Einführung von Amazon ECS Gateway: eine vollständig verwaltete Ingress-Lösung für ECS-Services
🇬🇧 Read in English~2 min read
devopsawsecsingressnetworkingalBplatform-engineering
GPU-Teams stehen vor einem schlechten Kompromiss: ein Control Plane pro Team oder schwache Isolation in einem gemeinsamen Cluster. Dieses reproduzierbare Labor kombiniert Kamaji (Control Planes als Pods) und HAMi (fraktionierte GPUs) auf einer einzigen Maschine ohne GPU, unter Verwendung von HAMis Mock-Device-Plugin.
Wenn Plattformteams containerisierte Anwendungen in großem Maßstab auf Amazon ECS verwalten, wird die Konfiguration des Ingress-Netzwerks für jeden Service oft zum Engpass. Für jeden neuen Service müssen Teams Application Load Balancer (ALBs), AWS Certificate Manager (ACM)-Zertifikate, AWS WAF-Web-ACLs und Sicherheitsgruppen bereitstellen und verbinden – und diese Ressourcen dann synchron halten, während Services skaliert, aktualisiert oder betrieben werden. Dieser Overhead pro Service verlangsamt die Bereitstellungsgeschwindigkeit und erhöht das Risiko von Konfigurationsabweichungen in der gesamten Organisation.
ECS Gateway ist eine neue Ressource auf Kontenebene, die Ingress-Netzwerke vereinfacht, indem sie die erforderliche Infrastruktur dynamisch in Ihrem Namen bereitstellt und verwaltet – wobei alle Ressourcen direkt in Ihrem Konto erstellt werden.
ECS Gateway verteilt die Verantwortlichkeiten sauber:
Plattformteams erstellen und konfigurieren ein Gateway und definieren organisatorische Netzwerkstandards – Subnetze, Sicherheitsgruppen, TLS-Zertifikate, Listener-Einstellungen, WAF-Web-ACLs – an einem einzigen Ort. Anschließend verknüpfen sie das Gateway mit einem oder mehreren ECS-Clustern und machen es so für Services auf diesen Clustern verfügbar.
Anwendungsteams melden Services an, indem sie beim Erstellen oder Aktualisieren eines Service einen Gateway-Connector-Parameter hinzufügen. ECS stellt die Ressourcen pro Service automatisch bereit: ein ACM-Zertifikat, einen eindeutigen DNS-Hostnamen, Listener-Regeln, Zielgruppen und eine Service-Sicherheitsgruppe, die eingehenden Datenverkehr nur vom ALB zulässt. Keine Netzwerkkenntnisse erforderlich.
ECS Gateway bietet hostbasiertes Routing mit ALBs und ermöglicht bis zu 25 Services, sich einen einzigen ALB zu teilen, was die Infrastrukturkosten optimiert. ECS verwaltet den gesamten Lebenszyklus der zugrunde liegenden Infrastruktur: Es stellt den ersten ALB bereit, wenn sich Ihr erster Service verbindet, fügt weitere ALBs hinzu, sobald die Kapazität erreicht ist, und entfernt sie, wenn sie nicht mehr benötigt werden. Jeder Service erhält einen eindeutigen DNS-Hostnamen – einen sofort nutzbaren Endpunkt, sobald die Bereitstellung abgeschlossen ist.
ECS Gateway ist das Muster, das Plattformteams seit Jahren manuell implementieren: Ingress einmal standardisieren, die Plattform den Lebenszyklus verwalten lassen und Entwicklern ermöglichen, ihren Service zu deklarieren und einen Endpunkt zu erhalten. Wenn die ALB-/Zertifikats-/WAF-Infrastruktur pro Service Ihre Bereitstellungsgeschwindigkeit beeinträchtigt oder aus dem Synchronzustand gerät, beseitigt dies die operative Belastung, während alles in Ihrem Konto bleibt.