Definiciones de tareas de daemon

La definición de una tarea de daemon es el esquema de su daemon. Los daemons administrados de Amazon ECS utilizan un recurso de definición de tareas de daemon especificado, distinto de las definiciones de tareas estándar de Amazon ECS. Registra una definición de tarea de daemon para especificar la imagen del contenedor, los requisitos de recursos y la configuración del daemon.

Creación de una definición de tarea de daemon

Puede crear una definición de tarea de daemon mediante la Consola de administración de AWS o la AWS CLI.

Uso de Consola de administración de AWS

Uso de AWS CLI

Para registrar una definición de tarea de daemon, cree un archivo JSON y utilice el comando register-daemon-task-definition.

A continuación se muestra un ejemplo de un archivo JSON:

{
    "family": "my-daemon-task",
    "containerDefinitions": [
        {
            "name": "daemon-container",
            "image": "public.ecr.aws/docker/library/busybox:latest",
            "essential": true,
            "command": ["sh", "-c", "while true; do echo 'Daemon running'; sleep 30; done"],
            "memoryReservation": 512
        }
    ]
}

Ejecute el siguiente comando para registrar la definición de tarea de daemon:

aws ecs register-daemon-task-definition --cli-input-json file://daemon-taskdef.json

Parámetros de definición de tarea de daemon

Puede utilizar los siguientes parámetros al registrar una definición de tarea de daemon.

Parámetros requeridos

Parámetros opcionales

Modo de red

Los daemons utilizan un modo de red daemon_bridge especial que Amazon ECS establece automáticamente. No puede especificar un modo de red en la definición de tarea de daemon. Todos los daemons de una instancia comparten un único espacio de nombres de red y se puede acceder a ellos de forma local mediante una dirección IP estática de puente de daemon (169.254.172.2 para IPv4 o fd00:ec2::172:2 para IPv6). Las tareas de la aplicación (que no son daemons) se pueden comunicar con los daemons en esta dirección sin necesidad de configurar la red adicional.

Como los daemons se ejecutan en un espacio de nombres de red independiente del de las tareas de aplicación, las tareas que no son de daemon no se tienen que preocupar de los conflictos de puertos con los daemons. Sin embargo, dado que todas las tareas de daemon comparten el mismo espacio de nombres, los daemons de la misma instancia no pueden vincularse al mismo puerto. Al implementar varios daemons, asegúrese de que cada daemon utilice un puerto único.

Capacidades con privilegios

En las instancias administradas de Amazon ECS, los daemons admiten capacidades de Linux privilegiadas para las operaciones a nivel de sistema. Los agentes de seguridad, las herramientas de supervisión de redes y los agentes de observabilidad a menudo necesitan acceso a nivel de núcleo para funcionar correctamente.

Puede conceder capacidades de dos maneras:

El modo con todos los privilegios otorga todas las capacidades de Linux al contenedor. Utilícelo cuando el agente necesite un amplio acceso al sistema:

{
    "containerDefinitions": [{
        "name": "security-daemon",
        "image": "my-security-agent:latest",
        "privileged": true
    }]
}

Las capacidades individuales solo conceden los permisos que necesita el daemon siguiendo el principio de privilegio mínimo. Use el campo linuxParameters.capabilities para agregar capacidades individuales, como SYS_ADMIN, NET_ADMIN, SYS_PTRACE, BPF y PERFMON:

{
    "containerDefinitions": [{
        "name": "monitoring-daemon",
        "image": "my-monitoring-agent:latest",
        "linuxParameters": {
            "capabilities": {
                "add": ["NET_ADMIN", "SYS_PTRACE"]
            }
        }
    }]
}

Uso compartido de espacios de nombres PID e IPC

En Amazon ECS Managed Instances, los daemons admiten el uso compartido de espacios de nombres PID e IPC para casos de uso como agentes de seguridad, herramientas de supervisión y daemons de observabilidad que necesitan visibilidad sobre los procesos de las tareas de aplicación o los recursos IPC.

En el siguiente ejemplo, se muestra una definición de tarea de daemon con el uso compartido de espacios de nombres PID e IPC habilitado:

{
    "family": "my-monitoring-daemon",
    "pidMode": "shared",
    "ipcMode": "shared",
    "containerDefinitions": [
        {
            "name": "monitoring-agent",
            "image": "public.ecr.aws/my-company/monitoring-agent:latest",
            "essential": true
        }
    ]
}

Para compartir el espacio de nombres PID con un daemon que tiene pidMode establecido en shared, una tarea que no sea de daemon debe especificar pidMode: "host" en la definición de tarea. Esto permite que los contenedores de la tarea vean los procesos del daemon y habilita casos de uso como la supervisión de procesos y el envío de señales.

Para compartir el espacio de nombres IPC con un daemon que tenga ipcMode establecido en shared, una tarea que no sea de daemon debe especificar ipcMode: "host" en la definición de la tarea. Esto permite que los contenedores de la tarea accedan a los recursos IPC del daemon, como segmentos de memoria compartida y colas de mensajes.

Volúmenes

Los daemons administrados admiten montajes de vinculación mediante volúmenes host con una especificación de sourcePath. Esto permite que los contenedores daemon monten directorios de hosts para acceder a los registros, las métricas y la información del sistema de la instancia de Amazon EC2 subyacente. Los agentes de recopilación de registros, los exportadores de métricas y los escáneres de seguridad suelen utilizarlos para obtener visibilidad de los datos a nivel de host.

La definición de tareas de daemon es compatible con las especificaciones de volumen de los hosts con sourcePath. Los volúmenes de daemon persisten durante todo el ciclo de vida de la instancia de contenedor subyacente.

En el ejemplo que sigue se muestra un daemon que recopila registros con un montaje de vinculación:

{
    "containerDefinitions": [{
        "name": "log-collector",
        "image": "fluent/fluentd:latest",
        "mountPoints": [{
            "sourceVolume": "var-log",
            "containerPath": "/var/log"
        }]
    }],
    "volumes": [{
        "name": "var-log",
        "host": {
            "sourcePath": "/var/log"
        }
    }]
}

Parámetros de contenedor admitidos

Las definiciones de contenedor de daemon admiten los siguientes parámetros: