Question

我正在尝试在CloudFormation模板中创建一个计划任务（CloudWatch Events规则），该任务将具有以下EcsParameters：

EcsParameters:
        LaunchType: FARGATE
        NetworkConfiguration: 
          AwsVpcConfiguration:
            AssignPublicIp: !Ref PublicIpAssignment
            SecurityGroups:
              - !Ref EcsSecurityGroups
            Subnets:
              - !Ref SubnetName
        TaskCount: 1
        TaskDefinitionArn: !Ref TaskDefinitionOne

我的ECS CLuster是在Fargate而非EC2上启动的，并且我没有正在运行的服务（用例不需要长时间运行的流程，可以直接根据事件规则安排任务。）

每当我运行此模板（使用LaunchType和NetworkConfiguration）时，堆栈创建都会失败，并显示以下错误：

遇到不受支持的属性NetworkConfiguration

作为替代方案，我也尝试从AWS CLI启动计划的任务，但是似乎那里的网络配置和启动类型选项也不可用：

参数验证失败： Targets [0]中的未知参数。EcsParameters：“ LaunchType”，必须是以下各项之一：TaskDefinitionArn，TaskCount

根据AWS文档本身的this page，我应该能够在{{的LaunchType的{{1}}部分的NetworkConfiguration中指定EcsParameters和Targets 1}}的资源。

有什么我可以尝试的可行的方法吗？

Answer 1

CloudFormation尚未赶上运行Fargate任务（作为CloudWatch Events Rule的直接目标）所需的参数。同时，通过将规则目标定位为运行Fargate任务的Lambda函数，可以达到相同的结果。

为此，事件规则将需要对Lambda函数具有lambda:InvokeFunction权限，而Lambda函数将需要对相应资源的ecs:RunTask和iam:PassRole权限（除了通常在AWSLambdaBasicExecutionRole中的日志权限。

编辑：这是一个示例CF模板，显示了我在说什么。（它被拼凑起来并简化了我们的使用方式，因此未经测试，但希望能说明该过程。）

Parameters:
  #ClusterName
  #Subnets
  #SecurityGroups
  #CronExpression
  #TaskDefinitionArn
  #TaskRoleArn
  #ExecutionRoleArn

Resources:
  FargateLauncherRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: !Sub ${AWS::StackName}-FargateLauncher-${AWS::Region}
      AssumeRolePolicyDocument:
        Statement:
          -
            Effect: Allow
            Principal:
              Service: lambda.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole
      Path: /

  FargateLauncherPolicy:
    Type: AWS::IAM::Policy
    Properties:
      PolicyName: !Sub ${AWS::StackName}-FargateLauncher-${AWS::Region}
      PolicyDocument:
        Version: 2012-10-17
        Statement:
          -
            Sid: RunTaskAccess
            Effect: Allow
            Action:
              - ecs:RunTask
            Resource: '*'
          -
            Sid: PassRoleAccess
            Effect: Allow
            Action:
              - iam:PassRole
            Resource:
              # whatever you have defined in your TaskDefinition, if any
              - !Ref TaskRoleArn
              - !Ref ExecutionRoleArn
      Roles:
        - !Ref FargateLauncherRole

  FargateLauncher:
    Type: AWS::Lambda::Function
    DependsOn: FargateLauncherPolicy
    Properties:
      Environment:
        Variables:
          CLUSTER_NAME: !Ref ClusterName
          SUBNETS: !Ref Subnets
          SECURITY_GROUPS: !Ref SecurityGroups
      Handler: index.handler
      Role: !GetAtt FargateLauncherRole.Arn
      Runtime: python3.6
      Code:
        ZipFile: |
          from os import getenv
          from boto3 import client
          ecs = client('ecs')

          def handler(event, context):
            ecs.run_task(
              cluster=getenv('CLUSTER_NAME'),
              launchType='FARGATE',
              taskDefinition=event.get('taskDefinition'),
              count=1,
              platformVersion='LATEST',
              networkConfiguration={'awsvpcConfiguration': {
                'subnets': getenv('SUBNETS').split(','),
                'securityGroups': getenv('SECURITY_GROUPS').split(','),
                'assignPublicIp': 'DISABLED'
              }})

  Schedule:
    Type: AWS::Events::Rule
    Properties:
      ScheduleExpression: !Sub "cron(${CronExpression})"
      State: ENABLED
      Targets:
        -
          Id: fargate-launcher
          Arn: !GetAtt FargateLauncher.Arn
          Input: !Sub |
            {
              "taskDefinition": "${TaskDefinitionArn}"
            }

  InvokePermission:
    Type: AWS::Lambda::Permission
    Properties:
      FunctionName: !Ref FargateLauncher
      Action: lambda:InvokeFunction
      Principal: events.amazonaws.com
      SourceArn: !GetAtt Schedule.Arn

我在集群堆栈中定义了Lambda函数，其中已经具有ClusterName，Subnets和SecurityGroups参数，并且可以将它们直接传递给Lambda环境。然后可以在一个或多个单独的堆栈中定义调度和调用权限，并通过Lambda函数的输入为每个任务传递TaskDefinition。这样，每个群集可以有一个Lambda，但可以根据需要使用许多不同的任务。您还可以向Lambda输入添加自定义命令字符串和/或其他容器替代，这些替代可以通过overrides的{{1}}参数进行传递。

编辑＃2 ：这是可以在CF模板中使用的Fargate TaskDefinition示例：

run_task

Answer 2

经过一天的研究，似乎AWS仍然没有通过CloudFormation发布对此的支持。但是，这是通过cli上的aws events put-targets命令起作用的替代方法。

对于cli的旧版本，此方法失败。运行此更新：pip install awscli --upgrade --user 这是我现在使用的版本：aws-cli/1.16.9 Python/2.7.15 Darwin/17.7.0 botocore/1.11.9

使用aws events put-targets --rule <value> --targets <value>命令。确保您已经在集群上定义了一个规则。如果没有，则可以使用aws events put-rule cmd。请参考AWS docs for put-rule和for put-targets。

文档中的规则示例如下：

aws events put-rule --name "DailyLambdaFunction" --schedule-expression "cron(0 9 * * ? *)"

对我有用的put-targets命令是这样的：

aws events put-targets --rule cli-RS-rule --targets '{"Arn": "arn:aws:ecs:1234/cluster/clustername","EcsParameters": {"LaunchType": "FARGATE","NetworkConfiguration": {"awsvpcConfiguration": {"AssignPublicIp": "ENABLED", "SecurityGroups": [ "sg-id1233" ], "Subnets": [ "subnet-1234" ] }},"TaskCount": 1,"TaskDefinitionArn": "arn:aws:ecs:1234:task-definition/taskdef"},"Id": "sampleID111","RoleArn": "arn:aws:iam:1234:role/eventrole"}'

Answer 3

即使AWS到今天（2019年7月15日）尚未更新文档，它仍可以按照最初发布者的描述进行工作。

通过cloudformation为fargate launchtype任务为cloudwatch事件规则创建“目标”

3 个答案: