进程守护程序任务定义

进程守护程序任务定义是您的进程守护程序的蓝图。Amazon ECS 托管进程守护程序使用专用的进程守护程序任务定义资源，这与标准的 Amazon ECS 任务定义不同。您可以注册进程守护程序任务定义来指定进程守护程序的容器映像、资源要求和配置。

创建进程守护程序任务定义

您可以使用 AWS 管理控制台 或 AWS CLI 创建进程守护程序任务定义。

使用 AWS 管理控制台

使用 AWS CLI

通过创建 JSON 文件并使用 register-daemon-task-definition 命令来注册进程守护程序任务定义。

以下是示例 JSON 文件：

{
    "family": "my-daemon-task",
    "containerDefinitions": [
        {
            "name": "daemon-container",
            "image": "public.ecr.aws/docker/library/busybox:latest",
            "essential": true,
            "command": ["sh", "-c", "while true; do echo 'Daemon running'; sleep 30; done"],
            "memoryReservation": 512
        }
    ]
}

运行以下命令注册进程守护程序任务定义：

aws ecs register-daemon-task-definition --cli-input-json file://daemon-taskdef.json

进程守护程序任务定义参数

注册进程守护程序任务定义时，您可以使用以下参数。

必填参数

可选参数

网络模式

进程守护程序使用 Amazon ECS 自动设置的特殊 daemon_bridge 网络模式。您不能在进程守护程序任务定义中指定网络模式。实例上的所有进程守护程序共享一个网络命名空间，并且可以通过静态进程守护程序桥接 IP 地址（IPv4 为 169.254.172.2 或 IPv6 为 fd00:ec2::172:2）进行本地访问。应用程序任务（非进程守护程序）可以在此地址与进程守护程序通信，无需进行额外的网络配置。

由于进程守护程序在与应用程序任务不同的网络命名空间中运行，因此非进程守护程序任务无需担心与进程守护程序的端口冲突。然而，由于所有进程守护程序任务共享同一个命名空间，因此同一实例中的进程守护程序不能绑定到相同的端口。部署多个进程守护程序时，请确保每个进程守护程序使用唯一的端口。

特权功能

在 Amazon ECS 托管实例上，进程守护程序支持用于系统级操作的特权 Linux 功能。安全代理、网络监控工具和可观测性代理通常需要内核级别的访问权限才能正常运行。

您可以通过两种方式授予功能：

完全特权模式向容器授予所有 Linux 功能。当您的代理需要广泛的系统访问权限时，请使用此选项：

{
    "containerDefinitions": [{
        "name": "security-daemon",
        "image": "my-security-agent:latest",
        "privileged": true
    }]
}

单个功能仅根据最低权限原则授予您的进程守护程序需要的权限。使用 linuxParameters.capabilities 字段添加各项功能，如 SYS_ADMIN、NET_ADMIN、SYS_PTRACE、BPF 和 PERFMON：

{
    "containerDefinitions": [{
        "name": "monitoring-daemon",
        "image": "my-monitoring-agent:latest",
        "linuxParameters": {
            "capabilities": {
                "add": ["NET_ADMIN", "SYS_PTRACE"]
            }
        }
    }]
}

PID 和 IPC 命名空间共享

在 Amazon ECS 托管实例上，进程守护程序支持 PID 和 IPC 命名空间共享，从而支持需要查看应用程序任务进程或 IPC 资源的用例，例如安全代理、监控工具和可观测性守护程序。

以下示例显示了同时启用 PID 与 IPC 命名空间共享的进程守护程序任务定义：

{
    "family": "my-monitoring-daemon",
    "pidMode": "shared",
    "ipcMode": "shared",
    "containerDefinitions": [
        {
            "name": "monitoring-agent",
            "image": "public.ecr.aws/my-company/monitoring-agent:latest",
            "essential": true
        }
    ]
}

要与 pidMode 设置为 shared 的进程守护程序共享 PID 命名空间，非进程守护程序任务必须在其任务定义中指定 pidMode: "host"。这样任务的容器就可以查看进程守护程序的进程，并支持诸如进程监控和信号传递之类的用例。

要与 ipcMode 设置为 shared 的进程守护程序共享 IPC 命名空间，非进程守护程序任务必须在其任务定义中指定 ipcMode: "host"。这样任务的容器就可以访问进程守护程序的 IPC 资源，例如共享内存段和消息队列。

卷

托管进程守护程序支持使用具有 sourcePath 规范的主机卷进行绑定挂载。这允许进程守护程序容器挂载主机目录，以访问底层 Amazon EC2 实例上的日志、指标和系统信息。日志收集代理、指标导出器和安全扫描程序通常会利用此功能来获取主机层面的数据信息。

进程守护程序任务定义支持具有 sourcePath 的主机卷规范。进程守护程序卷在底层容器实例的生命周期内持续存在。

以下示例展示了一个带有绑定挂载的日志收集进程守护程序：

{
    "containerDefinitions": [{
        "name": "log-collector",
        "image": "fluent/fluentd:latest",
        "mountPoints": [{
            "sourceVolume": "var-log",
            "containerPath": "/var/log"
        }]
    }],
    "volumes": [{
        "name": "var-log",
        "host": {
            "sourcePath": "/var/log"
        }
    }]
}

支持的容器参数

进程守护程序容器定义支持以下参数：