Amazon ECS: RunTask および StartTask API で IAM 条件キーによる CPU/メモリ制限が可能に

Amazon Elastic Container Service (Amazon ECS) において、IAM 条件キー ecs:task-cpu および ecs:task-memory のサポート範囲が拡張されました。これにより、これまで RegisterTaskDefinition や CreateService 等でしか利用できなかったリソース制限の制御が、タスクを直接起動する RunTask および StartTask API でも適用可能になります。これにより、ECS 環境全体で一貫したリソース割り当ての強制が可能となります。

💡 今回のアップデートのポイント

これまで ECS のリソース管理において、**「タスク定義レベルでは制限をかけているのに、RunTask で直接起動されると制限を回避できてしまう」**というガバナンス上の隙間がありました。今回の拡張により、タスクの起動タイミングで IAM ポリシーによる CPU/メモリの評価が行われるようになるため、意図しない高スペックなタスクの起動を確実にブロックできるようになります。

🛠️ 技術的なメリットと解決策

• 課題: RunTask 等による直接起動時に、管理者の意図しない過大なリソース割り当て（コスト増大やリソース枯渇のリスク）を防げなかった。
• 解決策: IAM 条件キーを RunTask / StartTask にも適用することで、サービス経由・直接起動を問わず、単一のポリシーでリソース制限を強制できる。

🇯🇵 日本国内での利用について

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。本機能は Amazon ECS が利用可能なすべてのリージョンで、追加料金なしで提供されます。

🚀 実務へのアドバイスと Next Action

• 運用上の注意: 既存の IAM ポリシーに ecs:task-cpu 等の条件を追加する場合、既存の自動化スクリプトや CI/CD パイプラインが、新しい制限に抵触してエラーにならないか事前に検証してください。
• 推奨アクション: まずは開発環境において、制限値を超えるリソースを指定した RunTask を実行し、意図通りに AccessDenied が返されるかを確認することをお勧めします。

🔗 参考ドキュメント

• Amazon ECS の条件キーに関するドキュメント: https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonelasticcontainerservice.html