Clústeres de ECS, definiciones de tareas y servicios

Los contenedores empaquetan una aplicación y todas sus dependencias en una unidad portátil y aislada que se ejecuta de forma uniforme en distintos entornos. Amazon ECS (Elastic Container Service) es el servicio de orquestación de contenedores totalmente administrado de AWS, que ejecuta contenedores de Docker sin que tenga que administrar un plano de control. ECS se integra estrechamente con los servicios de AWS (IAM, ALB, CloudWatch, Secrets Manager) y es la forma recomendada de ejecutar contenedores en AWS sin la complejidad de Kubernetes.

Un ECS Cluster es una agrupación lógica de recursos informáticos donde se ejecutan los contenedores. Un clúster puede contener instancias de EC2 (tipo de lanzamiento EC2), capacidad de Fargate (tipo de lanzamiento Fargate) o ambas. Puede tener varios servicios y tareas independientes en un mismo clúster. Los clústeres son regionales, pero abarcan varias zonas de disponibilidad. Un patrón habitual es tener un clúster por entorno (desarrollo, preparación y producción), con varios servicios dentro de cada clúster para distintos microservicios.

Una Task Definition es el plano de referencia para ejecutar contenedores en ECS, equivalente a un archivo de Docker Compose. Especifica: imágenes de contenedor (URI de ECR o Docker Hub), asignaciones de CPU y memoria, mapeos de puertos, variables de entorno, configuración de registro, volúmenes y el rol de tarea de IAM. Una definición de tareas tiene versiones; cada revisión es inmutable. Puede definir varios contenedores por tarea para implementar patrones sidecar (aplicación principal + reenviador de registros + agente de monitorización).

Las tareas de ECS usan dos roles de IAM independientes con propósitos distintos. El Task Execution Role lo utiliza el agente de ECS para extraer imágenes de contenedor de ECR, enviar registros a CloudWatch y recuperar secretos de Secrets Manager o Parameter Store durante el inicio de la tarea. El Task Role lo utiliza el código de la aplicación que se ejecuta dentro del contenedor para llamar a servicios de AWS (S3, DynamoDB, SQS). Asigne siempre permisos de mínimo privilegio a cada rol por separado; nunca conceda al rol de ejecución permisos que la aplicación no necesite.

Un ECS Service mantiene un número especificado de instancias de tareas ejecutándose simultáneamente (el desired count). Si una tarea falla o se detiene, el programador del servicio lanza automáticamente un reemplazo. Los servicios también se integran con Elastic Load Balancing para distribuir el tráfico y admiten implementaciones progresivas y blue/green. Use un servicio para cualquier proceso de larga duración (servidor web, servidor de API o proceso en segundo plano). Para trabajos puntuales, ejecute una tarea independiente.

El modo de red awsvpc proporciona a cada tarea de ECS su propia interfaz de red elástica (ENI) y dirección IP privada dentro de su VPC, igual que una instancia de EC2. Esto permite un control detallado de los grupos de seguridad por tarea y es obligatorio para las tareas de Fargate. El modo de red bridge utiliza la red virtual integrada de Docker en el host, con un mapeo de puertos del host al contenedor; comparte la ENI de la instancia de EC2 del host. Para el examen SAA-C03, Fargate siempre utiliza awsvpc; el tipo de lanzamiento EC2 puede utilizar cualquiera de los dos.

Registre su servicio de ECS en un grupo de destino de ALB para distribuir el tráfico entre las instancias de tareas. Cuando se inicia una tarea nueva, ECS la registra automáticamente en el grupo de destino; cuando se detiene, ECS la elimina del registro. Configure un periodo de gracia para la comprobación de estado (por ejemplo, de 60 a 120 segundos) para dar tiempo a los contenedores a iniciarse antes de ejecutar las comprobaciones de estado. Sin un periodo de gracia, el ALB podría marcar como incorrecto un contenedor de inicio lento antes de que estuviera listo, lo que provocaría ciclos de reemplazo.

Los servicios de ECS admiten dos estrategias de implementación: Rolling Update reemplaza gradualmente las tareas antiguas por nuevas; se configura mediante minimumHealthyPercent (límite inferior) y maximumPercent (límite superior). Establecer 100/200 significa que las tareas antiguas se ejecutan mientras se inician las nuevas (se requiere un 100 % de estado saludable, con hasta un 200 % de capacidad). La implementación blue/green (mediante AWS CodeDeploy) crea un nuevo conjunto de tareas junto al antiguo, desvía el tráfico gradualmente mediante el enrutamiento ponderado del ALB y termina las tareas antiguas después de la validación. Blue/green permite revertir los cambios sin tiempo de inactividad.

Configure el controlador de registros awslogs en la definición de tareas para enviar directamente la salida estándar y el error estándar del contenedor a CloudWatch Logs. Especifique un grupo de registros, una región y un prefijo de flujo. El rol de ejecución de la tarea necesita los permisos logs:CreateLogStream y logs:PutLogEvents. Para centralizar los registros de varios servicios, considere usar FireLens (un contenedor sidecar con Fluent Bit o Fluentd) para dirigirlos a S3, OpenSearch o sistemas de registro de terceros.

Cuando los microservicios de ECS necesitan comunicarse entre sí, las direcciones IP codificadas no funcionan porque las tareas son efímeras y obtienen nuevas IP en cada lanzamiento. Use AWS Cloud Map (detección de servicios de ECS) para registrar la IP y el puerto de cada tarea en un espacio de nombres DNS. Otros servicios resuelven myservice.namespace.local en las IP actuales de las tareas saludables. ECS registra automáticamente las tareas nuevas y elimina del registro las que fallan, manteniendo actualizados los registros DNS sin gestión manual.

No codifique nunca las credenciales directamente en las definiciones de tareas. En su lugar, haga referencia a secretos de Secrets Manager o Parameter Store en la definición de tareas; ECS los inyecta como variables de entorno al iniciar la tarea. El rol de ejecución de la tarea debe tener permisos para recuperar los secretos. Para Secrets Manager, use secretsmanager:GetSecretValue; para Parameter Store, use ssm:GetParameters. Los secretos se recuperan una vez al iniciar el contenedor; para que los nuevos valores surtan efecto después de rotarlos, es necesario reemplazar la tarea.

Compruebe su comprensión de los conceptos de AWS Solutions Architect (SAA-C03) tratados en esta lección.

En esta lección ha aprendido que los ECS Clusters agrupan los recursos informáticos donde se ejecutan las tareas; las Task Definitions definen las imágenes de contenedor, la CPU y la memoria, los roles y el registro como planos de referencia versionados; y los ECS Services mantienen el número de tareas deseado, se integran con ALB para distribuir el tráfico y admiten implementaciones progresivas o blue/green. A continuación compararemos el tipo de lanzamiento EC2 con el tipo de lanzamiento Fargate sin servidor.