AWS FargateにおけるAmazon ECS クラスターの効果的な分け方を様々な観点で考えてみた

平井裕二

2023.08.03

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

AWS Fargateを使用している際に、ECSクラスターをECSサービスごとやECSタスクごとにどのように分けるかに迷うことがありました。

そこで、個人的に複数の観点からクラスターの効果的な分け方を考えてみました。

なお、この記事ではECS on EC2ではなく、ECS on Fargateのみに焦点を当てています。

ECSの構成について簡単に説明しますと以下の3つに分かれます

今回は、タスクとサービスを実行する基盤であるクラスターをどのような単位で分けるべきかを考えてみました。

一般的には、システムや環境ごとにクラスターを作成すると良いでしょう。

理由としては、２点あります。

クラスターを作成する際には、コンソール上のネットワーキングという項目でVPCとサブネットを指定して作成します。

これにより、コンソール上でサービスやタスクを作成する際、下記のように指定したVPCが自動的に選択され、作成が容易になります。

システムや環境別にVPCが分けられていることが多いため、システムや環境ごとにクラスターを分けると、サービスやタスクの作成がしやすくなります。

AWSリソースの命名規則は、「システム名」「環境名」を含めていることが多いです。

そのため、命名規則に合わせて、クラスターの名前も例えば{システム名}-{環境名}-clusterとすることで、各クラスター内のリソースの役割が分かりやすくなります。

以上の２点の理由から、一般的には、システムや環境ごとにクラスターを作成すると良いと考えます

セキュリティの観点ではクラスターを分けることで、特定のユーザーに対して詳細な権限制御が可能になります。

外部の開発ベンダーの方が特定のクラスターのみを利用する場合などに利用されます。

ECSのAPIであるCreateService、UpdateService、DeleteService、RunTask、StartTask APIなどは、AWS IAMのポリシー内のConditionキーを使用して操作可能なクラスターを指定できます。

Conditionキーを活用することで、「特定のユーザーは、Bシステムのクラスターでサービスやタスクを作成・更新できるが、Aシステムのクラスターではできない」といった詳細な権限制御を行うことができます。

次に、サービスクォータの観点です。

サービスクォータとは、あらかじめ設定されたデフォルトの上限値のことを指します。

ECSのサービスクォータは、下記のドキュメントにまとめられておりますが、その中でもクラスターを分ける観点になりえる項目を表形式でピックアップします