대몬 태스크 정의

대몬 태스크 정의는 대몬의 블루프린트입니다. Amazon ECS Managed Daemons는 표준 Amazon ECS 태스크 정의와는 다른 전용 대몬 태스크 정의 리소스를 사용합니다. 대몬 태스크 정의를 등록하여 대몬의 컨테이너 이미지, 리소스 요구 사항 및 구성을 지정합니다.

대몬 태스크 정의 생성

AWS Management Console 또는 AWS CLI를 사용하여 대몬 태스크 정의를 생성할 수 있습니다.

AWS Management Console 사용

AWS CLI 사용

JSON 파일을 생성하고 register-daemon-task-definition 명령을 사용하여 대몬 태스크 정의를 등록합니다.

예제 JSON 파일:

{
    "family": "my-daemon-task",
    "containerDefinitions": [
        {
            "name": "daemon-container",
            "image": "public.ecr.aws/docker/library/busybox:latest",
            "essential": true,
            "command": ["sh", "-c", "while true; do echo 'Daemon running'; sleep 30; done"],
            "memoryReservation": 512
        }
    ]
}

다음 명령을 실행하여 대몬 태스크 정의 등록:

aws ecs register-daemon-task-definition --cli-input-json file://daemon-taskdef.json

대몬 태스크 정의 파라미터

대몬 태스크 정의를 등록할 때 다음 파라미터를 사용할 수 있습니다.

필수 파라미터

선택적 파라미터

네트워크 모드

대몬은 Amazon ECS가 자동으로 설정하는 특수 daemon_bridge 네트워크 모드를 사용합니다. 대몬 태스크 정의에서 네트워크 모드를 지정할 수 없습니다. 인스턴스의 모든 대몬은 단일 네트워크 네임스페이스를 공유하고 정적 대몬 브리지 IP 주소(IPv4의 경우 169.254.172.2, IPv6의 경우 fd00:ec2::172:2)를 통해 로컬에서 액세스할 수 있습니다. 애플리케이션 태스크(대몬이 아님)는 추가 네트워크 구성 없이 이 주소의 대몬과 통신할 수 있습니다.

대몬은 애플리케이션 태스크와는 별도의 네트워크 네임스페이스에서 실행되므로 대몬이 아닌 태스크는 대몬과의 포트 충돌에 대해 걱정할 필요가 없습니다. 하지만 모든 대몬 태스크는 동일한 네임스페이스를 공유하므로 동일한 인스턴스의 대몬은 동일한 포트에 바인딩할 수 없습니다. 여러 대몬을 배포할 때 각 대몬이 고유한 포트를 사용해야 합니다.

권한 있는 기능

Amazon ECS 관리형 인스턴스에서 대몬은 시스템 수준 작업에 대해 권한 있는 Linux 기능을 지원합니다. 보안 에이전트, 네트워크 모니터링 도구 및 관찰성 에이전트가 제대로 작동하려면 커널 수준 액세스가 필요한 경우가 많습니다.

다음 두 가지 방법으로 기능 권한을 부여할 수 있습니다.

전체 권한 모드는 컨테이너에 모든 Linux 기능을 부여합니다. 에이전트에 광범위한 시스템 액세스가 필요한 경우 이 옵션을 사용합니다.

{
    "containerDefinitions": [{
        "name": "security-daemon",
        "image": "my-security-agent:latest",
        "privileged": true
    }]
}

개별 기능은 최소 권한 원칙에 따라 대몬에 필요한 권한만 부여합니다. linuxParameters.capabilities 필드를 사용하여 SYS_ADMIN, NET_ADMIN, SYS_PTRACE, BPF, PERFMON 등의 개별 기능을 추가합니다.

{
    "containerDefinitions": [{
        "name": "monitoring-daemon",
        "image": "my-monitoring-agent:latest",
        "linuxParameters": {
            "capabilities": {
                "add": ["NET_ADMIN", "SYS_PTRACE"]
            }
        }
    }]
}

PID 및 IPC 네임스페이스 공유

Amazon ECS 관리형 인스턴스에서 대몬은 PID 및 IPC 네임스페이스 공유를 지원하여 애플리케이션 태스크 프로세스 또는 IPC 리소스에 대한 가시성이 필요한 보안 에이전트, 모니터링 도구 및 관찰성 대몬과 같은 사용 사례를 가능하게 합니다.

다음 예제는 PID 및 IPC 네임스페이스 공유가 모두 활성화된 대몬 태스크 정의를 보여줍니다.

{
    "family": "my-monitoring-daemon",
    "pidMode": "shared",
    "ipcMode": "shared",
    "containerDefinitions": [
        {
            "name": "monitoring-agent",
            "image": "public.ecr.aws/my-company/monitoring-agent:latest",
            "essential": true
        }
    ]
}

pidMode가 shared로 설정된 대몬과 PID 네임스페이스를 공유하려면 비대몬 태스크는 태스크 정의에 pidMode: "host"를 지정해야 합니다. 이렇게 하면 태스크의 컨테이너가 대몬의 프로세스를 보고 프로세스 모니터링, 신호 전송 등의 사용 사례를 사용할 수 있습니다.

ipcMode가 shared로 설정된 대몬과 IPC 네임스페이스를 공유하려면 비대몬 태스크는 태스크 정의에 ipcMode: "host"를 지정해야 합니다. 이렇게 하면 태스크의 컨테이너가 공유 메모리 세그먼트, 메시지 대기열 등의 대몬의 IPC 리소스에 액세스할 수 있습니다.

볼륨

Managed Daemons는 sourcePath가 지정된 호스트 볼륨을 사용하는 바인드 탑재를 지원합니다. 이를 통해 대몬 컨테이너는 호스트 디렉터리를 탑재하여 기본 Amazon EC2 인스턴스의 로그, 지표 및 시스템 정보에 액세스할 수 있습니다. 로그 수집 에이전트, 지표 내보내기 및 보안 스캐너는 일반적으로 이를 사용하여 호스트 수준 데이터에 대한 가시성을 확보합니다.

대몬 태스크 정의는 sourcePath에서 호스트 볼륨 사양을 지원합니다. 대몬 볼륨은 기본 컨테이너 인스턴스의 수명 주기 동안 유지됩니다.

다음 예제는 바인드 탑재가 있는 로그 수집기 대몬을 보여줍니다.

{
    "containerDefinitions": [{
        "name": "log-collector",
        "image": "fluent/fluentd:latest",
        "mountPoints": [{
            "sourceVolume": "var-log",
            "containerPath": "/var/log"
        }]
    }],
    "volumes": [{
        "name": "var-log",
        "host": {
            "sourcePath": "/var/log"
        }
    }]
}

지원되는 컨테이너 파라미터

대몬 컨테이너 정의에서 정의하는 파라미터: