• Introduction
• EC2 et VPC
  • Instance EC2
  • Route Table
  • Security Group
  • Internet Gateway
  • Elastic IP
  • Route 53
• ECS et ECR
  • ECR
  • Cluster
  • Container Instance
  • Service
  • Task Definition
• Le mot de la fin

Introduction

Dans cet article, je vais aborder la partie hosting, et donc AWS et les différents web services utilisés pour héberger le blog. L'article est découpé en deux parties :

• EC2 et VPC : le service de compute EC2 (Elastic Compute Cloud) et les services associées autour du VPC (Virtual Private Cloud)
• ECS et ECR : les composants de conteneurisation pour le déploiement de l'application. ECS étant le service de gestion et d'orchestration de containers, et ECR étant le registry de containers

EC2 et VPC

Instance EC2

EC2 est le service VPS (Virtual Private Server) d'AWS. Plusieurs mode de facturation sont disponibles. J'ai personnellement opté pour une t2.micro reserved instance sur 3 ans en standard (non convertible) :

Les caractéristiques et le pricing au moment où j'écris cet article (AWS T2 instance pricing) :

On voit clairement que le pricing en reserved instance sur 3 ans est avantageux quand on ramène au prix horaire versus le mode on-demand. Le 1 Gio de RAM est largement suffisant pour faire tourner un container nginx, mais j'ai préféré prendre de la marge pour d'éventuels autres projets / besoins (sachant que le reserved instance standard n'offre pas beaucoup de flexibilité).

Pour ce qui est de la région, n'ayant pas de contrainte j'ai pris celle par défaut "us-east-1" (North Virginia).

L'AMI étant un prérequis pour l'intégration avec ECS, je suis parti sur Amazon ECS-Optimized Amazon Linux 2. Il s'agit d'un Amazon Linux 2 optimisé pour tourner sous ECS.

Route Table

Le réseau local dans le VPC étant 172.31.0.0/16, on retrouve une règle associée dans la route table pour la communication intra VPC. Tout ce qui est en dehors de ce réseau local est routé vers l'internet gateway.

Le réseau local /16 est découpé en plus petits réseaux /20 attribués aux availability zones de la région.

Security Group

• Inbound rules : le pare-feu est configuré pour accepter en entrée uniquement les connections HTTP (80) et HTTPS (443)

• Outbound rules : pas de restriction pour les flux outbound

Internet Gateway

Une internet gateway est attaché au VPC pour les flux sortants vers internet.

Elastic IP

Une EIP (Elastic IP) publique est attaché à l'ENI primaire (Elastic Network Interface) de l'instance EC2 pour rendre l'instance accessible via une adresse IP publique.

Note : Les EIP sont statiques contrairement aux Public IPs qui sont dynamiques (renouvellées à l'arrêt de l'instance EC2).

Route 53

Le service Route 53 permet notamment la réservation du nom de domaine et la résolution DNS.

• Hosted zone :

• Records :

• Registered domain :

ECS et ECR

ECR

ECR (Elactic Container Registry) permet de mettre en place un private registry pour stocker les images docker de l'application qui sera ensuite déployée sur ECS.

• Repository :

• Images :

Chaque nouvelle image récupère le tag "latest" (l'enlevant donc à l'ancienne) correspondant à la dernière image présente dans le repository. Ce fonctionnement est possible car le paramètre "Tag immuability" est désactivé.

• Lifecycle policy rule :

La règle définie permet de nettoyer le repository en supprimant les anciennes images (qui n'ont pas le tag) et qui sont supérieures à un jour.

Cluster

Le cluster est composé d'une intance EC2.

Container instance

Lors de l'intégration de l'instance EC2 à ECS un agent est installé.

Service

Lors d'un nouveau déploiement pour ajouter du contenu, c'est le service qu'on va mettre à jour pour prendre en compte la nouvelle image présente dans le registry ECR. Le service porte l'orchestration et l'exécution du container.

Task definition

La task definition porte la configuration du conteneur. Chaque modification versionne la task definition en apportant une nouvelle révision.

{
    "taskDefinitionArn": "arn:aws:ecs:us-east-1:xxxxxxxxxx:task-definition/task-ledevdanslesnuages:8",
    "containerDefinitions": [
        {
            "name": "container-ledevdanslesnuages",
            "image": "xxxxxxxxxx.dkr.ecr.us-east-1.amazonaws.com/ledevdanslesnuages:latest",
            "cpu": 0,
            "memory": 512,
            "portMappings": [
                {
                    "containerPort": 80,
                    "hostPort": 80,
                    "protocol": "tcp"
                },
                {
                    "containerPort": 443,
                    "hostPort": 443,
                    "protocol": "tcp"
                }
            ],
            "essential": true,
            "entryPoint": [],
            "command": [],
            "environment": [],
            "mountPoints": [
                {
                    "sourceVolume": "certs",
                    "containerPath": "/etc/letsencrypt"
                }
            ],
            "volumesFrom": []
        }
    ],
    "family": "task-ledevdanslesnuages",
    "revision": 8,
    "volumes": [
        {
            "name": "certs",
            "dockerVolumeConfiguration": {
                "scope": "shared",
                "autoprovision": true,
                "driver": "local"
            }
        }
    ],
    "status": "ACTIVE",
    "requiresAttributes": [
        {
            "name": "com.amazonaws.ecs.capability.ecr-auth"
        },
        {
            "name": "ecs.capability.docker-plugin.local"
        },
        {
            "name": "com.amazonaws.ecs.capability.docker-remote-api.1.25"
        }
    ],
    "placementConstraints": [],
    "compatibilities": [
        "EXTERNAL",
        "EC2"
    ],
    "requiresCompatibilities": [
        "EC2"
    ],
    "registeredAt": "2023-01-02T00:41:41.241Z",
    "registeredBy": "arn:aws:iam::xxxxxxxxxx:root",
    "tags": []
}

On voit :

• qu'une limite de 512 MB est appliquée sur la RAM (ligne 8)
• que les ports 80 et 443 sont mappés (ligne 9)
• qu'un volume "certs" est créé en local sur le host docker (ligne 36), et est monté sur le container dans "/etc/letsencrypt" (ligne 25). Il s'agit du certificat let's encrypt généré par Certbot que l'on souhaite conserver en stockage persistant pour éviter de le regénérer à chaque déploiement

Le dockerfile sera abordé dans un autre article dédié au déploiement.

Le mot de la fin

ECS est une bonne suprise pour ma part. Je n'avais jamais vraiment bossé sur un orchestrateur de container hormis un peu de Kubernetes. Le service est abordable, probablement pas aussi complet que Kubernetes, mais naturellement bien intégré à AWS (forcément puisque full AWS 😉), et accessible en terme de ressource d'infrastructure nécessaire et de tarification.