本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

常駐程式任務定義

協助程式任務定義是協助程式的藍圖。Amazon ECS 受管協助程式使用專用協助程式任務定義資源，與標準 Amazon ECS 任務定義不同。您可以註冊協助程式任務定義，以指定協助程式的容器映像、資源需求和組態。

建立協助程式任務定義

您可以使用 AWS 管理主控台 或 建立協助程式任務定義 AWS CLI。

使用 AWS 管理主控台

使用 AWS CLI

建立 JSON 檔案並使用 register-daemon-task-definition命令註冊協助程式任務定義。

以下是範例 JSON 檔案：

{
    "family": "my-daemon-task",
    "containerDefinitions": [
        {
            "name": "daemon-container",
            "image": "public.ecr.aws/docker/library/busybox:latest",
            "essential": true,
            "command": ["sh", "-c", "while true; do echo 'Daemon running'; sleep 30; done"],
            "memoryReservation": 512
        }
    ]
}

執行下列命令來註冊協助程式任務定義：

aws ecs register-daemon-task-definition --cli-input-json file://daemon-taskdef.json

協助程式任務定義參數

您可以在註冊協助程式任務定義時使用下列參數。

必要參數

選用參數

網路模式

協助程式使用 Amazon ECS 自動設定的特殊daemon_bridge網路模式。您無法在協助程式任務定義中指定網路模式。執行個體上的所有協助程式共用單一網路命名空間，且可透過靜態協助程式橋接 IP 地址 (169.254.172.2適用於 IPv4 或fd00:ec2::172:2適用於 IPv6) 在本機存取。應用程式任務 （非協助程式） 可以與此地址的協助程式通訊，而無需額外的網路組態。

由於協助程式會在與應用程式任務不同的網路命名空間中執行，因此非協助程式任務不需要擔心連接埠與協助程式的衝突。不過，由於所有協助程式任務共用相同的命名空間，因此同一執行個體上的協助程式無法繫結至相同的連接埠。部署多個協助程式時，請確保每個協助程式使用唯一的連接埠。

特殊權限功能

在 Amazon ECS 受管執行個體上，協助程式支援系統層級操作的特權 Linux 功能。安全代理程式、網路監控工具和可觀測性代理程式通常需要核心層級的存取權才能正確運作。

您可以透過兩種方式授予 功能：

完整權限模式會將所有 Linux 功能授予容器。當您的代理程式需要廣泛的系統存取時，請使用此選項：

{
    "containerDefinitions": [{
        "name": "security-daemon",
        "image": "my-security-agent:latest",
        "privileged": true
    }]
}

個別功能僅授予協助程式所需的許可，並遵循最低權限原則。使用 linuxParameters.capabilities 欄位來新增個別功能，例如 SYS_ADMIN、NET_ADMIN、BPF、 SYS_PTRACE和 PERFMON：

{
    "containerDefinitions": [{
        "name": "monitoring-daemon",
        "image": "my-monitoring-agent:latest",
        "linuxParameters": {
            "capabilities": {
                "add": ["NET_ADMIN", "SYS_PTRACE"]
            }
        }
    }]
}

PID 和 IPC 命名空間共用

在 Amazon ECS 受管執行個體上，協助程式支援 PID 和 IPC 命名空間共用，以啟用需要應用程式任務程序或 IPC 資源可見性的使用案例，例如安全代理程式、監控工具和可觀測性協助程式。

下列範例顯示同時啟用 PID 和 IPC 命名空間共用的協助程式任務定義：

{
    "family": "my-monitoring-daemon",
    "pidMode": "shared",
    "ipcMode": "shared",
    "containerDefinitions": [
        {
            "name": "monitoring-agent",
            "image": "public.ecr.aws/my-company/monitoring-agent:latest",
            "essential": true
        }
    ]
}

若要與已pidMode設為 的協助程式共用 PID 命名空間shared，非協助程式任務必須在其任務定義pidMode: "host"中指定 。這可讓任務的容器查看協助程式的程序，並啟用程序監控和訊號交付等使用案例。

若要與已ipcMode設為 的協助程式共用 IPC 命名空間shared，非協助程式任務必須在其任務定義ipcMode: "host"中指定 。這可讓任務的容器存取協助程式的 IPC 資源，例如共用記憶體區段和訊息佇列。

磁碟區

Managed Daemons 支援使用具有sourcePath規格的主機磁碟區來繫結掛載。這可讓協助程式容器掛載主機目錄，以存取基礎 Amazon EC2 執行個體上的日誌、指標和系統資訊。日誌收集代理程式、指標匯出程式和安全掃描器通常會使用此工具來取得主機層級資料的可見性。

協助程式任務定義支援使用 的主機磁碟區規格sourcePath。協助程式磁碟區會在基礎容器執行個體的生命週期內持續存在。

下列範例顯示具有綁定掛載的日誌收集器協助程式：

{
    "containerDefinitions": [{
        "name": "log-collector",
        "image": "fluent/fluentd:latest",
        "mountPoints": [{
            "sourceVolume": "var-log",
            "containerPath": "/var/log"
        }]
    }],
    "volumes": [{
        "name": "var-log",
        "host": {
            "sourcePath": "/var/log"
        }
    }]
}

支援的容器參數

協助程式容器定義支援下列參數：