Definições de tarefa do daemon

Uma definição de tarefa de daemon é o esquema para o seu daemon. Os Daemons Gerenciados do Amazon ECS utilizam um recurso de definição de tarefa de daemon dedicado, distinto das definições de tarefa padrão do Amazon ECS. Você registra uma definição de tarefa de daemon para especificar a imagem do contêiner, os requisitos de recursos e a configuração do seu daemon.

Criação de uma definição de tarefa de daemon

Você pode criar uma definição de tarefa de daemon usando o Console de gerenciamento da AWS ou a AWS CLI.

Utilização do Console de gerenciamento da AWS

Como usar o AWS CLI

Registre uma definição de tarefa de daemon criando um arquivo JSON e usando o comando register-daemon-task-definition.

A seguir, um exemplo de arquivo JSON:

{
    "family": "my-daemon-task",
    "containerDefinitions": [
        {
            "name": "daemon-container",
            "image": "public.ecr.aws/docker/library/busybox:latest",
            "essential": true,
            "command": ["sh", "-c", "while true; do echo 'Daemon running'; sleep 30; done"],
            "memoryReservation": 512
        }
    ]
}

Execute o seguinte comando para registrar a definição da tarefa do daemon:

aws ecs register-daemon-task-definition --cli-input-json file://daemon-taskdef.json

Parâmetros de definição da tarefa do daemon

Você pode usar os seguintes parâmetros ao registrar uma definição de tarefa de daemon.

Parâmetros obrigatórios

Parâmetros opcionais

Modo de rede

Os daemons utilizam um modo de rede especial daemon_bridge que o Amazon ECS configura automaticamente. Não é possível especificar um modo de rede na definição da tarefa do daemon. Todos os daemons em uma instância compartilham um único namespace de rede e podem ser acessados localmente por meio de um endereço IP estático da ponte de daemons (169.254.172.2 para IPv4 ou fd00:ec2::172:2 para IPv6). As aplicações (que não sejam daemons) podem se comunicar com os daemons nesse endereço sem necessidade de configuração adicional de rede.

Como os daemons são executados em um namespace de rede separado das tarefas de aplicações, as tarefas que não são daemons não precisam se preocupar com conflitos de porta com os daemons. No entanto, como todas as tarefas de daemon compartilham o mesmo namespace, os daemons na mesma instância não podem se conectar à mesma porta. Ao realizar a implantação de vários daemons, certifique-se de que cada um utilize uma porta exclusiva.

Recursos privilegiados

Nas instâncias gerenciadas do Amazon ECS, os daemons oferecem suporte a recursos privilegiados do Linux para operações em nível de sistema. Para funcionar corretamente, os agentes de segurança, as ferramentas de monitoramento de rede e os agentes de observabilidade necessitam de acesso ao nível do kernel.

Você pode conceder permissões de duas maneiras:

Modo com privilégios totais concede todos os recursos do Linux ao contêiner. Use isso quando o acesso ao sistema for necessário para seu agente:

{
    "containerDefinitions": [{
        "name": "security-daemon",
        "image": "my-security-agent:latest",
        "privileged": true
    }]
}

Capacidades individuais concede apenas as permissões de que seu daemon precisa, seguindo o princípio do privilégio mínimo. Use o campo linuxParameters.capabilities para adicionar recursos individuais, como SYS_ADMIN, NET_ADMIN, SYS_PTRACE, BPF e PERFMON:

{
    "containerDefinitions": [{
        "name": "monitoring-daemon",
        "image": "my-monitoring-agent:latest",
        "linuxParameters": {
            "capabilities": {
                "add": ["NET_ADMIN", "SYS_PTRACE"]
            }
        }
    }]
}

Compartilhamento de namespace PID e IPC

Em instâncias gerenciadas do Amazon ECS, os daemons oferecem suporte ao compartilhamento de namespaces PID e IPC para permitir casos de uso como agentes de segurança, ferramentas de monitoramento e daemons de observabilidade que precisam de visibilidade dos processos de tarefas do aplicativo ou dos recursos de IPC.

O exemplo a seguir mostra uma definição de tarefa de daemon com o compartilhamento de namespace PID e IPC ativado:

{
    "family": "my-monitoring-daemon",
    "pidMode": "shared",
    "ipcMode": "shared",
    "containerDefinitions": [
        {
            "name": "monitoring-agent",
            "image": "public.ecr.aws/my-company/monitoring-agent:latest",
            "essential": true
        }
    ]
}

Para compartilhar o namespace PID com um daemon que tenha pidMode definido como shared, uma tarefa que não pertence ao daemon precisa especificar pidMode: "host" em sua definição de tarefa. Isso permite que os contêineres da tarefa visualizem os processos do daemon e possibilita casos de uso como monitoramento de processos e entrega de sinais.

Para compartilhar o namespace IPC com um daemon que tenha ipcMode definido como shared, uma tarefa que não pertence ao daemon precisa especificar ipcMode: "host" em sua definição de tarefa. Isso permite que os contêineres da tarefa acessem os recursos IPC do daemon, como segmentos de memória compartilhada e filas de mensagens.

Volumes

Os Daemons gerenciados oferecem suporte a montagens bind utilizando volumes do host com uma especificação sourcePath. Isso permite que os contêineres de daemon montem diretórios do host para acessar logs, métricas e informações do sistema na instância do Amazon EC2 subjacente. Agentes de coleta de logs, exportadores de métricas e scanners de segurança costumam utilizar isso para obter visibilidade dos dados no nível do host.

A definição da tarefa do daemon suporta especificações de volume do host com sourcePath. Os volumes do Daemon permanecem ativos durante todo o ciclo de vida da instância do contêiner subjacente.

O exemplo a seguir mostra um daemon coletor de logs com uma montagem de vinculação:

{
    "containerDefinitions": [{
        "name": "log-collector",
        "image": "fluent/fluentd:latest",
        "mountPoints": [{
            "sourceVolume": "var-log",
            "containerPath": "/var/log"
        }]
    }],
    "volumes": [{
        "name": "var-log",
        "host": {
            "sourcePath": "/var/log"
        }
    }]
}

Parâmetros de contêineres compatíveis

As definições de contêineres de daemon suportam os seguintes parâmetros: