AWSのコンテナ環境まとめ

AWSのコンテナ環境まとめ戸井田理

コンテナ仮想化とは? KVMやHyper-V､ESXiなどの仮想マシン環境と異なり､一般的なLinuxディストリビューションを利用してカーネルは共有しつつユーザー名前空間が分離している実行環境を提供するための技術 LXCやDockerコンテナ､Windowsコンテナなど種類があります｡ →今回はWindowsコンテナについては省略します｡

LXCとDockerコンテナの違い LXCとDockerコンテナの違いはわかりますか? →LXC(LinuX Container)はOS丸ごとコンテナ仮想化 →Dockerコンテナはアプリケーション単位のコンテナ仮想化今回はDockerコンテナに注目します｡

AWSで動かせるコンテナ環境

AWSで動かせるコンテナ環境代表的なものをいくつか列挙します｡ • Amazon ECS • Amazon EKS • Amazon
Lightsail • AWS Elastic Beanstalk

サービスそれぞれの違い(Amazon ECS) AWSが独自に用意したコンテナオーケストレーションツールを使用してコンテナを管理しますスケーラビリティや初期段階で必要な機能は全て揃っている印象 AWS以外で動く環境はもちろんないのでノウハウは公式とAWS コミュニティに依存

サービスそれぞれの違い(Amazon EKS) Kubernetes(以下k8s)をAWSで最適に動作する環境で管理しますコントロールプレーンはマネージドでデータプレーンの面倒だけ見る k8sの豊富なツールやコミュニティから情報を選び利用することが可能(ただしk8sのディストロはAmazon EKS Distroを使用する) 追加料金(0.10USD/h)とバージョンアップがネックバージョンアップせず延長サポート対象となった場合0.60USD/h

サービスそれぞれの違い(Amazon Lightsail) IAMやELB、ログ管理などを全て隠蔽してコンテナを手軽に使いたい人向けいわゆるVPSでdockerが動かせるようにしてあるイメージでOK 現時点ではECRにあるイメージは使えず直接Lightsailコンテナサービスにイメージをpushする必要がある

サービスそれぞれの違い(AWS Elastic Beanstalk) この中で一番歴史があるサービス基本的にはLightsailと同じようにELB、モニタリング、アプリケーションデプロイなどは隠蔽されて使いやすくEC2にデプロイするサービス Lightsailとの違いはLightsailは月額費用が定額だが、Elastic Beanstalk はあくまでEC2などをすべて肩代わりして作ってくれるラッパーに
すぎないのでそれぞれの費用がかかる

AWSで動かせるその他のコンテナ環境内部的にECSを使ってるものは例えばAWS BatchやAWS App Runnerなどがあります。 Red Hat OpenShift Service
on AWSというサービスもありますが既存システムからの移行以外ではコストが高すぎるかと思います｡またEC2上でセルフにコンテナ環境を構築して自前管理するのも方法の一つです。 AWS Lambdaもコンテナを実行することは可能ですが、今回は省略します。実行時間が短めなら選択肢に入るかもしれません。

AWSで使えるコンテナ実行環境

AWSで動かせるコンテナ環境コンテナを実行するマシンは以下の選択肢から選べます。 • Amazon EC2(x86_64 or aarch64(graviton)) • AWS Fargate(x86_64
or aarch64(graviton)) • Amazon (ECS | EKS) Anywhere EC2とFargateはそれぞれスポットインスタンスを選択することも可能です。またリザーブドインスタンスやSavings Plansを使用することでコスト減を狙うことも可能です。

実行環境それぞれの違い(Amazon EC2) Amazon EC2は多彩なインスタンスタイプから必要なリソースを自由に選択できます。またGPUを必要とする場合現時点で現実的な唯一の選択肢です。コンテナイメージをEC2内にキャッシュすることでFargateよりも高速に起動することが可能です。

実行環境それぞれの違い(AWS Fargate) AWS Fargateはサーバーレスなコンテナ実行環境としてEC2で必要なOS やミドルウェア類の管理から解放されます。必要なvCPUもしくはメモリに連動する料金がかかります。このときvCPUとメモリは対応する選択肢が決まっているので例えば1vCPUの場合選べるメモリは2GB-8GBの間となります。もっとメモリが必要な場合vCPUを増やす必要があるのでどちらかのリソースが過剰になってしまうこともあります。

実行環境それぞれの違い((ECS|EKS)Anywhere) (ECS | EKS) Anywhereは条件を満たすオンプレミスのサーバーにたいしてエージェントをインストールすることでAWS上で管理しているホストと同じようにマネージドなコントロールプレーンを使用することが可能です。ただし追加料金がかかります。また、RDSやNLBなどのVPC上のリソースを必要とする場合Direct ConnectやSite-to-Site
VPNなどを使用する必要がある点に注意が必要です。

実行環境それぞれのコスト比較条件: cpu: 2vCPU mem:4GiB / x86_64 / 東京リージョン /
30.5日 / オンデマンド / Linux / 1USD=155円ストレージ､ネットワーク等の費用は計算外とする｡ • EC2(c7i.large): 82.2402USD(12,747円) • Fargate: 90.2084USD(13,982円)

コンテナ環境で使えるIaC

インフラ周り AWS CloudFormationやAWS CDK､TerraFormなどを用いて管理することができます｡他のAWSのサービスやクラウドベンダーと同様です｡

アプリケーション周り EKSの場合､一般的にはAnsibleなどを使用してアプリケーションをデプロイすることが可能です｡これは一般的なk8sと同様の運用ができることを意味します｡ ECSの場合､面白法人カヤックの開発したOSSの｢ecspresso｣を用いて管理することが良いかと思います｡

コンテナ環境で使えるストレージ

ストレージ (ECS | EKS)で使用できるストレージは以下の通りです｡ • Amazon Elastic Block Store (EBS)
• Amazon Elastic File System (EFS) • Amazon FSx • Amazon S3

ストレージそれぞれの違い(Amazon EBS) オンプレで言うところの内蔵ディスクパフォーマンスと容量のバランスは割と良い EC2のみ対応で､容量拡張に手間がかかってしまうアタッチしているEC2がSPoFになってしまうため注意

ストレージそれぞれの違い(Amazon EFS) オンプレで言うところのNAS 複数のマシンから同時にアクセスすることが可能 AZ跨ぎでのアクセスやFargateからのマウントもOK 信頼性､可用性がEBSよりも高い､従量課金なので使用した分だけお金を払えば良い EBS(gp3)とEFS(マルチAZ)で約3.75倍EFSのほうが高い EBS(gp3)とEFS(シングルAZ)で約2倍EFSのほうが高い

ストレージそれぞれの違い(Amazon FSx) 4つのファイルシステムから選べるハイパフォーマンスなストレージ • NetApp ONTAP • OpenZFS • Windows
File Server • Lustre 高スループット低レイテンシー､スケーラブルなストレージを選べる EC2のみ対応､コンテナからはバインドマウントする

ストレージそれぞれの違い(Amazon S3) 高信頼性でほぼ無限にスケールするオブジェクトストレージ S3標準クラス､~50TB/month で0.023USD/GBで圧倒的に安い基本的にAPIを用いてアクセスするのでスループットは他と比較して良くないオブジェクトストレージなのでファイルサーバー的な使い方は辛い

AWSで使えるコンテナセキュリティ

コンテナセキュリティコンテナセキュリティを実現するAWSのサービスは以下の2つです｡ • Amazon Inspector • Amazon GuardDuty これ以外にもAWS WAF､AWS
Shield､AWS Network Firewallなどコンテナに限らず使用できるサービスやサードパーティの製品などがあります｡

コンテナセキュリティ(Amazon Inspector) Amazon InspectorはECRにpushされたイメージの脆弱性スキャンを行い､脆弱性を検知した場合EventBridgeと連携してSNSやLambda等を通して通知することが可能です｡基本スキャンと拡張スキャンの2種類があり､拡張スキャンの方は課金対象ですがプログラミング言語のパッケージマネージャによってインストールされたものも対象となります｡ EC2で動いている場合EC2インスタンスもInspectorによってスキャンするこ
とができます｡

コンテナセキュリティ(Amazon GuardDuty) Amazon GuardDutyはEKSやECSのランタイムモニタリングをサイドカーコンテナによって実現して不審なアクティビティ(e.g. 権限昇格､マイニング)を検知します｡ EC2で動いている場合EBSを対象としてマルウェアスキャンを行うことができる他､S3やRDSに対する不審なアクティビティを検知することも可能です｡検知するのみなのでEventBridge+SNSなどで通知することが重要｡
コストを許容できるのであれば絶対に有効にするべきサービスの1つ

AWSのコンテナ環境まとめ

AWSのコンテナ環境まとめ

みどり

More Decks by みどり

Other Decks in Technology

Featured

Transcript