Containers — ECS, ECR & EKS

ก่อนเข้าเรื่อง container บน AWS ต้องเข้าใจว่า Docker คือ platform สำหรับ run application แบบ containers โดย container จะ run บน Docker daemon บน host ใดก็ได้ ทำให้ deploy ได้สม่ำเสมอ (predictable) ไม่ว่าจะ machine ไหน ต่างจาก Virtual Machines (VM) ตรงที่ container share kernel ของ host เดียวกัน จึงเบากว่า เร็วกว่า ใช้ resource น้อยกว่า

Amazon ECS (Elastic Container Service) คือ container orchestration service ของ AWS ที่ช่วย launch Docker containers ให้เรา โดยมี launch types หลัก 2 แบบที่ต้องแยกให้ออกในข้อสอบคือ EC2 Launch Type และ Fargate

เรื่อง IAM Roles ของ ECS เป็นจุดที่ข้อสอบชอบหลอกมาก เพราะมี role หลายตัวที่ใช้คนละจุดประสงค์ ต้องแยกให้ออกชัดเจนระหว่าง role ระดับ EC2 instance และ role ระดับ task

Task Definition คือ JSON metadata ที่บอก ECS ว่าจะ run container อย่างไร — เปรียบเหมือน blueprint โดยใน task definition จะมี container definitions (run ได้สูงสุด 10 containers ต่อ 1 task definition) กำหนดสิ่งต่าง ๆ เช่น image name, port binding, memory/CPU, environment variables, IAM roles, logging config, data volumes

Port Binding: EC2 vs Fargate

• EC2 Launch Type ใช้ได้ทั้ง static และ Dynamic Host Port Mapping ถ้าตั้ง host port = 0 (หรือไม่กำหนด) ECS จะสุ่ม host port ให้ ทำให้ run หลาย container ของ image เดียวกันบน instance เดียวได้ ALB จะ route ผ่าน dynamic port ได้
• Fargate แต่ละ task ได้ ENI (Elastic Network Interface) และ private IP ของตัวเอง จึงใช้ awsvpc network mode, container port ตรงกับที่ ALB ชี้ไป ไม่มีเรื่อง host port

{
  "family": "my-web-app",
  "taskRoleArn": "arn:aws:iam::123456789012:role/ecsTaskRole",
  "executionRoleArn": "arn:aws:iam::123456789012:role/ecsTaskExecutionRole",
  "requiresCompatibilities": ["FARGATE"],
  "networkMode": "awsvpc",
  "cpu": "256",
  "memory": "512",
  "containerDefinitions": [
    {
      "name": "web",
      "image": "123456789012.dkr.ecr.us-east-1.amazonaws.com/web:latest",
      "portMappings": [{ "containerPort": 8080, "protocol": "tcp" }],
      "environment": [{ "name": "ENV", "value": "prod" }],
      "secrets": [
        {
          "name": "DB_PASSWORD",
          "valueFrom": "arn:aws:secretsmanager:us-east-1:123456789012:secret:db-pass"
        }
      ]
    }
  ]
}

ECS Service มักวางหลัง Load Balancer เพื่อกระจาย traffic และทำ health check การเลือก LB ขึ้นกับ protocol และ feature ที่ต้องการ

ตามปกติ container ใน ECS เป็น stateless เมื่อ task ถูก stop ข้อมูลก็หายไป ถ้าต้องการ persistent / shared storage ระหว่าง tasks (หรือข้าม AZ) ให้ mount Amazon EFS (Elastic File System)

• Amazon EFS ใช้ได้กับทั้ง EC2 Launch Type และ Fargate — เป็น network file system ที่ share ได้หลาย task หลาย AZ พร้อมกัน
• EFS เป็น serverless, pay-per-use เหมาะกับ persistent multi-AZ shared storage เช่น data ที่ต้อง share ระหว่าง container
• Fargate + EFS = fully serverless stack (ไม่มี server ให้ดูแล + มี persistent storage)
• ใช้ bind mounts (ephemeral) สำหรับ share ข้อมูลระหว่าง containers ใน task เดียวกัน (sidecar pattern)

ECS Service Auto Scaling หมายถึงการเพิ่ม/ลดจำนวน ECS Tasks อัตโนมัติ โดยใช้ AWS Application Auto Scaling (คนละตัวกับ EC2 Auto Scaling) สังเกตคำว่า service auto scaling = scale tasks

Metrics ที่ใช้ scale ได้

• ECS Service Average CPU Utilization
• ECS Service Average Memory Utilization — scale ตาม RAM
• ALB Request Count Per Target — metric จาก ALB

container ใน ECS รับ config ผ่าน environment variables ได้หลายแบบ: hardcoded (เช่น URL), จาก SSM Parameter Store, และจาก Secrets Manager สำหรับ sensitive data

• Environment variables (plain) — กำหนดตรง ๆ ใน task definition ผ่าน field environment สำหรับค่าที่ไม่เป็นความลับ
• SSM Parameter Store — ใช้ field secrets ดึง parameter (รวม SecureString) มาเป็น env var ตอน start container เหมาะกับ API keys, config, password ทั่วไป
• Secrets Manager — ใช้ field secrets เช่นกัน เหมาะกับ DB credentials ที่ต้องการ automatic rotation
• ECS ดึง secret ตอน container start โดยใช้ Task Execution Role ที่ต้องมีสิทธิ์อ่าน parameter/secret และ decrypt KMS

"secrets": [
  {
    "name": "DB_PASSWORD",
    "valueFrom": "arn:aws:ssm:us-east-1:123456789012:parameter/prod/db-password"
  },
  {
    "name": "API_KEY",
    "valueFrom": "arn:aws:secretsmanager:us-east-1:123456789012:secret:prod/api-key"
  }
]

Amazon ECR (Elastic Container Registry) คือที่เก็บ Docker images บน AWS โดย image จริง ๆ ถูกเก็บไว้ใน Amazon S3 เบื้องหลัง รองรับทั้ง Private และ Public registry (Public คือ ECR Public Gallery)

• Authentication ใช้ผ่าน IAM — ต้องมีสิทธิ์ IAM ก่อนจึงจะ push/pull ได้ (ปัญหาเรื่อง pull image fail บ่อยมาจาก IAM permission ไม่พอ)
• Image Scanning — scan หา vulnerabilities ใน image ได้ มี Basic scanning (CVE จาก open source) และ Enhanced scanning (powered by Amazon Inspector สแกนลึกทั้ง OS และ language packages, scan on push หรือ continuous)
• support lifecycle policies ลบ image เก่าอัตโนมัติ และ image versioning / immutable tags

# 1) Login เข้า ECR ด้วย IAM credentials
aws ecr get-login-password --region us-east-1 | \
  docker login --username AWS \
  --password-stdin 123456789012.dkr.ecr.us-east-1.amazonaws.com

# 2) Tag และ push image
docker tag my-app:latest \
  123456789012.dkr.ecr.us-east-1.amazonaws.com/my-app:latest
docker push 123456789012.dkr.ecr.us-east-1.amazonaws.com/my-app:latest

Amazon EKS (Elastic Kubernetes Service) คือ managed Kubernetes บน AWS ใช้เมื่อองค์กรมีมาตรฐาน Kubernetes อยู่แล้ว หรืออยากได้ portability ข้าม cloud (Kubernetes เป็น cloud-agnostic) ต่างจาก ECS ตรงที่ ECS เป็น proprietary ของ AWS

EKS Node Types

• Data Volumes บน EKS ต้องระบุ StorageClass ผ่าน CSI driver รองรับ EBS, EFS (ใช้กับ Fargate ได้), FSx for Lustre, FSx for NetApp ONTAP
• EKS เหมาะกับ workload ที่ต้องการ Kubernetes ecosystem (Helm, operators) หรือ migrate K8s เดิมจาก on-premises

นอกจาก ECS/EKS โดยตรง AWS ยังมีเครื่องมือช่วยให้ deploy container ง่ายขึ้นที่อาจโผล่ในข้อสอบเป็นตัวเลือก

• Fargate = serverless container, ไม่ต้อง manage EC2 — โจทย์ "no infrastructure management" เลือกตัวนี้
• Task Role = สิทธิ์ของ application (เช่น access S3/DynamoDB); Task Execution Role = ECS pull image + push logs + ดึง secrets
• Dynamic Host Port Mapping + ALB = run หลาย container เดียวกันบน EC2 instance เดียว (CLB ทำไม่ได้)
• Persistent shared storage หลาย task/หลาย AZ = EFS (ใช้กับ Fargate ได้, S3 mount ไม่ได้)
• ECS Service Auto Scaling = scale tasks ผ่าน Application Auto Scaling (Target Tracking / Step / Scheduled); scale EC2 capacity ใช้ Capacity Providers
• Secrets injection ผ่าน field secrets จาก SSM Parameter Store หรือ Secrets Manager (rotation = Secrets Manager)
• ECR เก็บ image ใน S3, auth ผ่าน IAM, scan vulnerabilities ด้วย Basic หรือ Enhanced (Amazon Inspector)
• EKS = managed Kubernetes (cloud-agnostic); App Runner = deploy web app ง่ายสุดไม่ต้องรู้ infra; Copilot = CLI ช่วย deploy บน ECS