ECSタスク定義の構築

本連載では、以下のイメージの構成にあるAWSリソース基盤自動化環境の構築を実践しています。

前回は、ECSクラスタを構築するCloudFormationテンプレートを実装しました。今回はECSタスク定義を行うCloudFormationテンプレートを作成し、実行していきます。

なお、実際のソースコードはGitHub上にコミットしています。以降のソースコードでは本質的でない記述を一部省略しているので、実行コードを作成する場合は、必要に応じて適宜GitHub上のソースコードも参照してください。

ECSタスク定義スタック構築テンプレート

ECSタスク定義は、連載「AWSで作るクラウドネイティブアプリケーションの基本」の第9回で実施したものと同等のものを構築します。ECSタスクをCloudFormationで構築する場合、リソースタイプが「AWS::ECS::TaskDefinition」で、ECSタスクの実行に必要なIAMロール「AWS::IAM::Role」と、ECSコンテナのなかで実行されるアプリケーションに付与するIAMロール「AWS::IAM::Role」が必要です。プロパティとして設定可能な属性は、上記リンク先の通りですが、加えて、ECSを「商用環境」「ステージング環境」「開発環境」という3つのパターンに分けて作成するようにします。

テンプレートのサンプルは以下の通りです。

AWSTemplateFormatVersion: '2010-09-09'

// omit

Parameters:
  EnvType:
    Description: Which environments to deploy your service.
    Type: String
    AllowedValues: ["Dev", "Staging", "Production"]
    Default: Dev

Mappings:
  BackendServiceTaskDefinitionMap:                                                                 #(A)
    Production:
      "Memory" : 1024
      "Cpu" : 512
      "ContainerName" : "mynavi-sample-cloudformation-ecs-backend-service"
      "ContainerImage" : "debugroom/mynavi-sample-cloudformation-ecs-backend-service:1.0-RELEASE"  #(B)
      "ContainerPort" : 8080
      "HostPort" : 0
      "ContainerMemory" : 1024
      "Profile" : "production"
    Staging:
      "Memory" : 1024
      "Cpu" : 512
      "ContainerName" : "mynavi-sample-cloudformation-ecs-backend-service"
      "ContainerImage" : "debugroom/mynavi-sample-cloudformation-ecs-backend-service:1.0-SNAPSHOT"
      "ContainerPort" : 8080
      "HostPort" : 0
      "ContainerMemory" : 1024
      "Profile" : "staging"
 // omit

Resources:
  BackendECSTaskRole:                                                                              #(C)
    Type: AWS::IAM::Role
    Properties:
      Path: /
      AssumeRolePolicyDocument:
        Statement:
          - Action: sts:AssumeRole
            Effect: Allow
            Principal:
              Service: ecs-tasks.amazonaws.com

  // omit

  ECSTaskExecutionRole:                                                                            #(D)
    Type: AWS::IAM::Role
    Properties:
      Path: /
      AssumeRolePolicyDocument:
        Statement:
          - Action: sts:AssumeRole
            Effect: Allow
            Principal:
              Service: ecs-tasks.amazonaws.com
      ManagedPolicyArns:                                                                           #(E)
        - arn:aws:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy
        - arn:aws:iam::aws:policy/AmazonSSMReadOnlyAccess
        - arn:aws:iam::aws:policy/SecretsManagerReadWrite

  BackendServiceECSTaskDefinition:
    Type: AWS::ECS::TaskDefinition                                                                 #(F)
    Properties:
      Family: !Sub sample-ecstask-backend-service-${EnvType}
      RequiresCompatibilities:
        - EC2
      Memory: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, Memory]
      Cpu: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, Cpu]
      NetworkMode: bridge
      ExecutionRoleArn: !GetAtt ECSTaskExecutionRole.Arn
      TaskRoleArn: !GetAtt BackendECSTaskRole.Arn
      ContainerDefinitions:
        - Name: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, ContainerName]
          Image: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, ContainerImage]
          PortMappings:
            - ContainerPort: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, ContainerPort]
              HostPort: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, HostPort]
          Memory: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, ContainerMemory]
          Environment:                                                                             #(G)
            - Name: ENV_TYPE
              Value: !FindInMap [BackendServiceTaskDefinitionMap, !Ref EnvType, Profile]
          Secrets:                                                                                 #(H)
            - Name: RDS_PASSWORD
              ValueFrom : !Sub "arn:aws:ssm:${AWS::Region}:${AWS::AccountId}:parameter/mynavi-sample-cloudformation-rds-password"

// omit

Outputs:
// omit

  FrontendECSTaskRole:
    Description: Frontend ECS Task has role
    Value: !Ref FrontendECSTaskRole
    Export:
      Name: !Sub ${VPCName}-FrontendEcsTaskRole-${EnvType}

  BackendECSTaskRole:
    Description: Backend ECS Task has role
    Value: !Ref BackendECSTaskRole
    Export:
      Name: !Sub ${VPCName}-BackendEcsTaskRole-${EnvType}

ECSタスク定義のテンプレートの記述の基本となるポイントは下表の通りです。

作成したテンプレートに対して、以下のように、スタック名とテンプレートパスを変更してヘルパースクリプトを実行します。

#!/usr/bin/env bash

stack_name="mynavi-sample-ecs-task"
template_path="sample-ecs-task-cfn.yml"

parameters="EnvType=Dev"

aws cloudformation deploy --stack-name ${stack_name} --template-file ${template_path} --parameter-overrides ${parameters} --capabilities CAPABILITY_IAM

実行が正常に終了すると、ECSタスクが作成されます。

以上、今回はECSタスクを構築するCloudFormationテンプレートを実装しました。次回は、ECSタスクのIAMロールにAWSリソースへのアクセスポリシーを付与するCloudFormationテンプレートを作成する手順を紹介します。