Amazon ECS と Fargate でコンテナを動かす

前提条件

1. リージョン: ap-northeast-1（東京）
2. AWS マネジメントコンソールにログイン済みであること
3. ECR・ECS の操作と、IAM ロール（タスク実行ロール）の作成ができる権限があること
4. 以下のリソースが作成済みであること

VPC とサブネットの基本は「Amazon VPC で仮想ネットワークを構築しサブネットを設定する」、セキュリティグループの考え方は「セキュリティグループとネットワーク ACL でアクセスを制御する」で解説しています。

作成するリソース一覧

ステップ1: ECR のプライベートリポジトリを作成する

1. AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します
2. 上部の検索バーに ECR と入力し、表示された「Elastic Container Registry」を選択します
3. 左側ナビゲーションの「プライベートレジストリ」→「リポジトリ」を選択し、「リポジトリを作成」をクリックします
4. 以下を設定します
   • リポジトリ名: ecs-handson-nginx
   • イメージタグのミュータビリティ: Mutable（デフォルト）
   • 暗号化設定: AES-256（デフォルト）
5. その他の項目はデフォルトのままにし、「作成」をクリックします

1. リポジトリ一覧に ecs-handson-nginx が表示されたら、その「URI」（<アカウントID>.dkr.ecr.ap-northeast-1.amazonaws.com/ecs-handson-nginx）を控えておきます

ステップ2: CloudShell で nginx のイメージを pull して ECR に push する

AWS CloudShell には Docker がプリインストールされており、CloudShell の中から ECR にイメージを push できます。CloudShell の Docker で使える領域は限られているため、ここではサイズの小さい Alpine Linux ベースの nginx イメージを使います。

1. コンソール上部のツールバーにある CloudShell のアイコンをクリックし、CloudShell を起動します（リージョンが ap-northeast-1 のままであることを確認します）
2. Docker が使えることを確認します

docker --version

1. アカウント ID とレジストリの URL を変数に入れます

AWS_ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)
ECR_URL=${AWS_ACCOUNT_ID}.dkr.ecr.ap-northeast-1.amazonaws.com
echo ${ECR_URL}

1. ECR Public Gallery で公開されている nginx のイメージを pull します（ECR Public は匿名で pull できるため、ログインは不要です）。後で Fargate の Linux/X86_64 で動かすので、プラットフォームを指定します

docker pull --platform linux/amd64 public.ecr.aws/nginx/nginx:stable-alpine

1. Docker を自分のプライベートレジストリに認証させます。Login Succeeded と表示されれば成功です（この認証は 12 時間有効です）

aws ecr get-login-password --region ap-northeast-1 | docker login --username AWS --password-stdin ${ECR_URL}

1. pull したイメージに、自分のリポジトリ名とタグ v1 を付けます

docker tag public.ecr.aws/nginx/nginx:stable-alpine ${ECR_URL}/ecs-handson-nginx:v1

1. イメージを ECR に push します

docker push ${ECR_URL}/ecs-handson-nginx:v1

最後に v1: digest: sha256:... の行が表示されれば push は完了です。

1. ECR コンソールに戻り、リポジトリ一覧で ecs-handson-nginx をクリックします
2. 「イメージ」の一覧に、イメージタグ v1 のイメージが表示されていることを確認します

ステップ3: ECS クラスターを作成する

1. 上部の検索バーに ECS と入力し、表示された「Elastic Container Service」を選択します
2. 左側ナビゲーションの「クラスター」を選択し、「クラスターの作成」をクリックします
3. 「クラスター設定」の「クラスター名」に ecs-handson-cluster と入力します
4. 「インフラストラクチャ」は、既定で「Fargate のみ」（サーバーレス）が選ばれているのでそのままにします
5. 「モニタリング」「タグ」などその他の項目はデフォルトのままにし、「作成」をクリックします
6. クラスター一覧に ecs-handson-cluster が表示されることを確認します

そのアカウントで ECS を初めて使う場合、サービスリンクロールの作成直後に「Unable to assume the service linked role」というエラーが出ることがあります。数十秒待ってからもう一度「作成」をクリックします。

ステップ4: タスク定義を作成する

1. 左側ナビゲーションの「タスク定義」を選択し、「新しいタスク定義の作成」→「新しいタスク定義の作成」をクリックします
2. 「タスク定義の設定」で、タスク定義ファミリーに ecs-handson-task と入力します（初期値の自動生成された名前を書き換えます）
3. 「インフラストラクチャの要件」で以下を設定します
   • 起動タイプ: AWS Fargate にチェック（デフォルト）
   • オペレーティングシステム/アーキテクチャ: Linux/X86_64
   • ネットワークモード: awsvpc（Fargate では固定）
   • タスクサイズ: CPU を 1 vCPU から .25 vCPU に変更します。メモリは互換性のある最小値の .5 GB に自動で調整されます
   • タスクロール: -（なし）のまま（今回のコンテナは AWS の API を呼ばないため）
   • タスク実行ロール: デフォルトロールを作成（デフォルト。作成時に ecsTaskExecutionRole が作られます。既にある場合はそれが使われます）

1. 「コンテナ - 1」で以下を設定します
   • 名前: web（初期値を書き換えます）
   • イメージ URI: ステップ1で控えた URI の末尾に :v1 を付けたもの（<アカウントID>.dkr.ecr.ap-northeast-1.amazonaws.com/ecs-handson-nginx:v1）
   • 必須コンテナ: はい
   • ポートマッピング: コンテナポート 80、プロトコル TCP（ポート名・アプリケーションプロトコルは空欄・デフォルトのまま）
2. 「ログ収集」は Amazon CloudWatch に送る設定（デフォルト）のままにします
3. その他の項目はデフォルトのままにし、「作成」をクリックします

1. タスク定義 ecs-handson-task のリビジョン 1 が作成されたことを確認します

ステップ5: Fargate のサービスを作成する

1. 左側ナビゲーションの「クラスター」を選択し、ecs-handson-cluster をクリックします
2. 「サービス」タブで「作成」をクリックします
3. 「サービスの詳細」で以下を設定します
   • タスク定義ファミリー: ecs-handson-task（リビジョンは最新の 1）
   • サービス名: ecs-handson-service
4. 「環境」の「コンピューティング設定」で、コンピューティングオプションを既定の「キャパシティープロバイダー戦略」から「起動タイプ」に切り替え、起動タイプ Fargate、プラットフォームバージョン LATEST を指定します（どちらも既定値です）
5. 「デプロイ設定」で、サービスタイプ レプリカ、必要なタスク 1 を指定します

1. 「ネットワーキング」を開き、以下を設定します
   • VPC: ecs-vpc（vpc-xxxx ecs-vpc の形で表示されます）
   • サブネット: ecs-public-subnet-1a と ecs-public-subnet-1c の 2 つが選ばれていることを確認します（VPC を選ぶと VPC 内のサブネットがすべて選択されます）
   • セキュリティグループ: 「既存のセキュリティグループを使用」のまま、初期選択の default を外して ecs-web-sg を選択
   • パブリック IP: オン（デフォルト）
2. 「ロードバランシング」などその他の項目はデフォルト（ロードバランサーなし）のままにし、「作成」をクリックします

パブリックサブネットで Fargate のタスクが ECR からイメージを pull するには、タスクにパブリック IP が付いているか、インターネットへの経路が必要です。パブリック IP をオンにし忘れると、イメージを取得できずにタスクが起動しない点に注意が必要です。

ステップ6: タスクの起動を確認し、ブラウザでアクセスする

1. サービスの作成が終わったら、クラスター ecs-handson-cluster の「サービス」タブで ecs-handson-service をクリックします
2. 「タスク」タブを選択し、タスクの「前回のステータス」が「実行中」になるまで待ちます（1 分前後かかります）
3. タスク ID をクリックしてタスクの詳細を開き、「設定」の「ネットワーキング」にある「パブリック IP」を確認します

1. 「パブリック IP」の横の「オープンアドレス」をクリックするか、ブラウザで http://<パブリック IP> を開きます（https:// ではなく http:// でアクセスします）
2. 「Welcome to nginx!」のページが表示されることを確認します

ECR に push したイメージから、Fargate 上でコンテナが起動し、インターネットからアクセスできることが確認できました。