写点什么

亚马逊宣布为 ECR 和 ECS 服务提供 PrivateLink 支持

  • 2019-02-21
  • 本文字数:1437 字

    阅读完需:约 5 分钟

亚马逊宣布为ECR和ECS服务提供PrivateLink支持

在最近的一篇博客中,亚马逊宣布为其弹性容器服务(ECS)和弹性容器注册表(ECR)提供 AWS PrivateLink 支持。 借助 AWS PrivateLink,客户可以为 ECS 和 ECR 创建端点,这些端点在其虚拟私有云(VPC)中显示为具有私有 IP 地址的弹性网络接口。


AWS PrivateLink 是一种网络技术,旨在以高度可扩展和高可用的方式访问 AWS 服务,同时将网络流量限制在 AWS 网络内。 如果没有这项技术,Amazon EC2 实例需要通过公共网络下载 保存在 ECR 中的 Docker 镜像或者与 ECS 控制平面进行通信。


借助 PrivateLink,Amazon EC2 实例既可以通过私有子网从 Amazon ECR 获取这些镜像,也可以通过公共子网获取。 实例还可以通过 AWS PrivateLink 端点与 ECS 控制平面通信,无需使用公网网关或 NAT 网关。最后,由于流量不经过公网,极大降低了遭到分布式拒绝服务攻击和暴力破解的风险。


在这篇博客中,AWS 容器服务开发人员 Nathan Peck 表示,带有 AWS PrivateLink 的网络架构变得更加简单。此外,他写道:


它允许你拒绝私有 EC2 实例访问 AWS 服务之外的其它任何内容,从而增强了安全性。 当然,这是假设你想要屏蔽那些实例对公网的访问。


要实现这种网络架构,客户需要创建多个 AWS PrivateLink 资源:


  • 用于 ECR 的 AWS PrivateLink 端点——允许 VPC 中 的实例与 ECR 通信,以便下载镜像清单。

  • 用于 Amazon S3 的 Gateway VPC 端点——允许实例从托管它们的底层私有 Amazon S3 存储桶下载镜像层。

  • 用于 ECS 的 AWS PrivateLink 端点——允许实例与 ECS 控制平面中的遥测和代理服务通信。



来源: https://aws.amazon.com/blogs/compute/setting-up-aws-privatelink-for-amazon-ecs-and-amazon-ecr/


创建用于 ECR 的 AWS PrivateLink 接口的典型方式是通过 VPC 控制台中的端点创建向导。 ECR 本身需要两个接口端点:


  • com.amazonaws.region.ecr.api

  • com.amazonaws.region.ecr.dkr


如博客中所述,用户需要通过一系列步骤来创建这些端点:


  • 选择 AWS 服务和端点

  • 指定应添加 AWS PrivateLink 接口的 VPC 和子网

  • 启用端点所需的私有 DNS 名称

  • 为接口本身定义安全组

  • 创建端点



来源: https://aws.amazon.com/blogs/compute/setting-up-aws-privatelink-for-amazon-ecs-and-amazon-ecr/


接下来,为了创建 ECR 端点,用户还需要为 S3 创建网关 VPC 端点,让 ECR 可以存储 Docker 镜像层。 在 AWS 服务列表中选择“com.amazonaws.region.s3”,并选择 VPC 托管,ECS 集群用户就可以完成 S3 网关端点的添加。 最后,用户可以为 ECS 创建 AWS PrivateLink 接口端点,方法是创建三个接口端点,就像为 ECR 创建接口端点那样,这些端点是:


  • com.amazonaws.region.ecs-agent

  • *com.amazonaws.region.ecs-*telemetry

  • com.amazonaws.region.ecs


通过使用这些 AWS PrivateLink 资源,所有容器编排流量都保留在 VPC 内,并且 ECS 集群中的实例可以直接与 ECS 控制平面通信。 此外,实例可以直接下载 Docker 镜像,而无需在 VPC 之外使用公网网关或 NAT 网关进行任何连接。 一个针对 Amazon ECR PrivateLink 问题的 Reddit 帖子提到,后者可以节省成本:


6 至 7TB 数据通过 NAT 网关的连接时间费用约为 32.85 美元/月,加上数据传输费用 270 美元(数据处理费率为 0.045 美元/GB,假设 ECR 在同一地区)。 PrivateLink 的费用是其 1/4。连接时间费用为 7.30 美元/月,6 至 7TB 数据的处理费用为 60 至 70 美元。


更多有关 AWS PrivateLink 定价的详细信息,请参阅定价页面


查看英文原文https://www.infoq.com/news/2019/02/aws-privatelink-ecr-ecs


2019-02-21 07:433008

评论

发布
暂无评论
发现更多内容

架构师训练营第二周总结

Sandman

CAP原理

知行合一

架构师训练营第 6 周作业

netspecial

极客大学架构师训练营

第二周学习总结

晴空万里

极客大学架构师训练营

极客 - 架构设计指导原则

jorden wang

架构设计原则

极客时间-设计原则

架构师训练营 1 期 -- 第六周笔记

曾彪彪

极客大学架构师训练营

架构师训练营第 1 期第六周总结

Leo乐

极客大学架构师训练营

架构设计学习笔记2

Arthur

极客大学架构师训练营

架构师课程第二周作业

文江

架构师训练营 1 期第 6 周:技术选型(二) - 总结

piercebn

极客大学架构师训练营

架构师训练营第六周总结

吴传禹

极客大学架构师训练营

第六周作业1

Yangjing

极客大学架构师训练营

架构师训练营第六周学习总结

Gosling

极客大学架构师训练营

学习总结 -week2

Mr_No爱学习

实用超参数优化

计算机与AI

学习

理解用户故事的本质

Bruce Talk

敏捷 用户故事 Product Owner

【架构师训练营第 2 期】第 2 周作业

知致

第二周作业

Hjh

【第六周】技术选型(二)

云龙

架构师训练营第六周课后作业

Gosling

极客大学架构师训练营

Architecture Phase1 Week6:Summarize

phylony-lu

极客大学架构师训练营

架构师训练营第六周作业

xs-geek

极客大学架构师训练营

初始化文章

Yuchen

自我独白

第二周作业

jingx

第二周-学习总结

ray-arch

极客大学架构师训练营

2周 作业

水浴清风

架構師訓練營 week6 作業

ilake

第六周作业

Meow

架构训练营第二周作业

一期一会

应用这5步项目任务从分解到执行的方法和工具

boshi

项目管理 思维导图 项目排期

亚马逊宣布为ECR和ECS服务提供PrivateLink支持_容器_Steef-Jan Wiggers_InfoQ精选文章