Amazon ECSとCloud Runの相互理解で広げるクラウドネイティブの景色 / Mutually understanding Amazon ECS and Cloud Run

by iselegant

Slide 1

Slide 1 text

Amazon ECSとCloud Runの相互理解で広げるクラウドネイティブの景色新井雅也 (@msy78)

Slide 2

Slide 2 text

新井雅也現在は衛星の開発・運用を手掛けるスタートアップ企業にて、クラウドを中心とした技術力を活かしつつ、宇宙業界の発展に尽力している。好きなサービス: Amazon ECS、AWS Fargate、GKE、Cloud Run 好きなエナジードリンク: Red Bull AWS Container Hero AWS Ambassador 2022-2023 Google Cloud Champion Innovator Google Cloud Partner Top Engineer 2023/2025 @msy78 Synspective Inc. - Principal Cloud Architect

Slide 3

Slide 3 text

本発表の目的 ECSもしくはCloud Runのいずれかの事前知識を活用することで、他方のサービスと照らし合わせながら相互理解が進むことに気づいてもらう

Slide 4

Slide 4 text

⚠ 前提 ⚠ • 各クラウドサービスの優劣比較を目的とはしていません。あくまで、「他方の領域に学びを広げる観点」で捉えましょう。・Amazon ECSのデータプレーンとして、AWS Fargateを前提に解説します。・本発表で扱うアーキテクチャは一般的な例です。ビジネス要件によっては、他の構成が最適となる可能性があります。・便宜上、解説はECS→Cloud Runの順番で行います。

Slide 5

Slide 5 text

Q: なぜAmazon ECS とCloud Run？

Slide 6

Slide 6 text

Q: なぜAmazon ECS とCloud Run？ A: クラウド上でコンテナを活用したシステムを構築する際に最も受け入れられているサービスだから

Slide 7

Slide 7 text

• 世界中のECSタスク起動数は3億個/日 • AWSでコンテナ新規利用ユーザの65%がECSを選択 • 多数のECS/Fargateアーキテクチャ事例が公開 • 利用実績に関する定量的な数値は公開されていないものの、 2019~2024年の5年間でPreviewを除く機能追加発表は151件 • Cloud Run functionsの統合など、主要サービスとしてリブランディング

Slide 8

Slide 8 text

アジェンダ 1. 基本的な特徴 2. アーキテクチャデザインの違い 3. 非機能デザインからの理解以下の3つの観点から相互理解を目指す

Slide 9

Slide 9 text

アジェンダ 1. 基本的な特徴 2. アーキテクチャデザインの違い 3. 非機能デザインからの理解以下の3つの観点から相互理解を目指す

Slide 10

Slide 10 text

• コンポーネントとワークロード • VPC内外 • アクセス制御 • コンテナ実行環境各サービスの基本的な特徴 2 4 3 1

Slide 11

Slide 11 text

• コンポーネントとワークロード • VPC内外 • アクセス制御 • コンテナ実行環境各サービスの基本的な特徴 2 4 3 1

Slide 12

Slide 12 text

ECSは主に5つのコンポーネントで構成基本的な各サービスの特徴 - コンポーネントとワークロード

Slide 13

Slide 13 text

ECSは主に5つのコンポーネントで構成 &$4Ϋϥελʔ &$4αʔϏε &$4λεΫ ίϯςφ 基本的な各サービスの特徴 - コンポーネントとワークロード ɾෳ਺ͷ&$4αʔϏεɾ&$4λεΫ͔ΒͳΔ ࿦ཧతͳάϧʔϓ ɾࢦఆͨ͠&$4λεΫͷىಈ਺Λҡ࣋ ɾͭҎ্ͷίϯςφΛଋͶΔ&$4ͷ࠷খ࣮ߦ୯Ґ ɾΞϓϦέʔγϣϯΛύοέʔδԽ࣮ͨ͠ߦओମ &$4λεΫఆٛ ɾ&$4λεΫΛੜ੒͢ΔͨΊͷςϯϓϨʔτ ɾϦϏδϣϯ͝ͱʹ؅ཧ

Slide 14

Slide 14 text

ECSの各コンポーネントとワークロードの関連性基本的な各サービスの特徴 - コンポーネントとワークロード

Slide 15

Slide 15 text

ECSの各コンポーネントとワークロードの関連性基本的な各サービスの特徴 - コンポーネントとワークロードマネージドなデータプレーン

Slide 16

Slide 16 text

ECSの各コンポーネントとワークロードの関連性基本的な各サービスの特徴 - コンポーネントとワークロードマネージドなデータプレーン Webサービス用途ジョブ用途

Slide 17

Slide 17 text

Cloud Run services は4つのコンポーネントで構成基本的な各サービスの特徴 - コンポーネント αʔϏε ϦϏδϣϯ Πϯελϯε ίϯςφ ɾϦϏδϣϯΛଋͶͯ)5514ΤϯυϙΠϯτΛఏڙ ɾσϓϩΠຖʹ࡞੒͞ΕΔઃఆͷ୯Ґ ɾϦϦʔε࣌ɺϦϏδϣϯ͝ͱʹτϥϑΟοΫΛ੍ޚͰ͖Δ ɾͭҎ্ͷίϯςφΛଋͶΔ$MPVE 3VOͷ࠷খ࣮ߦ୯Ґ ɾϦϏδϣϯʹඥͮ͘ Ref. https://cloud.google.com/run/docs/resource-model ɾΞϓϦέʔγϣϯΛύοέʔδԽ࣮ͨ͠ߦओମ

Slide 18

Slide 18 text

Cloud Run jobs は4つのコンポーネントで構成基本的な各サービスの特徴 - コンポーネント δϣϒ λεΫ Πϯελϯε ίϯςφ ɾෳ਺ͷλεΫΛଋͶ࣮ͯߦ ɾฒྻ࣮ߦͷ୯ҐɻΠϯελϯεΛ࣮ͭߦ ɾͭҎ্ͷίϯςφΛଋͶΔ$MPVE 3VOͷ࠷খ࣮ߦ୯Ґ ɾϦϏδϣϯʹඥͮ͘ Ref. https://cloud.google.com/run/docs/resource-model ɾΞϓϦέʔγϣϯΛύοέʔδԽ࣮ͨ͠ߦओମ Services と同じ Services と同じ

Slide 19

Slide 19 text

Cloud Runの各コンポーネントとワークロードの関連性基本的な各サービスの特徴 - コンポーネントとワークロード Amazon ECSと異なり、クラスターの概念がない

Slide 20

Slide 20 text

Cloud Runの各コンポーネントとワークロードの関連性基本的な各サービスの特徴 - コンポーネントとワークロード Webサービス用途ジョブ用途

Slide 21

Slide 21 text

• コンポーネントとワークロード • VPC内外 • アクセス制御 • コンテナ実行環境各サービスの基本的な特徴 2 4 3 1

Slide 22

Slide 22 text

前提として、AWSとGoogle CloudではVPCのスコープが異なる

Slide 23

Slide 23 text

おさらい）AWSにおけるVPCのスコープリージョンアベイラビリティゾーンアベイラビリティゾーンアベイラビリティゾーン基本的な各サービスの特徴 - VPC内外

Slide 24

Slide 24 text

リージョンアベイラビリティゾーンアベイラビリティゾーンアベイラビリティゾーン VPC サブネットサブネットサブネット AWSの場合、 VPCはリージョンに閉じるおさらい）AWSにおけるVPCのスコープ基本的な各サービスの特徴 - VPC内外

Slide 25

Slide 25 text

ECSタスクはVPC内サブネット上にデプロイされるリソースリージョンアベイラビリティゾーンアベイラビリティゾーンアベイラビリティゾーン VPC サブネットサブネットサブネット ECSタスク ECSタスク ECSタスク可用性を担保するために、マルチAZ考慮が必要基本的な各サービスの特徴 - VPC内外

Slide 26

Slide 26 text

おさらい）Google CloudにおけるVPCのスコープリージョンゾーンゾーンゾーンリージョンゾーンゾーンゾーン基本的な各サービスの特徴 - VPC内外

Slide 27

Slide 27 text

リージョンゾーンゾーンゾーンサブネットリージョンゾーンゾーンゾーンサブネット VPC Google Cloudの場合、 VPCはリージョンをまたがるおさらい）Google CloudにおけるVPCのスコープ基本的な各サービスの特徴 - VPC内外

Slide 28

Slide 28 text

Cloud RunはVPC外にデプロイされるリソースリージョンゾーンゾーンゾーンサブネットリージョンゾーンゾーンゾーンサブネット VPC Cloud Run 透過的にゾーン毎にリソースがデプロイされるためマルチAZ考慮は不要別サービスと連携することで、内部的にVPC内に通信可能基本的な各サービスの特徴 - VPC内外

Slide 29

Slide 29 text

• コンポーネントとワークロード • VPC内外 • アクセス制御 • コンテナ実行環境各サービスの基本的な特徴 2 4 3 1

Slide 30

Slide 30 text

ECSのHTTP(S)リクエストはセキュリティグループにて制御 VPC ECSタスクサブネット Security group サブネット単位やセキュリティグループIDなどにより TCPレベルでアクセス制御基本的な各サービスの特徴 - アクセス制御

Slide 31

Slide 31 text

Cloud RunのHTTPSリクエストはIngress制御+IAM認証で制御リージョン Cloud Run Ingress制御 IAM認証 Internet VPC 基本的な各サービスの特徴 - アクセス制御

Slide 32

Slide 32 text

リージョン Cloud Run Ingress制御：すべて IAM認証：不要 VPC Internet IAM認証あり IAM認証なし実行認証あり実行認証なし基本的な各サービスの特徴 - アクセス制御 Cloud RunのHTTPSリクエストはIngress制御+IAM認証で制御

Slide 33

Slide 33 text

リージョン Cloud Run Ingress制御：すべて IAM認証：要 VPC Internet 実行権限あり実行権限なし実行認証あり実行認証なし基本的な各サービスの特徴 - アクセス制御 Cloud RunのHTTPSリクエストはIngress制御+IAM認証で制御

Slide 34

Slide 34 text

リージョン Cloud Run Ingress制御：内部 IAM認証：不要 VPC Internet 実行権限あり実行権限なし実行認証あり実行認証なし基本的な各サービスの特徴 - アクセス制御 Cloud RunのHTTPSリクエストはIngress制御+IAM認証で制御

Slide 35

Slide 35 text

リージョン Cloud Run Ingress制御：内部 IAM認証：要 VPC Internet 実行権限あり実行権限なし実行認証あり実行認証なし基本的な各サービスの特徴 - アクセス制御 Cloud RunのHTTPSリクエストはIngress制御+IAM認証で制御

Slide 36

Slide 36 text

• コンポーネントとワークロード • VPC内外 • アクセス制御 • コンテナ実行環境各サービスの基本的な特徴 2 4 3 1

Slide 37

Slide 37 text

ECS/FargateはFirecrackerというmicroVMで起動各サービスの基本的な特徴 - コンテナ実行環境

Slide 38

Slide 38 text

ECS/FargateはFirecrackerというmicroVMで起動 • KVMベースの仮想化 ※同一マシン上で別VMとして分離各サービスの基本的な特徴 - コンテナ実行環境

Slide 39

Slide 39 text

ECS/FargateはFirecrackerというmicroVMで起動 • KVMベースの仮想化 ※同一マシン上で別VMとして分離 • GoogleのChromium OSで使われるcrosvmをフォークして再利用(※) ※seccomp-bpfやキャッシュによるデータ転送面で利点 (※)https://firecracker-microvm.github.io/ 各サービスの基本的な特徴 - コンテナ実行環境

Slide 40

Slide 40 text

ECS/FargateはFirecrackerというmicroVMで起動 • KVMベースの仮想化 ※同一マシン上で別VMとして分離 • GoogleのChromium OSで使われるcrosvmをフォークして再利用(※) ※seccomp-bpfやキャッシュによるデータ転送面で利点 • LambdaやApp Runner等でも利用 (※)https://firecracker-microvm.github.io/ 各サービスの基本的な特徴 - コンテナ実行環境

Slide 41

Slide 41 text

ECS/FargateはFirecrackerというmicroVMで起動ホストカーネル VMM (ハイパーバイザー) ハードウェアシステムコール仮想ハードウェアゲストカーネルシステムコールコンテナ Firecracker コンテナランタイム microVM 各サービスの基本的な特徴 - コンテナ実行環境

Slide 42

Slide 42 text

Cloud Runは世代により実行環境が異なる各サービスの基本的な特徴 - コンテナ実行環境

Slide 43

Slide 43 text

Cloud Runは世代により実行環境が異なる • 第１世代はgVisorベース • コールドスタートが早い • 一部のLinuxシステムコールと非互換(※1) (※1)https://gvisor.dev/docs/user_guide/compatibility/linux/amd64/ 各サービスの基本的な特徴 - コンテナ実行環境

Slide 44

Slide 44 text

Cloud Runは世代により実行環境が異なる • 第１世代はgVisorベース • コールドスタートが早い • 一部のLinuxシステムコールと非互換(※1) • 第２世代はmicroVMベース(※2) • CPUやネットワークのパフォーマンスが改善 • 第２世代はLinuxシステムコールと完全互換 (※1)https://gvisor.dev/docs/user_guide/compatibility/linux/amd64/ (※2)Cloud Run jobsは第２世代の実行環境のみ各サービスの基本的な特徴 - コンテナ実行環境

Slide 45

Slide 45 text

Cloud Runは世代により実行環境が異なる • 第１世代はgVisorベース • コールドスタートが早い • 一部のLinuxシステムコールと非互換(※1) • 第２世代はmicroVMベース(※2) • CPUやネットワークのパフォーマンスが改善 • 第２世代はLinuxシステムコールと完全互換 • いずれの世代もBorg基盤上のKnative互換Appとして稼働 ※Knativeそのものではなく、Knative互換のAPIを提供 (※1)https://gvisor.dev/docs/user_guide/compatibility/linux/amd64/ (※2)Cloud Run jobsは第２世代の実行環境のみ各サービスの基本的な特徴 - コンテナ実行環境

Slide 46

Slide 46 text

世代毎のCloud Runコンテナ実行環境の違い第１世代第２世代ホストカーネル gVisor ハードウェアシステムコール(限定) システムコールホストカーネル VMM (ハイパーバイザー) ハードウェアシステムコール仮想ハードウェアゲストカーネルシステムコールコンテナコンテナランタイム microVM コンテナコンテナランタイムユーザー空間上で動作各サービスの基本的な特徴 - コンテナ実行環境

Slide 47

Slide 47 text

• コンポーネントとワークロード • VPC内外 • アクセス制御 • コンテナ実行環境ここまでのまとめ 2 4 3 1 各サービスの基本的な特徴

Slide 48

Slide 48 text

• コンポーネントとワークロード • VPC内外 • アクセス制御 • コンテナ実行環境 2 4 3 1 コンテナ、タスク、サービス、クラスターコンテナ、インスタンス、リビジョン、サービス VPC内 VPC外セキュリティグループ Ingress制御 + IAM認証 microVM (Firecracker) gVisor / microVM ここまでのまとめ各サービスの基本的な特徴

Slide 49

Slide 49 text

アジェンダ 1. 基本的な特徴 2. アーキテクチャデザインの違い 3. 非機能デザインからの理解以下の3つの観点から相互理解を目指す ✔

Slide 50

Slide 50 text

アーキテクチャデザインの違い

Slide 51

Slide 51 text

アーキテクチャデザインの違い一般的なWebアプリケーション構成を例に内容を追っていく

Slide 52

Slide 52 text

クラウド一般的なWebアプリケーション構成例 LB Backend App (BFF) Backend App Backend App DB DB Job Scheduler Job Workflow WAF … … 外部サービス Client Internet Internet

Slide 53

Slide 53 text

クラウド一般的なWebアプリケーション構成例 LB Backend App (BFF) Backend App Backend App DB DB Job Scheduler Job Workflow WAF … … 外部サービス Client Internet or or or or Internet

Slide 54

Slide 54 text

Slide 55

Slide 55 text

アーキテクチャデザインの違い – インターネットアクセスセキュリティや可用性観点からWAFやロードバランサを配置する構成は共通

Slide 56

Slide 56 text

アーキテクチャデザインの違い – インターネットアクセスセキュリティや可用性観点からWAFやロードバランサを配置する構成は共通

Slide 57

Slide 57 text

アーキテクチャデザインの違い – インターネットアクセスセキュリティや可用性観点からWAFやロードバランサを配置する構成は共通

Slide 58

Slide 58 text

セキュリティや可用性観点からWAFやロードバランサを配置する構成は共通アーキテクチャデザインの違い – インターネットアクセス

Slide 59

Slide 59 text

(※)2024年11月28日時点ではプレビューだが、Cloud Runに直接IAPの紐づけも可能アーキテクチャデザインの違い – インターネットアクセスセキュリティや可用性観点からWAFやロードバランサを配置する構成は共通

Slide 60

Slide 60 text

まとめ Amazon ECS Cloud Run • ロードバランサとしてALB、WAF としてAWS WAFを配置 • フェデレーティッドIDからのアクセスのみ許容する場合はAmazon Verified Accessと連携 • ロードバランサとしてExternal ALB、WAFとしてCloud Armorを配置 • 特定Googleアカウントからのリクエストのみを許容する場合は IAP(Identity-aware Proxy)と連携アーキテクチャデザインの違い – インターネットアクセス

Slide 61

Slide 61 text

Slide 62