AWS 101 Containers Workshop

🏗️ ECR 구조:

AWS Account
  └── ECR
       ├── Repository A (예: my-web-app)
       │    ├── Image:latest
       │    ├── Image:v1.0.0
       │    └── Image:v1.0.1
       └── Repository B (예: my-api)
            ├── Image:latest
            └── Image:prod

📌 ECR 이미지 URI 형식:

{account-id}.dkr.ecr.{region}.amazonaws.com/{repo-name}:{tag}

예시:
123456789012.dkr.ecr.ap-northeast-2.amazonaws.com/my-app:latest
123456789012.dkr.ecr.ap-northeast-2.amazonaws.com/my-app:v1.0.0

🖱️ 콘솔 생성 단계:

1. AWS Console → ECR 서비스 검색 및 이동
2. 'Create repository' 버튼 클릭
3. Visibility: Private 선택 (기본값)
4. Repository name: 예) demo-flask-backend
5. Tag immutability: Disabled (기본값)
   - Enabled: 같은 태그로 덮어쓰기 불가
6. Scan on push: Enabled 권장
   - 이미지 푸시 시 보안 취약점 자동 스캔
7. 'Create repository' 클릭

📝 Dockerfile 기본 명령어:

FROM python:3.9-slim     # 베이스 이미지 지정
WORKDIR /app             # 작업 디렉토리 설정
COPY . .                 # 현재 폴더 파일들을 컨테이너로 복사
RUN pip install -r requirements.txt  # 빌드 시 실행할 명령
EXPOSE 5000              # 컨테이너가 사용할 포트 문서화
CMD ["python", "app.py"] # 컨테이너 시작 시 실행할 명령

🔍 베이스 이미지 선택 가이드:

• python:3.9-slim  → Python 앱 (slim은 경량 버전)
• node:18-alpine   → Node.js 앱 (alpine은 초경량)
• nginx:latest     → 웹 서버
• amazoncorretto:17 → Java 앱 (Amazon 최적화 JDK)

💡 팁: alpine이나 slim 버전을 사용하면 이미지 크기가 작아집니다

🔨 이미지 빌드 명령어:

# 기본 빌드 (현재 디렉토리의 Dockerfile 사용)
docker build -t my-app:latest .

# ECR용 태그로 빌드
docker build -t 123456789012.dkr.ecr.ap-northeast-2.amazonaws.com/my-app:latest .

# 빌드 확인
docker images

🔐 ECR 로그인 명령어:

# AWS CLI v2 사용
aws ecr get-login-password --region ap-northeast-2 | \
  docker login --username AWS \
  --password-stdin {account-id}.dkr.ecr.ap-northeast-2.amazonaws.com

# 성공 시 출력: Login Succeeded

💡 토큰은 12시간 후 만료됩니다

🏷️ 이미지 태그 명령어:

# 형식
docker tag {로컬이미지}:{태그} {ECR-URI}:{태그}

# 예시
docker tag my-app:latest \
  123456789012.dkr.ecr.ap-northeast-2.amazonaws.com/my-app:latest

# 확인
docker images | grep my-app

📤 이미지 푸시 명령어:

docker push {ECR-URI}:{태그}

# 예시
docker push 123456789012.dkr.ecr.ap-northeast-2.amazonaws.com/my-app:latest

# 출력 예시
The push refers to repository [123456789012.dkr.ecr...]
abc123def: Pushed
xyz789ghi: Pushed
latest: digest: sha256:... size: 1234

🖱️ 콘솔에서 푸시 명령어 확인:

1. ECR 콘솔 → 리포지토리 선택
2. 'View push commands' 버튼 클릭
3. 4단계 명령어가 표시됨:
   ① ECR 로그인
   ② Docker 이미지 빌드
   ③ 이미지 태그
   ④ 이미지 푸시

💡 명령어를 복사해서 터미널에 붙여넣기만 하면 됩니다!

🔗 VPC Endpoint가 필요한 이유:

프라이빗 서브넷의 ECS Task가 다음을 해야 할 때:
• ECR에서 이미지 Pull
• CloudWatch에 로그 전송
• S3에서 파일 읽기/쓰기
• Secrets Manager에서 비밀 값 가져오기

❌ Endpoint 없이: 인터넷 → NAT Gateway → AWS 서비스
✅ Endpoint 사용: VPC 내부 → 직접 AWS 서비스

📋 ECS/Fargate에 필요한 Interface Endpoints:

• com.amazonaws.{region}.ecr.api      - ECR API 호출
• com.amazonaws.{region}.ecr.dkr      - Docker 이미지 Pull
• com.amazonaws.{region}.logs         - CloudWatch Logs
• com.amazonaws.{region}.secretsmanager - Secrets Manager
• com.amazonaws.{region}.ssm          - Systems Manager

📋 Gateway Endpoints (무료!):

• com.amazonaws.{region}.s3        - S3 접근
• com.amazonaws.{region}.dynamodb  - DynamoDB 접근

💡 S3 Gateway Endpoint는 ECR 이미지 레이어 다운로드에도 사용됩니다
   (ECR은 이미지 레이어를 S3에 저장함)

🖱️ 콘솔 생성 단계:

1. VPC 콘솔 → Endpoints → Create endpoint
2. Name tag: 예) ecr-api-endpoint
3. Service category: AWS services
4. Services: 검색하여 선택
   예) com.amazonaws.ap-northeast-2.ecr.api
5. VPC: 대상 VPC 선택
6. Subnets: 프라이빗 서브넷 선택
7. Security groups: HTTPS(443) 허용하는 SG
8. Create endpoint

🏗️ ECS 구조:

ECS Cluster
  ├── Service A (웹 서버)
  │    ├── Task 1 (컨테이너 실행 중)
  │    ├── Task 2 (컨테이너 실행 중)
  │    └── Task 3 (컨테이너 실행 중)
  └── Service B (API 서버)
       ├── Task 1
       └── Task 2

🖱️ 콘솔 생성 단계:

1. ECS 콘솔 → Clusters → Create cluster
2. Cluster name: 예) demo-cluster
3. Infrastructure:
   ✅ AWS Fargate (serverless) - 권장
   ☐ Amazon EC2 instances
4. Monitoring: Container Insights 활성화 권장
5. Tags: 필요시 추가
6. Create 클릭

💡 Fargate 선택 시 몇 초 만에 클러스터가 생성됩니다!

📝 주요 설정 항목:

• Family: Task Definition 이름 (버전 관리됨)
• Launch type: Fargate 또는 EC2
• Task size: CPU와 메모리 할당량
• Container definitions:
  - Name: 컨테이너 이름
  - Image: ECR 이미지 URI
  - Port mappings: 컨테이너 포트
  - Environment variables: 환경 변수
  - Log configuration: CloudWatch Logs 설정
• Task role: 컨테이너가 AWS 서비스 접근 시 사용
• Execution role: ECS가 이미지 pull 등에 사용

🖱️ 콘솔 생성 단계:

1. ECS 콘솔 → Task definitions → Create new task definition
2. Task definition family: 예) demo-flask-task
3. Launch type: AWS Fargate
4. OS/Architecture: Linux/X86_64
5. Task size: CPU 0.5 vCPU, Memory 1 GB (테스트용)
6. Task role: 필요시 선택 (S3 접근 등)
7. Container - 1:
   - Name: flask-container
   - Image URI: ECR 이미지 URI 붙여넣기
   - Container port: 5000 (앱 포트)
   - Protocol: TCP
8. Logging: CloudWatch Logs 자동 설정
9. Create

🔗 ALB 트래픽 흐름:

사용자 → Internet → ALB → Target Group → ECS Tasks

• ALB: 트래픽 수신 및 분산
• Target Group: 트래픽을 받을 대상 그룹
• ECS Tasks: 실제 요청을 처리하는 컨테이너

📡 Listener 설정 예시:

• HTTP:80 → Target Group (개발/테스트용)
• HTTPS:443 → Target Group (프로덕션)

💡 프로덕션에서는 HTTPS를 사용하고,
   HTTP:80은 HTTPS:443으로 리다이렉트하세요

💓 Health Check 설정:

• Path: /health 또는 / (확인할 경로)
• Interval: 30초 (확인 주기)
• Timeout: 5초 (응답 대기 시간)
• Healthy threshold: 2 (연속 성공 횟수)
• Unhealthy threshold: 3 (연속 실패 횟수)

🖱️ 콘솔 생성 단계:

1. EC2 콘솔 → Load Balancers → Create
2. Type: Application Load Balancer
3. Name: 예) demo-alb
4. Scheme: Internet-facing (외부 접근용)
5. IP address type: IPv4
6. VPC: 대상 VPC 선택
7. Mappings: 2개 이상 AZ의 Public 서브넷 선택
8. Security group: HTTP(80) 허용하는 SG
9. Listener: HTTP:80
10. Target group: Create target group
    - Type: IP addresses (Fargate용)
    - Name: demo-tg
    - Port: 5000 (컨테이너 포트)
    - Health check path: /
11. Create load balancer

🔗 Service + ALB 연동 흐름:

1. Service가 Task 시작
2. Task가 healthy 상태가 되면
3. 자동으로 Target Group에 등록
4. ALB가 트래픽 전달 시작

Task 종료 시:
1. Target Group에서 해제 (draining)
2. 진행 중인 요청 완료 대기
3. Task 종료

⚙️ Rolling Update 설정:

• Minimum healthy percent: 50%
  → 업데이트 중 최소 유지 비율
• Maximum percent: 200%
  → 업데이트 중 최대 Task 비율

예: desired=4, min=50%, max=200%
→ 최소 2개 유지, 최대 8개까지 동시 실행

🖱️ 콘솔 생성 단계:

1. ECS 콘솔 → Clusters → 클러스터 선택
2. Services 탭 → Create
3. Compute options: Launch type - FARGATE
4. Task definition: 생성한 Task Definition 선택
5. Service name: 예) demo-flask-service
6. Desired tasks: 2 (또는 원하는 수)
7. Networking:
   - VPC: 대상 VPC
   - Subnets: Private 서브넷 선택
   - Security group: 컨테이너 포트 허용 (ALB SG에서)
   - Public IP: Off (Private 서브넷이므로)
8. Load balancing:
   - Type: Application Load Balancer
   - ALB: 생성한 ALB 선택
   - Target group: 생성한 Target Group 선택
9. Create

🔐 S3 접근 설정:

1. IAM Role 생성 (ECS Task용)
2. S3 권한 정책 연결:
   - s3:GetObject (읽기)
   - s3:PutObject (쓰기)
   - s3:ListBucket (목록 조회)
3. Task Definition에서 Task Role 지정

💡 컨테이너 내 코드에서 AWS SDK 사용:
   boto3 (Python), aws-sdk (Node.js) 등

📋 정책 비교:

버킷 정책 (리소스 기반):
  '이 버킷에 특정 계정/역할이 접근 가능'

IAM 정책 (자격 증명 기반):
  '이 역할은 특정 버킷에 접근 가능'

💡 ECS Task는 주로 IAM 정책(Task Role)을 사용합니다

📋 EFS + ECS 설정 단계:

1. EFS 파일 시스템 생성
2. Mount Target 생성 (각 AZ)
3. Security Group 설정 (NFS 2049 포트)
4. Task Definition에서:
   - Volumes: EFS 볼륨 추가
   - Container: Mount point 지정

💡 컨테이너 내 경로 예: /mnt/efs/data

📊 Target Tracking 설정 예시:

• 메트릭: ECSServiceAverageCPUUtilization
• 목표 값: 70%
• Scale-out cooldown: 60초
• Scale-in cooldown: 300초

→ 평균 CPU가 70%를 넘으면 Task 추가
→ 70% 미만이면 Task 감소

📈 Step Scaling 예시:

CPU 60-70%: Task 수 유지
CPU 70-80%: +1 Task
CPU 80-90%: +2 Tasks
CPU 90%+:   +3 Tasks

💡 급격한 트래픽 증가에 빠르게 대응 가능

🖱️ 콘솔 설정 단계:

1. ECS 콘솔 → Clusters → 클러스터 선택
2. Services → 서비스 선택 → Update
3. Service auto scaling 섹션:
   - Use service auto scaling: 체크
   - Minimum tasks: 2
   - Maximum tasks: 10
4. Scaling policy:
   - Policy type: Target tracking
   - Policy name: cpu-tracking
   - ECS service metric: ECSServiceAverageCPUUtilization
   - Target value: 70
   - Scale-out cooldown: 60
   - Scale-in cooldown: 300
5. Update

⏱️ Cooldown 권장 설정:

• Scale-out cooldown: 60초 (빠른 확장)
• Scale-in cooldown: 300초 (신중한 축소)

💡 Scale-in은 보수적으로 설정하세요.
   너무 빨리 줄이면 다시 늘려야 할 수 있습니다.

📋 Capacity Provider 종류:

• FARGATE: AWS 관리형 서버리스
• FARGATE_SPOT: 저렴한 Fargate (중단 가능)
• EC2 Auto Scaling Group: 직접 관리하는 EC2

💡 Fargate 사용 시 Capacity Provider는
   자동으로 설정되어 신경 쓸 필요 없습니다

📊 Strategy 예시:

비용 최적화 전략:
  - FARGATE_SPOT: base=0, weight=3
  - FARGATE: base=2, weight=1

→ 최소 2개는 안정적인 Fargate
→ 추가 Task는 75%가 Spot으로 실행

🔄 EC2 Capacity Provider 동작:

1. Service가 Task 추가 요청
2. 클러스터에 용량 부족 감지
3. Capacity Provider가 ASG에 인스턴스 추가 요청
4. 새 EC2 인스턴스 시작
5. ECS Agent가 클러스터에 등록
6. Task 배치 및 실행

⚙️ Managed Scaling 설정:

• Status: Enabled
• Target capacity: 100% (권장)
• Minimum scaling step size: 1
• Maximum scaling step size: 10

💡 Target capacity 100%:
   Task가 필요한 만큼만 인스턴스 유지

🔍 일반적인 원인과 해결:

1. 이미지 Pull 실패
   원인: ECR 권한 없음, 이미지 URI 오타
   해결: Execution Role에 ECR 권한 확인
         이미지 URI 정확히 복사

2. 리소스 부족 (EC2 Launch Type)
   원인: 클러스터에 CPU/메모리 부족
   해결: 인스턴스 추가 또는 Task size 줄이기

3. 네트워크 문제
   원인: VPC Endpoint 없음, Security Group 차단
   해결: 필요한 Endpoint 생성, SG 규칙 확인

📋 로그 확인 방법:

1. ECS 콘솔 → Clusters → 클러스터
2. Tasks 탭 → Task 선택
3. Logs 탭 클릭
4. 또는 CloudWatch 콘솔에서 직접:
   Log groups → /ecs/{task-definition-name}

💡 로그가 없다면:
   - Task Definition의 Log configuration 확인
   - Execution Role에 logs:CreateLogStream,
     logs:PutLogEvents 권한 확인

🛑 자주 보는 Stopped Reasons:

• Essential container exited
  → 컨테이너가 종료됨 (앱 오류, 크래시)
  → 로그에서 오류 메시지 확인

• CannotPullContainerError
  → 이미지 pull 실패
  → ECR 권한, 이미지 URI 확인

• ResourceNotFoundException
  → 리소스를 찾을 수 없음
  → Secrets, 파라미터 등 확인

• OutOfMemoryError
  → 메모리 부족
  → Task size 늘리기

🔧 ECS Exec 사용법:

1. Task Definition에서 enableExecuteCommand: true
2. Task Role에 SSM 권한 추가
3. Service 업데이트 (Enable Execute Command)

# 컨테이너 접속
aws ecs execute-command \
  --cluster demo-cluster \
  --task {task-id} \
  --container flask-container \
  --interactive \
  --command "/bin/sh"

💡 컨테이너 내부에서 직접 확인 가능:
   환경 변수, 파일, 네트워크 연결 등

💓 Health Check 문제 해결:

1. Health Check 경로 확인
   - 앱에서 해당 경로가 200 응답하는지
   - 예: curl http://localhost:5000/health

2. 포트 매핑 확인
   - Target Group 포트 = 컨테이너 포트

3. Security Group 확인
   - ALB → Task 포트 허용되어 있는지

4. 시작 시간 고려
   - Health Check Grace Period 늘리기
   - 앱 시작에 시간이 걸리면 초기 실패 가능

🛠️ 디버깅 CLI 명령어:

# Task 목록 및 상태 확인
aws ecs list-tasks --cluster demo-cluster
aws ecs describe-tasks --cluster demo-cluster --tasks {task-id}

# 중지된 Task 원인 확인
aws ecs describe-tasks --cluster demo-cluster \
  --tasks {task-id} \
  --query 'tasks[0].stoppedReason'

# Service 이벤트 확인
aws ecs describe-services --cluster demo-cluster \
  --services demo-service \
  --query 'services[0].events[:5]'

# 최근 로그 확인
aws logs tail /ecs/demo-task --follow