AWS 推出 Amazon ECS Gateway：簡化容器服務入口網路管理

AWS 推出 Amazon ECS Gateway 簡化容器入口網路管理

AWS 正式宣布推出 Amazon ECS Gateway，這是一項全新的帳戶層級資源，要解決平台團隊在 Amazon Elastic Container Service (Amazon ECS) 上管理大量容器化應用時，得為每個服務單獨配置入口網路的瓶頸。過去每新增一個服務，團隊就必須配置並連接 Application Load Balancers (ALBs)、AWS Certificate Manager (ACM) 憑證、AWS WAF Web ACLs 以及安全群組，還得在服務擴展、更新或運作期間，持續讓這些資源保持同步。這種針對單一服務的額外負擔，不只拖慢部署速度，也增加組織內配置漂移的風險。

Amazon ECS Gateway 會動態配置及管理必要的基礎設施，簡化容器化工作負載的入口網路，所有資源都直接建立在使用者的帳戶中。這項工具在平台團隊與應用程式團隊之間建立明確的責任分工。平台團隊負責建立與配置閘道，在單一位置定義組織的網路標準，包括子網路、安全群組、TLS 憑證、監聽器設定及 WAF Web ACLs，再把閘道關聯到一個或多個 ECS 叢集，讓該叢集上執行的服務可以使用。

應用程式團隊自動配置，無需網路專業知識

應用程式團隊只要在建立或更新服務時加入閘道連接器參數，就能選擇加入服務。ECS 會自動配置每個服務所需的資源，包含 ACM 憑證、唯一的 DNS 主機名稱、監聽器規則、目標群組，以及只允許來自 ALB 入站流量的服務安全群組，整個過程不需要網路專業知識。ECS Gateway 使用基於主機的 ALB 路由，最多可讓 25 個服務共用單一 ALB，藉此最佳化基礎設施成本。ECS 管理底層基礎設施的完整生命週期：第一個服務連接時配置第一個 ALB，容量達上限時新增更多 ALB，不再需要時再移除。每個服務都有唯一的 DNS 主機名稱，配置完成後團隊就能直接使用現成的端點。

控制台與 CLI 操作方式

在 ECS 控制台中，平台團隊可以建立閘道並設定其配置。基礎架構角色是 ECS 用來在帳戶中配置及管理網路資源（如 ALBs、安全群組和憑證）所假設的 IAM 角色。建立閘道時需要提供閘道名稱並選擇基礎架構角色，也可以選擇在建立時或稍後，將閘道關聯到 ECS 叢集。使用者可以選擇負載平衡方案，包括公開或 VPC 內部流量路由。在「其他設定」中，可以設定監聽器、連接埠、閘道可擴展到的最大 ALB 數量，以及用來保護 Web 應用程式的 Web ACL。部分設定在閘道建立後無法更改，包括名稱、方案、VPC、子網路、IP 位址類型、監聽器協定和連接埠。

使用 AWS Command Line Interface (AWS CLI) 時，可以呼叫 `CreateGateway`，並提供名稱（在帳戶中必須唯一）、基礎架構角色及配置物件。在服務透過閘道連接器連接之前，不會配置任何基礎設施。建立閘道後，可以檢視詳細配置、閘道路由、負載平衡器及關聯的叢集。接著使用 `AssociateGatewayWithCluster`，讓叢集上的服務可以使用該閘道。若要以程式方式建立及管理 ECS Gateway，包括呼叫 API 和搜尋文件，可以搭配偏好的 AI 編碼工具，使用 AWS MCP Server 及外掛程式。

後端運作機制與容量限制

一個閘道最多可關聯 10,000 個叢集，單一叢集最多支援五個閘道關聯。這種多對多關係讓平台團隊能彈性運用：可以在不同環境間共用閘道，也可以為單一叢集指派多個閘道（例如公開與私有）。平台團隊可以透過選擇哪些閘道關聯到哪些叢集來控制存取，並用 IAM 政策限制誰能向特定叢集部署服務。

應用程式團隊在 `CreateService` 或 `UpdateService` 的每個服務定義中加入閘道連接器。如果現有 ECS 服務已使用自己的負載平衡器，可以呼叫 `UpdateService` 加入閘道連接器，逐步採用 ECS Gateway。兩種入口路徑都能繼續使用，因此在移除現有負載平衡器配置之前，可以先驗證閘道連接。部署時，Amazon ECS 會評估與叢集關聯的閘道，並把服務連接到每個相容的閘道。閘道是否相容，取決於三件事：其存取類型是否符合服務連接器篩選條件、是否與服務位於同一 VPC，以及是否涵蓋服務配置的子網路所使用的所有可用區域。

對於每個連接，Amazon ECS 會把服務分配到有可用容量的 ALB，並配置每個服務的資源：ACM 憑證、唯一的 DNS 主機名稱、將該主機名稱的流量路由到服務目標群組的監聽器規則，以及只允許來自 ALB 安全群組入站流量的服務安全群組。如果現有 ALB 都沒有容量，ECS 會建立新的 ALB（上限為 `maxAlbCount` 所參照的配額）。配置完成後，閘道路由會變成 ACTIVE，服務 URL 就能接收流量。

自動化營運場景與注意事項

ECS Gateway 會自動處理常見的營運場景。重新部署時，ECS 會重新評估閘道關聯：如果自上次部署以來有新的相容閘道被關聯，服務會連接到這些閘道；如果閘道已被解除關聯，服務會斷開連接並移除路由。服務始終反映部署當下叢集閘道的狀態。刪除服務時，ECS 會自動把服務從所有閘道斷開、移除所有閘道路由，並清理所有每個服務的資源。如果服務持有某個 ALB 上的最後一條路由，該 ALB 會被取消配置。

幾項重要注意事項如下。網路方面，ECS Gateway 適用於使用 `awsvpc` 網路模式的所有啟動類型（Amazon ECS EC2、AWS Fargate 和 ECS Managed Instances）的 ECS 服務。服務的可用區域必須是叢集上每個閘道可用區域的子集。閘道 ALB 只會把流量路由到其擁有子網路的可用區域中的任務。建議為同一叢集建立可用區域組合相同的閘道和服務。容量方面，如果已達到 `maxAlbCount` 且沒有 ALB 有可用容量，部署會失敗。`maxAlbCount` 的預設配額上限為 10，應依預期連接的服務數量來規劃 `maxAlbCount` 的設定。可觀測性方面，可以使用 CloudWatch 中具有 TargetGroup 維度的 ALB 指標監控每個服務的流量，用具有 LoadBalancer 維度的指標監控共用 ALB 上的流量。使用 `describe-target-health` 檢查即時目標狀態。可以為 HealthyHostCount、TargetResponseTime 和 HTTPCode_Target_5XX_Count 等指標配置 CloudWatch 警報，並使用基於閘道 ARN 的標籤，讓監控隨 `maxAlbCount` 自動擴展。

Amazon ECS Gateway 現已在所有提供 ECS 服務的商業 AWS 區域推出，且無額外費用。使用者只需為服務連接到閘道時在帳戶中配置的底層基礎設施付費，包括適用的 ALB 費用、CloudWatch 日誌和指標、ACM 憑證以及資料傳輸費用。若想了解更多資訊，可以瀏覽 Amazon ECS Pricing 頁面。使用者可以在 ECS 控制台中建立第一個閘道，並透過 AWS re:Post for ECS 或一般的 AWS Support 聯絡管道提供回饋。