazon ECS und AWS Fargate: (1) ein Multi-AZ-inklusives Container-Service-SLA, das die in mehreren AZs bereitgestellten enthaltenen Container-Services verwaltet, und (2) ein Single-Task/Pod-SLA, das die enthaltenen Container-Service-Aufgaben und Pods einzeln verwaltet. Weitere Informationen finden Sie auf der Seite SLA zu AWS Fargate und Amazon Elastic Container Service.

Sie kommen für eine SLA-Gutschrift für Amazon ECS im Rahmen der Computing-SLA in Frage, wenn mehr als eine Availability Zone, in der Sie eine Aufgabe ausführen, innerhalb derselben Region während eines beliebigen monatlichen Abrechnungszyklus einen monatlichen Verfügbarkeitsprozentsatz von weniger als 99,99 % aufweist.

Ausführliche Informationen zu allen Bedingungen des SLA sowie Einzelheiten zur Geltendmachung eines Anspruchs finden Sie auf der Datenverarbeitungs-SLA-Detailseite.