ECS Fargate pra dev: quando escolher vs Lambda
⏱ 12 min·⭐ 55 XP
Pré-requisitos (0/1)0%
- ⬜🔐 Secrets Manager vs Parameter Store: escolha(AWS Developer Associate (DVA-C02))
Recomendamos completar os pré-requisitos antes de seguir, mas nada te impede de continuar.
Anatomia de um deployment
- Cluster: agrupamento lógico de services.
- Task Definition: JSON com container specs (revisões imutáveis).
- Service: mantém N tasks rodando; integra com ALB target group; deploy strategy (rolling/blue-green).
- Task: instância rodando a Task Def.
Você define
Dockerfilecomo a imagem é construída
ECRimagem versionada por tag/digest
Task Definition
Task DefinitionCPU, memória, portas, env, logs
Task Roleo que o CONTAINER pode na AWS
Execution Roleo que o ECS pode: pull e log
Service
Servicemantém N tasks e faz rolling update
ExecuçãoVPC
Task no FargateENI própria, IP próprio
Entrada e saídaVPC
ALBtarget group tipo IP
CloudWatch Logsawslogs driver
- → build e push
- → referencia a imagem
- → anexa
- → anexa
- → qual revisão rodar
- → cria e substitui
- → roteia
- Fora da AWS
- Compute
- Segurança e identidade
- Rede e entrega
- Gestão e governança
Cinco peças em cadeia: Dockerfile gera imagem, imagem entra na Task Definition, Task Definition é usada pelo Service, Service cria as tasks. As duas roles são o ponto que mais confunde — Execution é do ECS, Task é do seu código.
- Task Definition é o molde, não a execução. Ela descreve CPU, memória, imagem, portas e variáveis. Cada alteração cria uma REVISÃO nova — e o Service aponta para uma revisão específica. Deploy é apontar o Service para a revisão nova.
- Duas roles, e a prova troca as duas. Execution Role é do agente: puxar imagem do ECR e escrever log. Task Role é do SEU container: acessar S3, DynamoDB, Secrets. Colocar permissão de aplicação na Execution Role é o erro clássico.
- Service mantém a contagem. Ele garante N tasks rodando e faz rolling update respeitando minimumHealthyPercent e maximumPercent — os dois parâmetros que decidem se o deploy tem downtime ou custa capacidade extra.
- No Fargate cada task tem ENI e IP. Network mode awsvpc: a task ganha interface de rede própria, com Security Group próprio. Por isso o target group do ALB é do tipo IP, não instance.
- Log precisa ser configurado. O awslogs driver é declarado na Task Definition. Sem ele, o stdout do container não vai a lugar nenhum — e você fica depurando sem log, que é o pior lugar para estar.
{
"family": "api-pedidos",
"networkMode": "awsvpc",
"requiresCompatibilities": ["FARGATE"],
"cpu": "512", "memory": "1024",
"executionRoleArn": "arn:aws:iam::123:role/ecsTaskExecutionRole",
"taskRoleArn": "arn:aws:iam::123:role/apiPedidosTaskRole",
"containerDefinitions": [{
"name": "api",
"image": "123.dkr.ecr.us-east-1.amazonaws.com/api-pedidos:sha-a1b2c3",
"portMappings": [{ "containerPort": 8080 }],
"secrets": [
{ "name": "DB_SENHA", "valueFrom": "arn:aws:secretsmanager:...:prod/rds" }
],
"logConfiguration": {
"logDriver": "awslogs",
"options": { "awslogs-group": "/ecs/api-pedidos", "awslogs-region": "us-east-1",
"awslogs-stream-prefix": "ecs" }
},
"healthCheck": {
"command": ["CMD-SHELL", "curl -f http://localhost:8080/health || exit 1"],
"interval": 30, "timeout": 5, "retries": 3, "startPeriod": 60
}
}]
}Onde isso entra no exame
📘 Domain 3 — Deployment· 24%
A questão típica separa task definition (o molde) de service (quem mantém N cópias rodando), e pergunta quando Fargate elimina o gerenciamento de capacidade. Saiba que o modo `awsvpc` dá ENI própria à task e que a task assume permissão via task role — instance profile é a alternativa errada em Fargate, porque não há instância sua.
Quiz rápido
Qual role o container usa para chamar a API do DynamoDB?
ECR — Elastic Container Registry
💡
ECR hospeda imagens privadas. Lifecycle policies removem versões antigas automaticamente (manter últimas 10, ou < 30 dias). Scan on push detecta CVEs. CodeBuild pushes → Task Def referencia → Service faz deploy.
Perguntas frequentes
❓ Contêiner ou função: como decidir como desenvolvedor?
Função quando a execução é curta, orientada a evento e o limite de tempo cabe. Contêiner quando o processo é longo, precisa de estado em memória, usa runtime ou biblioteca de sistema que não caberia no pacote, ou você quer o mesmo artefato rodando local e em produção. O limite de tempo decide na maioria.
❓ O que é definição de tarefa?
A receita do contêiner: imagem, CPU e memória, variáveis, papel de execução, registro. Ela é versionada, e o serviço aponta para uma versão — atualizar é registrar uma nova e apontar. Editar em produção sem versionar é o que impede reverter para o que funcionava.
❓ Como o contêiner recebe permissão da AWS?
Por papel de tarefa, que entrega credencial temporária ao contêiner — separado do papel de execução, que serve para a plataforma buscar imagem e escrever registro. Confundir os dois é a causa mais comum de "funciona local e falha na nuvem" com erro de acesso negado.
Fixando
Quiz rápido
O deploy de um service ECS está causando indisponibilidade momentânea. Quais parâmetros controlam isso?
Quiz rápido
Por que o target group do ALB deve ser do tipo IP quando o network mode é awsvpc?
Terminou de ler?
Marcar como concluído registra o XP, mantém sua sequência e coloca 3 cartas deste módulo na fila de revisão espaçada.
Próximos passos sugeridos
Temas deste módulo
Discussão
Carregando comentários…