デーモンタスク定義

デーモンタスク定義は、デーモンのブループリントです。Amazon ECS マネージドデーモンは、標準の Amazon ECS タスク定義とは異なる専用のデーモンタスク定義リソースを使用します。デーモンタスク定義を登録して、デーモンのコンテナイメージ、リソース要件、および設定を指定します。

デーモンタスク定義の作成

AWS マネジメントコンソール または AWS CLI を使用してデーモンタスク定義を作成できます。

AWS マネジメントコンソール を使用する場合

AWS CLI を使用する場合

JSON ファイルを作成し、register-daemon-task-definition コマンドを使用して、デーモンタスク定義を登録します。

JSON ファイルの例を次に示します:

{
    "family": "my-daemon-task",
    "containerDefinitions": [
        {
            "name": "daemon-container",
            "image": "public.ecr.aws/docker/library/busybox:latest",
            "essential": true,
            "command": ["sh", "-c", "while true; do echo 'Daemon running'; sleep 30; done"],
            "memoryReservation": 512
        }
    ]
}

次のコマンドを実行して、デーモンタスク定義を登録します:

aws ecs register-daemon-task-definition --cli-input-json file://daemon-taskdef.json

デーモンタスク定義パラメータ

デーモンタスク定義を登録するときは、次のパラメータを使用できます。

必須パラメータ

任意指定のパラメータ

ネットワークモード

デーモンは、Amazon ECS が自動的に設定する特別な daemon_bridge ネットワークモードを使用します。デーモンタスク定義でネットワークモードを指定することはできません。インスタンス上のすべてのデーモンは、単一のネットワーク名前空間を共有し、静的デーモンブリッジ IP アドレス (IPv4 の場合は 169.254.172.2、IPv6 の場合は fd00:ec2::172:2) を介してローカルにアクセスできます。アプリケーションタスク (デーモン以外) は、追加のネットワーク設定なしで、このアドレスでデーモンと通信できます。

デーモンはアプリケーションタスクとは別のネットワーク名前空間で実行されるため、デーモン以外のタスクはデーモンとのポート競合について心配する必要はありません。ただし、すべてのデーモンタスクが同じ名前空間を共有するため、同じインスタンス上のデーモンを同じポートにバインドすることはできません。複数のデーモンをデプロイする場合は、各デーモンが一意のポートを使用していることを確認します。

特権機能

Amazon ECS マネージドインスタンスでは、デーモンはシステムレベルのオペレーションのための特権 Linux 機能をサポートしています。セキュリティエージェント、ネットワークモニタリングツール、オブザーバビリティエージェントは、多くの場合、正しく機能するためにカーネルレベルのアクセスを必要とします。

機能を付与するには、次の 2 つの方法があります:

フル特権モードでは、すべての Linux 機能がコンテナに付与されます。エージェントが広範なシステムアクセスを必要とする場合に使用します:

{
    "containerDefinitions": [{
        "name": "security-daemon",
        "image": "my-security-agent:latest",
        "privileged": true
    }]
}

個々の機能は、最小特権の原則に従って、デーモンに必要なアクセス許可のみを付与します。linuxParameters.capabilities フィールドを使用して、SYS_ADMIN、NET_ADMIN、SYS_PTRACE、BPF、PERFMON などの個々の機能を追加します。

{
    "containerDefinitions": [{
        "name": "monitoring-daemon",
        "image": "my-monitoring-agent:latest",
        "linuxParameters": {
            "capabilities": {
                "add": ["NET_ADMIN", "SYS_PTRACE"]
            }
        }
    }]
}

PID と IPC 名前空間の共有

Amazon ECS マネージドインスタンスでは、デーモンは PID および IPC 名前空間の共有に対応し、アプリケーションタスクプロセスまたは IPC リソースの可視性を必要とするセキュリティエージェント、モニタリングツール、オブザーバビリティデーモンなどのユースケースを可能にします。

次の例は、PID と IPC の両方の名前空間の共有が有効になっているデーモンタスク定義を示しています。

{
    "family": "my-monitoring-daemon",
    "pidMode": "shared",
    "ipcMode": "shared",
    "containerDefinitions": [
        {
            "name": "monitoring-agent",
            "image": "public.ecr.aws/my-company/monitoring-agent:latest",
            "essential": true
        }
    ]
}

PID 名前空間を、pidMode が shared に設定されているデーモンと共有するには、デーモン以外のタスクがタスク定義で pidMode: "host" を指定する必要があります。これにより、タスクのコンテナはデーモンのプロセスを表示することができ、プロセスのモニタリングやシグナル配信などのユースケースが可能になります。

IPC 名前空間を、ipcMode が shared に設定されているデーモンと共有するには、デーモン以外のタスクがタスク定義で ipcMode: "host" を指定する必要があります。これにより、タスクのコンテナは、共有メモリセグメントやメッセージキューなどのデーモンの IPC リソースにアクセスできるようになります。

ボリューム

マネージドデーモンは、sourcePath 仕様を持つホストボリュームを使用したバインドマウントをサポートします。これにより、デーモンコンテナはホストディレクトリをマウントして、基盤となる Amazon EC2 インスタンスのログ、メトリクス、およびシステム情報にアクセスできます。ログ収集エージェント、メトリクスエクスポーター、およびセキュリティスキャナーは、一般的にこれを使用してホストレベルのデータを可視化します。

デーモンタスク定義は、sourcePath でホストボリュームの仕様をサポートしています。デーモンボリュームは、基盤となるコンテナインスタンスのライフサイクルの間、保持されます。

次の例は、バインドマウントを持つログコレクターデーモンを示しています。

{
    "containerDefinitions": [{
        "name": "log-collector",
        "image": "fluent/fluentd:latest",
        "mountPoints": [{
            "sourceVolume": "var-log",
            "containerPath": "/var/log"
        }]
    }],
    "volumes": [{
        "name": "var-log",
        "host": {
            "sourcePath": "/var/log"
        }
    }]
}

サポートされているコンテナパラメータ

デーモンコンテナ定義は、次のパラメータをサポートしています: