amazon-web-services - AWS ECS如何将服务从一个容器调用到另一个容器

Question

我有一个 ECS 集群，其中有一个包含 2 个 EC2 实例的 Auto Scaling 组。我还有 3 个服务，每个服务都有自己的任务定义。每个 EC2 实例的每个服务运行一个 docker 容器。因此，我在每个 EC2 实例中有 3 个 docker 容器。

每个 docker 容器只运行一个 spring boot 应用程序。因为我有 3 个服务，所以我有 3 个 Spring Boot 应用程序。同样，一个容器仅运行这 3 个 Spring Boot 应用程序之一。每个应用程序都会在/service1 或/service1/resource1 等 URL 下公开一个 REST ful API，其中包含 POST、GET 等服务。 这里重要的一点是我在容器的主机中使用动态端口映射。

我在端口 443 上有一个外部(面向互联网)ALB，它有 3 个目标组。根据 URL，请求将发送至 3 个应用程序(或容器)之一。

我的问题是有时应用程序 A 需要向应用程序 B 发出 http 请求。我的 EC2 实例位于私有(private)子网中，而我的 ALB 位于公共(public)子网中。因此，如果我使用 ALB 从一个容器内部向另一个容器发出 http 请求，将会发生的情况是该请求将通过 NAT，并且由于 NAT 的公共(public) IP 不属于 ALB 的安全组，因此它无法连接到端口 443。我有 2 种方法可以实现此目的:

• 在ALB白名单0.0.0.0/0的安全组中。我不想这样做，因为全世界都可以访问。

• 在ALB的安全组白名单中NAT的公网IP。我不确定这种方法。值得推荐吗？

我尝试实现的第三个选项是拥有第三个负载均衡器，即内部负载均衡器。但我在这里迷失了，根据 AWS 文档，您只能为您的服务分配 1 个负载均衡器。由于我们使用动态端口映射，我看不到手动创建 ALB 并使用动态自动分配端口的方法。

你们如何在容器之间建立这种连接，其中一个容器使用其他容器提供的服务？

正如最后一条评论，我对所有人都使用云形成。无需从控制台进行手动设置。

谢谢

Answer 1

您可以尝试将您的 nat 网关公共(public) IP 作为具有/32 掩码的主机列入白名单。这是一种非常正常的方法，因为您已经通过 ALB 将端点公开到公共(public)互联网。您只需要关心安全规则更新，以防破坏或更改 NAT 网关，因为它的 IP 可能会发生变化。