はじめに

AWS Fargate は、インフラ管理不要でコンテナを実行できるサーバーレスなコンテナ実行環境です。

Fargate を活用する際、タスクのネットワーク構成を理解することは、セキュリティや可観測性の観点で重要です。

本記事では、Fargate 起動タイプの Amazon ECS タスクにおけるネットワークの仕組みを簡潔に紹介します。

Fargate 起動タイプの Amazon ECS タスクにおけるネットワークオプション

Fargate の ECS タスクには、プライマリプライベート IP を備えた ENI が自動で割り当てられます。

同一タスク内のコンテナ間では localhost を用いて通信が可能です。

ENI 単位での通信を監視可能。トラフィックの可視化に活用できます。

Amazon ECS API への通信をインターネットに依存せず、Amazon ネットワーク内で完結できます。

ENI の作成は AWS が自動管理。対応する IAM ポリシー設定も必要です。

アクション	v1.3.0 以下	v1.4.0	Windows v1.0.0	IAM 権限
ECR 認証	Fargate ENI	タスク ENI	タスク ENI	実行ロール
イメージプル	タスク ENI	タスク ENI	タスク ENI	実行ロール
ログ送信	タスク ENI	タスク ENI	タスク ENI	実行ロール
FireLens	タスク ENI	タスク ENI	タスク ENI	タスク IAM
Secrets 取得	Fargate ENI	タスク ENI	タスク ENI	実行ロール
EFS	-	タスク ENI	タスク ENI	タスク IAM
アプリ通信	タスク ENI	タスク ENI	タスク ENI	タスク IAM

Fargate タスクは awsvpc モードが必須です。

このモードでは以下の特徴があります：

none モードの場合、外部通信不可・ポートマッピング不可となります。

Fargate タスクでは、ネットワークモードに awsvpc を使用し、ENI による分離・可視化が基本設計です。

パブリック IP、NAT、PrivateLink などのネットワーク構成に応じて設計を最適化することが重要です。

タスク単位のセキュリティ制御や監査が可能になるため、要件に応じたネットワーク設計の参考になれば幸いです！