将容器部署到 ECS Fargate

先构建一个小而可用的镜像

如果你还没有 Dockerfile，这是一个合理的 Node 起点：

# Dockerfile
FROM node:20-alpine
WORKDIR /app
COPY package*.json ./
RUN npm ci --omit=dev
COPY . .
ENV PORT=8080
EXPOSE 8080
CMD ["node", "server.js"]

在本地构建并测试：

docker build -t mybrand-api:latest .
docker run -p 8080:8080 mybrand-api:latest
curl http://localhost:8080/health

如果本地跑不通，放到 Fargate 上也不会通。在往 AWS 走之前，先确保本地镜像健康。

每个镜像对应一个仓库；默认私有

# Create the repo
aws ecr create-repository --repository-name mybrand-api --region us-east-1

# Authenticate Docker to ECR
aws ecr get-login-password --region us-east-1 \
  | docker login --username AWS --password-stdin \
    <ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com

# Tag the local image with the ECR URL
docker tag mybrand-api:latest \
  <ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com/mybrand-api:latest

# Push
docker push <ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com/mybrand-api:latest

完整的镜像 URI——<ACCOUNT_ID>.dkr.ecr.<REGION>.amazonaws.com/<REPO>:<TAG>——将被任务定义引用。记下账户 ID 和区域，后面会频繁用到。

两个角色：执行角色与任务角色

ECS 需要两个不同的 IAM 角色，混淆它们是首次部署失败的头号原因：

• 任务执行角色（ecsTaskExecutionRole）——由 ECS/Fargate 本身使用，用于从 ECR 拉取镜像并将日志写入 CloudWatch。AWS 提供了一个托管策略（AmazonECSTaskExecutionRolePolicy），正好满足需求。
• 任务角色——由你的应用代码在调用 AWS API 时使用（例如从 S3 读取数据）。默认为空；按需为你的应用添加策略。

每个账户只需创建一次执行角色：

aws iam create-role --role-name ecsTaskExecutionRole \
  --assume-role-policy-document '{
    "Version": "2012-10-17",
    "Statement": [{"Effect":"Allow","Principal":{"Service":"ecs-tasks.amazonaws.com"},"Action":"sts:AssumeRole"}]
  }'
aws iam attach-role-policy --role-name ecsTaskExecutionRole \
  --policy-arn arn:aws:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy

任务角色因项目而异；如果你的服务不调用 AWS API，可以省略。

描述单个运行实例的 JSON

保存为 task-definition.json：

{
  "family": "mybrand-api",
  "networkMode": "awsvpc",
  "requiresCompatibilities": ["FARGATE"],
  "cpu": "256",
  "memory": "512",
  "executionRoleArn": "arn:aws:iam::<ACCOUNT_ID>:role/ecsTaskExecutionRole",
  "containerDefinitions": [{
    "name": "api",
    "image": "<ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com/mybrand-api:latest",
    "portMappings": [{"containerPort": 8080, "protocol": "tcp"}],
    "essential": true,
    "logConfiguration": {
      "logDriver": "awslogs",
      "options": {
        "awslogs-group": "/ecs/mybrand-api",
        "awslogs-region": "us-east-1",
        "awslogs-stream-prefix": "ecs",
        "awslogs-create-group": "true"
      }
    }
  }]
}

Fargate 最小任务规格为 256 CPU 单元（¼ vCPU）+ 512 MB 内存。大多数 API 在这个配置下运行良好。注册任务定义：

aws ecs register-task-definition --cli-input-json file://task-definition.json

将流量引入任务的网络层

这部分在控制台操作确实更快。AWS 控制台 → ECS → 创建集群 → 命名为 mybrand-prod → 基础设施选择 AWS Fargate（无服务器） → 创建。

然后单独创建 Application Load Balancer：EC2 → 负载均衡器 → 创建负载均衡器 → Application Load Balancer：

• 方案：面向互联网。IP 地址类型：IPv4。
• VPC：使用默认 VPC。映射：至少选择两个不同可用区的子网（Fargate 强制要求）。
• 安全组：新建一个，允许来自任意来源的入站 80 + 443 端口。
• 监听器：HTTP:80，转发到新建的目标组 mybrand-api-tg，目标类型为 IP，协议 HTTP，端口 8080，健康检查路径 /health（或你的应用返回 200 的任意路径）。

创建完成后，ALB 会有类似 mybrand-prod-12345.us-east-1.elb.amazonaws.com 的 DNS 名称。记下它；步骤 8 会将你的域名指向它。

"在这个 ALB 后面持续运行 N 个任务"

ECS 控制台 → 你的集群 → 创建服务：

• 启动类型：FARGATE。
• 任务定义：mybrand-api（最新修订版）。
• 服务名称：mybrand-api。
• 所需任务数：冗余部署填 2，测试填 1。
• 网络：默认 VPC，与 ALB 相同的两个子网，步骤 5 中创建的安全组。
• 负载均衡：关联到 ALB。目标组：mybrand-api-tg。负载均衡的容器：api:8080。

创建。Fargate 拉取镜像、启动任务，并将其注册到目标组。2–3 分钟后，服务显示"ACTIVE"，目标组显示健康目标。测试：

curl http://<ALB_DNS_NAME>/health
# Expected: ok

与 CloudFront 不同：ALB 使用所在区域的证书

与 CloudFront 不同（CloudFront 只读取 us-east-1 的证书），ALB 使用与自身同区域的证书。如果你的 ALB 在 us-east-1，证书需要在 us-east-1；如果在 eu-west-2，证书就需要在那里。

aws acm request-certificate \
  --domain-name api.mybrand.com \
  --validation-method DNS \
  --region <SAME_REGION_AS_ALB>

如果 DNS 在同账户的 Route 53 中，控制台会提供"在 Route 53 中创建记录"来完成验证 CNAME。否则在你的 DNS 提供商处手动添加 CNAME。等待 ACM 显示"已颁发"——通常需要 5–15 分钟。

一个 HTTPS 监听器；一条 Route 53 别名记录

EC2 → 负载均衡器 → 你的 ALB → 监听器标签页 → 添加监听器：

• 协议：HTTPS。端口：443。
• 默认操作：转发到同一目标组（mybrand-api-tg）。
• SSL/TLS 证书：步骤 7 中申请的 ACM 证书。

可选：编辑 HTTP:80 监听器，将其重定向到 HTTPS:443。保存。

现在将 DNS 指向 ALB。在 Route 53 → 你的托管区 → 创建记录：

• 名称：api。
• 类型：A。别名：开启。流量路由到：Application 和 Classic Load Balancer 的别名 → 区域 → 你的 ALB。

保存。测试：curl -I https://api.mybrand.com/health。你应该看到 HTTP/2 200。

构建、推送、强制新部署

完成所有初始配置后，每次后续部署只需三条命令：

# Build the new image
docker build -t mybrand-api:latest .

# Push to ECR (auth refresh might be needed first)
docker tag mybrand-api:latest \
  <ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com/mybrand-api:latest
docker push <ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com/mybrand-api:latest

# Tell ECS to roll out new tasks with the same task definition (which references :latest)
aws ecs update-service \
  --cluster mybrand-prod \
  --service mybrand-api \
  --force-new-deployment

ECS 执行滚动部署：启动新任务，等待它们通过 ALB 健康检查，排空旧任务的连接，然后终止它们。默认零停机。在 ECS 控制台你的服务的部署标签页下可以观察部署进度。

回滚方法：ECS 永久保留历史任务定义修订版本。将服务更新为使用上一个修订版：aws ecs update-service --cluster mybrand-prod --service mybrand-api --task-definition mybrand-api:<PREVIOUS_REVISION>。滚动部署机制相同，只是方向反过来了。