【AWSの新サービス】Amazon ECS Gateway とは何か

Transcript

1. 2026年11月 Amazon ECS Gateway とは何か ALB の用意を ECS が引き受ける、ECS のサービス向けのイングレス 赤神 青空
2. ▪2026年10月20日、AWS 何が発表されたか が Amazon ECS Gateway を発表 Amazon ECS Gateway ECS のサービス向けの、マネージドなイングレス（受信トラフィックの⼊⼝） ALB と周りのリソースを ECS が作って管理する 今ココ 概要 1つの ALB を 最⼤ 25 のサービスで共有 サービスごとに HTTPS のホスト名 2/16
3. ▪サービスごとに用意していた これまでと何が変わるか ALB などを、ゲートウェイで共有する これまで ECS Gateway サービス A ALB‧証明書 WAF‧セキュリティグループ ゲートウェイ （設定を⼀度決める） サービス B ALB‧証明書 WAF‧セキュリティグループ サービス C ALB‧証明書 WAF‧セキュリティグループ サービスのたびに⽤意して、そろえる 今ココ 概要 サービス A サービス B サービス C ALB などは ECS が作り、 サービスで共有する 3/16
4. ▪ALB などが作られるのは、最初のサービスがつながったとき 始める3つの手順 ① ゲートウェイを作る ② クラスターに関連付ける ③ サービスをつなぐ プラットフォームチーム プラットフォームチーム アプリのチーム create-gateway associate-gateway-with-cluster --gateway-connectors まだ何も作られない まだ何も作られない ここで ALB などが作られる 今ココ しくみ 4/16
5. ▪コネクターに、トラフィックを受けるポートの名前を書く サービスの側に書くこと portName は、タスク定義のコンテナに付けた名前付きのポート（開発者ガイドの例） bash aws ecs update-service \ --cluster my-cluster \ --service my-service \ --gateway-connectors '[{"portName": "web"}]' 今ココ しくみ 5/16
6. ▪ALB は共有し、証明書やホスト名はサービスごとに作る 何が作られるか 共有するもの サービスごとに作るもの Application Load Balancer ACM の証明書‧DNS のホスト名 リスナー（HTTPS の 443） リスナールール‧ターゲットグループ ロードバランサーのセキュリティグループ ALB からだけ受けるセキュリティグループ ゲートウェイが持ち、サービスで分け合う 今ココ しくみ つないだサービス1つずつに 6/16
7. ▪ホスト名で、どのサービスへ送るかを決める 1つの ALB を分け合うしくみ サービス A https://<ID>.ecs.<リージョン>.on.aws ブラウザ などの クライアント HTTPS 共有の ALB （ホスト名で 振り分ける） サービス B https://<ID>.ecs.<リージョン>.on.aws サービス C https://<ID>.ecs.<リージョン>.on.aws ホスト名の ID はランダム。サービス名からは作らない 今ココ 共有 7/16
8. ▪満杯なら足し、空いたら消す ALB はいつ増えて、いつ減るか 満杯なら、ALB を⾜す 空きのある ALB があれば使い回す 1つの ALB にサービスは最⼤ 25 埋まっていたら、もう1つ作る 空いたら、ALB を消す 最後のサービスが抜けたら消す サービスを別の ALB へは移さない 半端に埋まった ALB が残ることもある 1つのゲートウェイで受けられるサービスの数 × ALB の数の上限（既定 10）＝ 250 上限で満杯のとき、つなごうとしたサービスのデプロイは失敗する 今ココ 共有 8/16
9. ▪条件に合うゲートウェイすべてにつながる どのゲートウェイにつながるか アクセスタイプ VPC AZ フィルターに合う サービスと同じ VPC サービスの AZ をすべて含む 3つとも合うゲートウェイに すべてつながる AZ の例（サービスは b‧c で動く） サービス b c c ゲートウェイ 1 a b ゲートウェイ 2 a b つながる つながらない コネクターは、ゲートウェイを名前で選べない 今ココ 注意 9/16
10. ▪絞らないと、あとで公開のゲートウェイにつながる 公開したくないサービスは PRIVATE で絞る 今ココ 注意 フィルターなし PRIVATE で絞る accessTypes を書かない "accessTypes": ["PRIVATE"] あとからクラスターに インターネット向けのゲートウェイ あとからクラスターに インターネット向けのゲートウェイ 次のデプロイで 次のデプロイで PRIVATE と PUBLIC の 両⽅につながる PRIVATE だけに つながる 10/16
11. ▪あとから変えられない設定と、いつでも変えられる設定がある ゲートウェイの設定 あとから変えられない いつでも変えられる 変えるには、新しいゲートウェイを作って サービスを移す 変えると、つないだ全サービスにかかる （ヘッダーは各サービスの次のデプロイから） 名前 スキーム（インターネット向け‧内部） サブネット（VPC と AZ が決まる） IP アドレスの種類 リスナー（HTTPS の 443 だけ） 今ココ 注意 受信のセキュリティグループ WAF の Web ACL ALB の数の上限（既定 10） アクセスログ（S に出す） テストトラフィックのヘッダー 削除保護（既定で有効） 11/16
12. ▪対象の範囲と、運用で気をつけること 気をつける所 対象の範囲 HTTPS（443）だけ。ほかのプロトコルは不可 awsvpc のネットワークモードだけ ゲートウェイとクラスターは同じアカウント Express Mode のサービスはつなげない 今ココ 注意 運⽤で気をつけること ECS の外で変えたリソースは、直さない （トラフィックが⽌まることがある） ゲートウェイの更新は、丸ごと置き換え （書かなかった設定は消えるか既定に戻る） 12/16
13. ▪ゲートウェイは無料。払うのは、作られた 料金と使える範囲ALB など 料⾦ 使える範囲 ゲートウェイ⾃体は、追加料⾦なし すべての商⽤リージョン （東京も⼊る） 作られたリソースの料⾦はかかる ALB CloudWatch のログとメトリクス データ転送 今ココ 料金 起動タイプ EC ‧Fargate‧ ECS Managed Instances 13/16
14. ▪ALB の用意はゲートウェイに一度決めて、サービスはコネクターを足すだけ まとめ ALB の⽤意を、ECS が引き受ける しくみ 1つの ALB を、最⼤ 25 のサービスで分け合う 共有 つながるのは、条件に合うゲートウェイすべて 注意 ゲートウェイに⼀度決めれば、サービスはコネクターを⾜すだけ ホスト名で振り分け、⾜りなければ⾜し、空いたら消す 名前では選べない。公開したくないなら PRIVATE で絞る 今ココ まとめ 14/16
15. ▪一度止めて考えてみてください。答えは次のページで 今回のクイズ ゲートウェイコネクターで、サービスが必ず指定するのはどれ？ A ゲートウェイの名前 今ココ まとめ B コンテナのポート名 C ALB の ARN D ALB のサブネット 15/16
16. ▪コネクターに必ず書くのは、トラフィックを受けるポートの名前 クイズの答えは「B」 今回のクイズ ゲートウェイコネクターで、 サービスが必ず指定するのはどれ？ コネクターは、トラフィックを受ける コンテナのポートの名前を指す。 ゲートウェイは条件で決まる 答えは B 今ココ まとめ A ゲートウェイの名前 名前では選べず、条件に合う所につながる B コンテナのポート名 portName は必須。タスク定義のポートを指す の ARN C ALB ALB は ECS が作って管理する のサブネット D ALB サブネットはゲートウェイの側で決める 16/16