从 Amazon Linux 2 迁移到 Amazon Linux 2023 Amazon ECS 优化版 AMI

继 Amazon Linux 之后，Amazon ECS 将于 2026 年 6 月 30 日起终止对 Amazon Linux 2 Amazon ECS 优化版 AMI 的标准支持。在此日期之后，Amazon ECS 代理版本将被固定，新的 Amazon Linux 2 Amazon ECS 优化版 AMI 只有在源 Amazon Linux 2 AMI 更新后才会发布。生命周期终止（EOL）于 2026 年 6 月 30 日生效，之后即使源 AMI 已更新，也不会再发布 Amazon ECS 优化版 Amazon Linux 2 AMI。

Amazon Linux 2023 提供了默认安全方法，包括预配置的安全策略、允许模式下的 SELinux、默认启用仅 IMDSv2 模式、优化的启动时间以及改进的程序包管理，增强了安全性和性能。

Amazon Linux 2 和 Amazon Linux 2023 Amazon ECS 优化版 AMI 之间高度兼容，大多数客户在使用这两个操作系统时所感受到的工作负载变化将微乎其微。

有关更多信息，请参阅《Amazon Linux 2023 用户指南》中的比较 Amazon Linux 2 与 Amazon Linux 2023 以及 AL2023 常见问题。

兼容性注意事项

程序包管理和操作系统更新

与之前版本的 Amazon Linux 不同，Amazon ECS 优化版 Amazon Linux 2023 AMI 被锁定到特定版本的 Amazon Linux 存储库。这可以防止用户无意中更新可能引入不需要的更改或重大更改的程序包。有关更多信息，请参阅《Amazon Linux 2023 用户指南》中的 Managing repositories and OS updates in Amazon Linux 2023。

Linux 内核版本

Amazon Linux 2 AMI 基于 Linux 内核 4.14 和 5.10，而 Amazon Linux 2023 使用 Linux 内核 6.1 和 6.12。有关更多信息，请参阅《Amazon Linux 2023 用户指南》中的 Comparing Amazon Linux 2 and Amazon Linux 2023 kernels。

程序包可用性更改

以下是 Amazon Linux 2023 中值得注意的程序包更改：

控制组（cgroup）更改

控制组（cgroup）是 Linux 内核的一项功能，用于分层组织进程并在进程之间分配系统资源。控制组被广泛用于通过 systemd 实现容器运行时系统。

Amazon Linux 2023 默认使用 cgroupv2，而 Amazon Linux 2 使用 cgroupv1。Amazon ECS 代理、Docker 和 containerd 均支持 cgroupv1 和 cgroupv2。有关 cgroupv2 的更多详细信息，请参阅《Amazon Linux 2023 用户指南》中的 Control groups v2 in Amazon Linux 2023。

内存使用情况报告

cgroupv2 改变了容器内存使用量的计算方式。在 cgroupv1（Amazon Linux 2）中，容器运行时报告的容器内存利用率通常不包括页面缓存。在 cgroupv2（Amazon Linux 2023）中，页面缓存包含在报告的内存用量中。与 Amazon Linux 2 相比，相同的工作负载在 Amazon Linux 2023 上可能报告更高的内存利用率，即使实际的应用程序内存消耗没有变更亦是如此。

我们建议在迁移生产工作负载之前对 Amazon Linux 2023 实例的内存用量进行基准测试，并在需要时调整任务和容器内存限制。可以使用 Container Insights 比较 Amazon Linux 2 和 Amazon Linux 2023 之间的内存利用率。

任务内存限制可见性

当您在任务级别设置内存而不设置容器级内存限制时，Amazon ECS 会将该限制应用于任务的 cgroup。这相当于属于该任务的所有容器的有效内存限制。在 cgroupv1 (Amazon Linux 2) 上，子 cgroup 可以在自己的级别上读取有效内存限制。它们不需要遍历 cgroup 层次结构。在 cgroupv2 (Amazon Linux 2023) 上，有效限制对容器不可见。此外，默认情况下，Docker 在私有 cgroup 命名空间中运行容器，这可以防止它们向上遍历 cgroup 层次结构来发现父级的限制。

容器内任何读取 cgroup 内存限制以确定可用内存的进程都将看到已满的主机内存，而不是任务级别的限制。例如，已知 Java 虚拟机 (JVM) 会受到此问题的影响。它使用 cgroup 限制来自动调整堆的大小。当它无法检测到真实限制时，它会过度分配内存，从而增加内存不足 (OOM) 终止的风险。其他读取 cgroup 限制以进行资源决策的运行时或框架也可能会受到类似的影响。

如果任务定义中设置了任务级内存，但未设置容器级memory，则会发生这种情况。

要解决此问题，请选择以下解决方法之一：

设置容器级内存限制（推荐）

在任务定义中显式设置容器级别的 memory 参数，该参数等于任务级内存值。这种方法安全、可靠，无需改变基础设施

启用代理级别的任务内存限制传播

在 Amazon ECS 代理中将 ECS_PROPAGATE_TASK_MEMORY_LIMIT_CGROUPV2 环境变量设置为 true。启用并在 cgroupv2 上时，如果容器还没有明确的容器级内存限制，代理会自动将每个容器的内存限制设置为任务级值。这使得任务内存限制在容器内可见，无需更改任务定义。

您可以在 Amazon EC2 实例上的 Amazon ECS 代理配置文件 (/etc/ecs/ecs.config) 中进行此设置：

ECS_PROPAGATE_TASK_MEMORY_LIMIT_CGROUPV2=true

此选项需要 Amazon ECS 代理版本 1.104.0 或更高版本。它仅适用于使用 cgroupv2 的 Linux 实例。Windows 中不支持此项。

实例元数据服务（IMDS）更改

默认情况下，Amazon Linux 2023 需要实例元数据服务版本 2（IMDSv2）。IMDSv2 可带来多项好处，有助于改善安全状况。它使用面向会话的身份验证方法，需要在简单的 HTTP PUT 请求中创建密钥令牌才能启动会话。会话令牌的有效时间可以介于 1 秒到 6 小时之间。

有关如何从 IMDSv1 过渡到 IMDSv2 的更多信息，请参阅《Amazon EC2 用户指南》中的过渡到使用实例元数据服务版本 2。

如果您想使用 IMDSv1，您仍然可以通过使用实例元数据选项启动属性，手动覆盖设置来做到这一点。

内存交换性更改

Amazon Linux 2023 和 cgroups v2 不支持按容器交换内存。有关更多信息，请参阅 管理 Amazon ECS 上的容器交换内存空间。

FIPS 验证更改

Amazon Linux 2 通过了 FIPS 140-2 认证，Amazon Linux 2023 通过了 FIPS 140-3 认证。

要在 Amazon Linux 2023 上启用 FIPS 模式，请在您的 Amazon EC2 实例上安装必要的程序包，然后按照《Amazon Linux 2023 用户指南》的 Enable FIPS Mode on Amazon Linux 2023 中的说明，完成配置步骤即可。

加速实例支持

Amazon ECS 优化版 Amazon Linux 2023 AMI 同时支持 Neuron 和 GPU 加速实例类型。有关更多信息，请参阅 经 Amazon ECS 优化的 Linux AMI。

构建自定义 AMI

虽然我们建议您迁移到官方支持和发布的 Amazon Linux 2023 Amazon ECS 优化版 AMI，但您可以继续使用用于构建 Amazon ECS 优化版 AMI 的 Linux 变体的开源构建脚本，来构建自定义 Amazon Linux 2 Amazon ECS 优化版 AMI。有关更多信息，请参阅 经 Amazon ECS 优化的 Linux AMI 构建脚本。

迁移策略

我们建议制定和实施包括全面应用程序测试在内的迁移计划。以下各节根据您管理 Amazon ECS 基础设施的方式概述了不同的迁移策略。

使用 Amazon ECS 容量提供程序进行迁移

使用 Amazon EC2 Auto Scaling 组进行迁移

使用手动托管的实例进行迁移