الحاويات: ECS وFargate وEKS

في الجزء التاسع عشر فصلنا الخدمات عن بعض. بس كل خدمة لسا تحتاج مكان تشتغل فيه، وعلى سيرفر EC2 هذا يعني صورة نظام، وتحديثات، ومكتبات، والجملة المشهورة: "عندي يشتغل".

الحاويات (Containers) تحل هذا: تغلف التطبيق مع كل اللي يحتاجه في حزمة وحدة، ويشتغل بنفس الطريقة على جهازك وفي الإنتاج.

وش هي الحاوية؟ #

الحاوية عملية معزولة لها ملفاتها ومكتباتها، وتتشارك نظام تشغيل المضيف بدل ما تحمل نظامها.

الصورة والحاوية والمستودع #

ثلاث كلمات بتتكرر عليك:

• الصورة (Image): حزمة للقراءة فقط فيها التطبيق ومكتباته، مثل الوصفة.
• الحاوية (Container): نسخة شغالة من الصورة. والصورة الوحدة تشتغل كألف حاوية.
• المستودع (Registry): مكان تخزين الصور، مثل Docker Hub أو Amazon ECR.

أشهر أداة لبناء الصور هي Docker. تكتب محتوى الصورة في ملف Dockerfile:

FROM nginx:alpine
COPY index.html /usr/share/nginx/html/

ثم تبنيها، وتجربها على جهازك، وترفعها للمستودع:

docker build -t shop .
docker run -p 8080:80 shop
docker push 123456789012.dkr.ecr.us-east-1.amazonaws.com/shop

Amazon ECR: بيت صورك #

ECR (Elastic Container Registry) مستودع الصور في AWS، وتخزينه على S3 من وراء الكواليس:

• مستودعات خاصة: الوصول لها عبر IAM، فالسيرفر أو المهمة تحتاج صلاحية عشان تسحب.
• مستودعات عامة: أي أحد يسحب منها، عبر معرض ECR Public.
• إضافات: فحص الصور من الثغرات، وإصدارات بالوسوم، وقواعد دورة حياة تحذف الصور القديمة.

Amazon ECS: طريقة AWS لتشغيل الحاويات #

ECS (Elastic Container Service) ياخذ صورك ويشغلها، ويبقيها شغالة، ويحطها خلف موزع حمل. هو خدمة AWS الخاصة، وأبسط من Kubernetes، والخدمة نفسها ما عليها رسوم إضافية. تدفع على السعة اللي تشتغل عليها.

أربع مصطلحات تغطي الخدمة كلها:

مين يشغّل الحاويات؟ #

الحاويات تحتاج سعة حوسبة، وعندك ثلاث خيارات:

مع Fargate تحدد المعالج والذاكرة للمهمة، وتدفع عليها طول ما هي شغالة. وFargate Spot يخفض السعر كثير للمهام اللي تتحمل الانقطاع، بنفس فكرة سيرفرات Spot.

دورين في IAM، والخلط بينهم كلاسيكي #

كل مهمة على Fargate ممكن يكون لها دورين، وكل واحد له شغل مختلف:

لو فشلت المهمة عند التشغيل بخطأ في السحب، شوف Execution Role. ولو جاء كودك AccessDenied وهو شغال، شوف Task Role. وخل لكل خدمة دورها، مو دور واحد مشترك.

الشبكة وتوزيع الحمل #

على Fargate كل مهمة تاخذ واجهة شبكة خاصة فيها وIP خاص، فلها Security Group مثل السيرفر. وحط موزع حمل ALB قدام الـ Service، وهو يسجل المهام الجديدة تلقائياً ويشيل الفاشلة. وهذا يناسب أغلب تطبيقات الويب، وتختار NLB للسعة العالية جداً أو عناوين IP الثابتة.

التخزين #

قرص الحاوية يروح معها. ولمشاركة الملفات بين المهام، اربط EFS، ويشتغل على Fargate وEC2. وأي شي مهم، خزنه خارج الحاوية في S3 أو قاعدة بيانات.

التوسع #

Service Auto Scaling يغيّر عدد المهام حسب متوسط المعالج أو الذاكرة، أو الطلبات لكل مهمة من موزع الحمل، أو جدول زمني. والسياسات هي نفسها اللي شفناها في الجزء السابع.

وعلى Fargate هذا كل اللي تحتاجه. أما مع EC2 فيه طبقة ثانية، لأنك تحتاج سيرفرات تنزل عليها المهام الجديدة. Capacity Provider يربط الـ Service بمجموعة Auto Scaling ويزيد السيرفرات لما تحتاجها المهام.

مو بس خدمات ويب #

المهام مو لازم تبقى شغالة دايماً. ثلاث أنماط معروفة:

ECS Express Mode: الطريق المختصر #

تبي تطبيق ويب من صورة بدون ما تجهز كل قطعة؟ ECS Express Mode ياخذ صورة ودورين، وينشئ Service على Fargate وموزع حمل وفحوصات صحة وتوسع ورابط. وكلها تبقى في حسابك، فتقدر تعدلها بعدين.

Amazon EKS: Kubernetes #

Kubernetes نظام مفتوح المصدر لتشغيل الحاويات، منتشر في كل السحابات ومراكز البيانات. EKS (Elastic Kubernetes Service) يشغّل لك طبقة التحكم فيه عبر عدة مناطق توفر، بـ 0.10 دولار في الساعة لكل Cluster للإصدارات اللي تحت الدعم العادي، فوق تكلفة السعة. والإصدار اللي تجاوز هذي الفترة يكلف 0.60 دولار في الساعة.

المصطلحات تختلف عن ECS: المهمة اسمها Pod، والسيرفر اسمه Node.

وللتخزين، يستخدم EKS تعريفات CSI لربط EBS أو EFS أو FSx.

ECS أو EKS؟ #

لو ما فيه شي يدفعك لـ Kubernetes، ابدأ بـ ECS على Fargate.

حاويات على سيرفراتك #

تحتاج نفس الأدوات خارج AWS، مثل مركز بياناتك؟

عملي: Service يعوض مهمة وقفت #

بنشغل صورة Nginx عامة على Fargate، بدون بناء شي. من CloudShell، أنشئ الـ Cluster واكتب الوصفة. والصورة من مستودع عام بدون سجلات ما تحتاج Execution Role:

aws ecs create-cluster --cluster-name series-cluster \
  --query cluster.status

cat > task.json <<'EOF'
{
  "family": "web",
  "requiresCompatibilities": ["FARGATE"],
  "networkMode": "awsvpc",
  "cpu": "256",
  "memory": "512",
  "containerDefinitions": [{
    "name": "web",
    "image": "public.ecr.aws/nginx/nginx:latest",
    "portMappings": [{"containerPort": 80}],
    "essential": true
  }]
}
EOF

aws ecs register-task-definition --cli-input-json file://task.json \
  --query taskDefinition.family

جهز الشبكة: الـ VPC الافتراضي، وSubnet، وSecurity Group يسمح بالمنفذ 80 من CloudShell حقك فقط:

VPC=$(aws ec2 describe-vpcs --filters Name=isDefault,Values=true \
  --query "Vpcs[0].VpcId" --output text)
SUBNET=$(aws ec2 describe-subnets --filters Name=vpc-id,Values=$VPC \
  --query "Subnets[0].SubnetId" --output text)

SG=$(aws ec2 create-security-group --group-name series-web \
  --description "Series web task" --vpc-id $VPC \
  --query GroupId --output text)
aws ec2 authorize-security-group-ingress --group-id $SG \
  --protocol tcp --port 80 \
  --cidr $(curl -s https://checkip.amazonaws.com)/32

NET="awsvpcConfiguration={subnets=[$SUBNET],securityGroups=[$SG],assignPublicIp=ENABLED}"

شغّل مهمة وحدة. لو هذا أول استخدام لك لـ ECS وجاك خطأ عن الدور المرتبط بالخدمة، انتظر شوي وأعد الأمر:

TASK=$(aws ecs run-task --cluster series-cluster --task-definition web \
  --launch-type FARGATE --network-configuration "$NET" \
  --query "tasks[0].taskArn" --output text)

aws ecs wait tasks-running --cluster series-cluster --tasks $TASK

خذ عنوانها وجربها:

ENI=$(aws ecs describe-tasks --cluster series-cluster --tasks $TASK \
  --query "tasks[0].attachments[0].details[?name=='networkInterfaceId'].value" \
  --output text)
IP=$(aws ec2 describe-network-interfaces --network-interface-ids $ENI \
  --query "NetworkInterfaces[0].Association.PublicIp" --output text)

curl -s http://$IP | grep -i "<title>"

بتشوف <title>Welcome to nginx!</title>. أول حاوية لك شغالة، بدون أي سيرفر تشوفه. الحين أوقفها، وبتبقى واقفة لأن ما فيه أحد يهتم فيها:

aws ecs stop-task --cluster series-cluster --task $TASK \
  --query task.lastStatus

أنشئ Service يبقي مهمة وحدة شغالة:

aws ecs create-service --cluster series-cluster --service-name web \
  --task-definition web --desired-count 1 --launch-type FARGATE \
  --network-configuration "$NET" --query service.status

aws ecs wait services-stable --cluster series-cluster --services web

FIRST=$(aws ecs list-tasks --cluster series-cluster --service-name web \
  --query "taskArns[0]" --output text)
echo $FIRST

aws ecs stop-task --cluster series-cluster --task $FIRST \
  --query task.lastStatus

انتظر دقيقة، ثم اعرض المهام:

aws ecs list-tasks --cluster series-cluster --service-name web \
  --query taskArns

الرقم تغير. الـ Service لاحظ إن المهمة راحت وشغل غيرها بدون ما تحرك إصبع.

aws ecs delete-service --cluster series-cluster --service web --force \
  --query service.status
aws ecs wait services-inactive --cluster series-cluster --services web
aws ecs delete-cluster --cluster series-cluster --query cluster.status
aws ecs deregister-task-definition --task-definition web:1 \
  --query taskDefinition.status
aws ec2 delete-security-group --group-id $SG

الخلاصة #

• الحاوية تغلف التطبيق ومكتباته وتتشارك نظام المضيف، فهي خفيفة وسريعة.
• ECR يخزن الصور، وECS يشغلها عبر Task Definition وTask وService.
• Fargate يريحك من إدارة السيرفرات، وهو أفضل بداية.
• Execution Role لـ ECS، وTask Role لكودك.
• EKS لمن يحتاج Kubernetes، وECS Express Mode الطريق المختصر لتطبيق ويب.

اختبر نفسك #

قبل ما تكمل، جرّب هذي الأسئلة عشان تتأكد إنك فهمت الجزء. كل سؤال موقف عملي، وبعد ما تجاوب يطلع لك الشرح.

الحاويات لسا تشتغل وتكلف وهي منتظرة. طيب لو كودك يشتغل بس لما يكون فيه شغل، وما تدفع شي غير كذا؟ في الجزء الحادي والعشرين نبني API بـ Lambda وAPI Gateway وDynamoDB.