写点什么

亚马逊宣布为 ECR 和 ECS 服务提供 PrivateLink 支持

  • 2019-02-21
  • 本文字数:1437 字

    阅读完需:约 5 分钟

亚马逊宣布为ECR和ECS服务提供PrivateLink支持

在最近的一篇博客中,亚马逊宣布为其弹性容器服务(ECS)和弹性容器注册表(ECR)提供 AWS PrivateLink 支持。 借助 AWS PrivateLink,客户可以为 ECS 和 ECR 创建端点,这些端点在其虚拟私有云(VPC)中显示为具有私有 IP 地址的弹性网络接口。


AWS PrivateLink 是一种网络技术,旨在以高度可扩展和高可用的方式访问 AWS 服务,同时将网络流量限制在 AWS 网络内。 如果没有这项技术,Amazon EC2 实例需要通过公共网络下载 保存在 ECR 中的 Docker 镜像或者与 ECS 控制平面进行通信。


借助 PrivateLink,Amazon EC2 实例既可以通过私有子网从 Amazon ECR 获取这些镜像,也可以通过公共子网获取。 实例还可以通过 AWS PrivateLink 端点与 ECS 控制平面通信,无需使用公网网关或 NAT 网关。最后,由于流量不经过公网,极大降低了遭到分布式拒绝服务攻击和暴力破解的风险。


在这篇博客中,AWS 容器服务开发人员 Nathan Peck 表示,带有 AWS PrivateLink 的网络架构变得更加简单。此外,他写道:


它允许你拒绝私有 EC2 实例访问 AWS 服务之外的其它任何内容,从而增强了安全性。 当然,这是假设你想要屏蔽那些实例对公网的访问。


要实现这种网络架构,客户需要创建多个 AWS PrivateLink 资源:


  • 用于 ECR 的 AWS PrivateLink 端点——允许 VPC 中 的实例与 ECR 通信,以便下载镜像清单。

  • 用于 Amazon S3 的 Gateway VPC 端点——允许实例从托管它们的底层私有 Amazon S3 存储桶下载镜像层。

  • 用于 ECS 的 AWS PrivateLink 端点——允许实例与 ECS 控制平面中的遥测和代理服务通信。



来源: https://aws.amazon.com/blogs/compute/setting-up-aws-privatelink-for-amazon-ecs-and-amazon-ecr/


创建用于 ECR 的 AWS PrivateLink 接口的典型方式是通过 VPC 控制台中的端点创建向导。 ECR 本身需要两个接口端点:


  • com.amazonaws.region.ecr.api

  • com.amazonaws.region.ecr.dkr


如博客中所述,用户需要通过一系列步骤来创建这些端点:


  • 选择 AWS 服务和端点

  • 指定应添加 AWS PrivateLink 接口的 VPC 和子网

  • 启用端点所需的私有 DNS 名称

  • 为接口本身定义安全组

  • 创建端点



来源: https://aws.amazon.com/blogs/compute/setting-up-aws-privatelink-for-amazon-ecs-and-amazon-ecr/


接下来,为了创建 ECR 端点,用户还需要为 S3 创建网关 VPC 端点,让 ECR 可以存储 Docker 镜像层。 在 AWS 服务列表中选择“com.amazonaws.region.s3”,并选择 VPC 托管,ECS 集群用户就可以完成 S3 网关端点的添加。 最后,用户可以为 ECS 创建 AWS PrivateLink 接口端点,方法是创建三个接口端点,就像为 ECR 创建接口端点那样,这些端点是:


  • com.amazonaws.region.ecs-agent

  • *com.amazonaws.region.ecs-*telemetry

  • com.amazonaws.region.ecs


通过使用这些 AWS PrivateLink 资源,所有容器编排流量都保留在 VPC 内,并且 ECS 集群中的实例可以直接与 ECS 控制平面通信。 此外,实例可以直接下载 Docker 镜像,而无需在 VPC 之外使用公网网关或 NAT 网关进行任何连接。 一个针对 Amazon ECR PrivateLink 问题的 Reddit 帖子提到,后者可以节省成本:


6 至 7TB 数据通过 NAT 网关的连接时间费用约为 32.85 美元/月,加上数据传输费用 270 美元(数据处理费率为 0.045 美元/GB,假设 ECR 在同一地区)。 PrivateLink 的费用是其 1/4。连接时间费用为 7.30 美元/月,6 至 7TB 数据的处理费用为 60 至 70 美元。


更多有关 AWS PrivateLink 定价的详细信息,请参阅定价页面


查看英文原文https://www.infoq.com/news/2019/02/aws-privatelink-ecr-ecs


2019-02-21 07:433001

评论

发布
暂无评论
发现更多内容

Linux之killall命令

入门小站

Linux

在线格式时间计算时间差

入门小站

工具

怎样设计一个广告系统

俞凡

架构 大厂实践 2月月更

Firefox 登录后无法同步书签

TroyLiu

firefox 工具 浏览器 数据同步 书签

也谈一下Web3.0-01

wood

300天创作 Web3.0

以太坊剖析 - 区块头部(BlockHeader)

起航

区块链 以太坊

Spotify系统架构

俞凡

架构 大厂实践 2月月更 spotify

微服务架构实践原则

俞凡

架构 微服务

ReactNative进阶(四十七):移动端调试利器 vConsole

No Silver Bullet

ReactNative 2月月更 vconsole

再解 JavaScript 原型 与原型链

编程三昧

JavaScript 前端 原型 原型链 2月月更

JDK9响应式流使用详解

蜜糖的代码注释

Java Java9 2月月更 响应式流

JVM进阶(一):初识 JAVA 栈

No Silver Bullet

Java JVM 2月月更

以太坊剖析 - 区块(Block)

起航

区块链 以太坊

WebRTC 如何在安卓系统上采集视频数据 | 社区征文

liuzhen007

音视频 新春征文 2月月更

使用 React、Solidity 和 Web3.js 构建真实世界的 dApp

devpoint

dapp React Solidity Web3.0 2月月更

【拥有新时代的通信协议,引领云原生迈向更高的舞台】解密Dubbo3从微服务升华到云原生 | 社区征文

码界西柚

云原生 Cloud Native Dubbo3 新春征文 2月月更

浅析 Python 中的 Collections 模块

宇宙之一粟

Python 2月月更

【技术】谈ServiceMesh落地的三大难题:选型、过渡、多集群

极光一号。

云原生 servicemesh 服务网格 应用交付

Java9特性-响应式流(Reactive Stream)

蜜糖的代码注释

Java 响应式 响应式编程 2月月更

树概念总结

en

数据结构

微信朋友圈高性能复杂度分析

唐尤华

架构实战营

《卡片笔记写作法》读书笔记 - 重新认知思考和写作

懒时小窝

读书感悟 读书总结

聊聊API安全的重要性及治理思路

陈俊

安全 API 应用架构

ReactNative进阶(四十八):Mobile App 适配性优化实战

No Silver Bullet

适配 ReactNative 2月月更

ReactNative进阶(五十):IOS 系统 Crash 日志分析实战

No Silver Bullet

ios React Native 2月月更

精度丢失问题

编程三昧

2月月更

ReactNative进阶(四十五):渐变组件 react-native-linear-gradient

No Silver Bullet

React Native 2月月更

(2-1/26) 滑雪的准备

mtfelix

300天创作

MySQL架构设计

JavaEdge

2月月更

原型与原型链

编程三昧

JavaScript 前端 1月月更

ReactNative进阶(五十一): 常见样式梳理

No Silver Bullet

CSS ReactNative 2月月更

亚马逊宣布为ECR和ECS服务提供PrivateLink支持_容器_Steef-Jan Wiggers_InfoQ精选文章