AWS ECS Gateway mit generated Hostnames und ohne Custom Domains
Amazon ECS Gateway bietet generierte Hostnames ohne Custom Domain
Der Gateway wird von Principal Developer Advocate Channy Yun wie folgt beschrieben:
eine neue Ressource auf Konto-Ebene, die das Ingress-Networking für containerisierte Workloads vereinfacht, indem die erforderliche Infrastruktur dynamisch in Ihrem Auftrag bereitgestellt und verwaltet wird, wobei alle Ressourcen direkt in Ihrem Konto erstellt werden.
Er ist in allen kommerziellen Regionen verfügbar, in denen ECS läuft, ohne zusätzliche Kosten über die von ihm bereitgestellten Ressourcen hinaus. Die erste Frage der Praktiker war, wie sie ihre eigene Domain davor schalten können.
Die Aufteilung, die er einführt, ist organisatorischer Natur. Plattform-Teams erstellen einen Gateway mit einer Infrastruktur-IAM-Rolle, Subnetzen, Security Groups, TLS-Zertifikaten, Listener-Einstellungen und optionalen WAF Web ACLs und verknüpfen ihn dann mit Clustern. Anwendungsteams fügen über CreateService oder UpdateService einen Gateway Connector hinzu, und ECS stellt pro Service ein ACM-Zertifikat, einen Hostnamen, eine Listener-Regel, eine Target Group und eine Security Group bereit, die Traffic nur vom Load Balancer akzeptiert.
Amazon ECS Gateway Architektur. (Quelle: AWS News Blog Post)
Auf Reddit ging der Kommentator zurnout direkt den Hostnamen an:
Ich verstehe nicht, wie das überhaupt nützlich ist, da man für seinen ECS-Service einen zufälligen Domainnamen bekommt. Wie soll ich den Traffic dorthin lenken? Bei ECS Express ist es dasselbe.
Auf die Frage, ob ein CNAME das Problem lösen würde, erklärte er, warum das nicht der Fall wäre:
Es erstellt hostbasierte Regeln im Load Balancer, also wüsste er nicht, wohin er routen soll, wenn man einen CNAME verwenden würde.
Der Kommentator ResponsibleWaltz1479 kam zum selben Schluss und nannte das Feature nutzbar für "ephemere bzw. Preview-Umgebungen, wenn die Anwendung den Hostnamen nicht kennt," aber nicht für sein bestehendes Setup.
Die Dokumentation stützt diese Lesart. Jeder Service "erhält einen generierten Hostnamen in der Form https://<unique-id>.ecs.<region>.on.aws," und "Amazon ECS nutzt hostbasiertes Routing, um Anfragen von einem gemeinsam genutzten Application Load Balancer an den entsprechenden Service zu leiten." Eigene Domainnamen, Route 53 und CNAME-Einträge werden nicht erwähnt. Der Kommentator Kralizek82 brachte den einen Workaround ins Spiel, den niemand auflöste, und fragte, ob ein Gateway als interne CloudFront-Origin dienen könnte.
Die Meinungen gehen auseinander, ob der Service substanziell ist. Der Kommentator bioJesusMain nannte ihn:
Es könnte genauso gut ein CDK-Konstrukt auf Basis von ALB/NLB und Route 53 sein.
Der Kommentator brokenlabrum antwortete darauf aus Erfahrung:
Diese übergeordneten L3-Konstrukte haben sich oft als Fehler erwiesen, weil sie jeden Regelknopf der L2-Konstrukte, die sie umhüllen, freilegen müssen. Und wenn sie Meinung statt Optionen bieten und es nicht tun, ist der Ausstieg aus einem L3-Konstrukt ohne Löschung der eigenen Ressourcen die Hölle.
Der Kommentator Aggressive-Height167 machte den Fall dafür geltend und stellte fest, dass es, wenn ein Cloud-Team das Networking einmal definiert und Anwendungsteams dagegen bereitstellen, "wie eine ziemlich solide Verbesserung wirkt." Der Lackmustest bestehe, so fügte er hinzu, darin, "ob es tatsächlich Komplexität entfernt, ohne zu viel Kontrolle wegzunehmen."
Die Dokumentation ergänzt ein Kostendetail, das die Ankündigung unerwähnt lässt. Ein Gateway fügt Load Balancer hinzu, wenn bestehende sich füllen, und entfernt sie erst, wenn sie sich leeren, aber er "konsolidiert keine Load Balancer" und "verschiebt keine Services zwischen Load Balancern, sodass mehrere teilweise gefüllte Load Balancer übrig bleiben können, wenn Services weggehen." Jeder einzelne wird abgerechnet.
Der Kommentator jregovic wies darauf hin, dass mehr als 25 Services mehr als einen Load Balancer bedeuten. Ein AWS-Mitarbeiter antwortete, dass "mehrere ALBs vom Gateway selbst verwaltet werden, das ist also nichts, um das Sie sich kümmern müssen." Der Gateway verwaltet sie durchaus. Er packt sie nicht.
ECS "stellt zudem außerhalb von ihm vorgenommene Änderungen nicht wieder her." Wird eine verwaltete Ressource geändert oder gelöscht, kann der Traffic "stoppen," und spätere Deployments, Gateway-Updates und Aufräumoperationen können fehlschlagen.
Der Rahmen ist konkret. Fünfundzwanzig Services teilen sich einen Load Balancer, bei einem Standardwert von maxAlbCount mit 10 und einer dokumentierten Obergrenze von 200 pro Gateway. AWS warnt, dass "das Deployment fehlschlägt, wenn maxAlbCount erreicht ist und kein ALB freie Kapazität hat." Listener bedienen ausschließlich HTTPS auf Port 443; Dienste müssen awsvpc-Netzwerkmodus in derselben VPC und demselben Konto verwenden, und Express-Mode-Services sind ausgeschlossen.
Der meistgewählte Kommentar des Threads verwarf den Launch als "ein Promotion-Projekt," und mehrere Kommentatoren fragten, warum AWS Elastic Beanstalk das Gebiet nicht bereits abdeckt, wobei einer auf dessen Cluster-Mode-Release im vergangenen Monat verwies. Der Kommentator dmcnaughton1 zeigte die andere Seite auf und sagte, eine laufende ECS-Migration sei früh genug dran, um es zu übernehmen.
15. bis 16. Dezember 2026. Erleben Sie, wie erfahrene Praktiker Agents, Evals, Model Serving und KI-gestütztes Engineering in Produktion betreiben, einschließlich dessen, was scheiterte und was sich änderte. Jetzt registrieren.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
The gateway is described by principal developer advocate Channy Yun as:
a new account-level resource that simplifies ingress networking for containerized workloads by dynamically provisioning and managing the necessary infrastructure on your behalf, with all resources created directly in your account.
It is available in all commercial regions where ECS runs, at no additional charge beyond the resources it provisions. The first question practitioners asked was how to put their own domain in front of it.
The split it introduces is organizational. Platform teams create a gateway with an infrastructure IAM role, subnets, security groups, TLS certificates, listener settings, and optional WAF web ACLs, then associate it with clusters. Application teams add a gateway connector through CreateService or UpdateService, and ECS provisions per service an ACM certificate, a hostname, a listener rule, a target group, and a security group accepting traffic only from the load balancer.
Amazon ECS Gateway architecture. (Source: AWS News Blog post )
On Reddit, commenter zurnout went straight at the hostname:
I don’t get how this is useful at all since you get a random domain name for your ecs service. How am I going to direct traffic to that? It’s the same thing with ECS Express.
Asked whether a CNAME would solve it, he explained why it would not:
It creates host-based rules in the load balancer, so it wouldn’t know where to route if you used a CNAME.
Commenter ResponsibleWaltz1479 reached the same conclusion, calling the feature usable "for ephemeral /preview environments if the app is not hostname aware," but not for their existing setup.
The documentation supports the reading. Each service "gets a generated hostname in the form https://<unique-id>.ecs.<region>.on.aws," and "Amazon ECS uses host-based routing to direct requests from a shared Application Load Balancer to the appropriate service." Custom domain names, Route 53, and CNAME records go unmentioned. Commenter Kralizek82 raised the one workaround nobody resolved, asking whether a gateway could serve as an internal CloudFront origin.
Opinion split on whether the service is substantial. Commenter bioJesusMain called it:
It could even just be a CDK construct on top of ALB/NLB and Route 53
Commenter brokenlabrum answered that from experience:
Those higher level L3 constructs have often turned out to be a mistake because they need to expose every knob on the L2 constructs they wrap. And if they’re opinionated and don’t, ejecting from an L3 construct without it deleting your resources is hell.
Commenter Aggressive-Height167 put the case for it, noting that letting a cloud team define networking once while application teams deploy against it "seems like a pretty solid improvement." The test, they added, "is whether it actually removes complexity without taking away too much control."
The documentation adds a cost detail the announcement leaves out. A gateway adds load balancers as existing ones fill and removes them only when they empty, but it "does not consolidate load balancers" and "does not move services between load balancers, so several partly filled load balancers can remain after services leave." Each one is billed.
Commenter jregovic noted that more than 25 services means more than one load balancer. An AWS respondent answered that "multiple ALBs are handled by the gateway itself - so it’s not something that you need to worry about." The gateway does handle them. It does not pack them.
ECS also "does not repair changes made outside it." Modify or delete a managed resource and traffic "can stop," with later deployments, gateway updates, and cleanup operations liable to fail.
The envelope is specific. Twenty-five services share one load balancer, against a default maxAlbCount of 10 and a documented ceiling of 200 per gateway. AWS warns that "if maxAlbCount is reached and no ALB has available capacity, the deployment fails." Listeners serve HTTPS on port 443 only; services must use awsvpc networking in the same VPC and account, and Express Mode services are excluded.
The thread’s most upvoted comment dismissed the launch as "a promotion project," and several commenters asked why AWS Elastic Beanstalk did not already cover the ground, one pointing at its Cluster Mode release last month. Commenter dmcnaughton1 offered the other side, saying a current ECS migration was early enough to adopt it.
December 15–16, 2026. Examine how senior practitioners run agents, evals, model serving, and AI-assisted engineering in production, including what failed and what changed. Register Now.