Lab 18: ECS 컨테이너 서비스 배포

terraform {
  required_version = ">= 1.0.0"

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

provider "aws" {
  region = "ap-northeast-2"
}

variable "project" {
  description = "프로젝트 이름"
  type        = string
  default     = "lab18"
}

variable "environment" {
  description = "배포 환경"
  type        = string
  default     = "dev"
}

locals {
  # 리소스 이름 접두사 — 클러스터/태스크/서비스 이름을 doc과 동일하게 유지
  name_prefix = var.project

  common_tags = {
    Project     = var.project
    Environment = var.environment
    ManagedBy   = "terraform"
  }
}

# 기본 VPC와 퍼블릭 서브넷을 data source로 조회 (새 VPC 생성 없음)
data "aws_vpc" "default" {
  default = true
}

data "aws_subnets" "default" {
  filter {
    name   = "vpc-id"
    values = [data.aws_vpc.default.id]
  }

  filter {
    name   = "default-for-az"
    values = ["true"]
  }
}

# Fargate 태스크용 보안 그룹 — HTTP 인바운드만 허용
resource "aws_security_group" "nginx" {
  name        = "${local.name_prefix}-nginx-sg"
  description = "Allow HTTP inbound for nginx task"
  vpc_id      = data.aws_vpc.default.id

  ingress {
    description = "HTTP"
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  egress {
    description = "All outbound (image pull, logs)"
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }

  tags = merge(local.common_tags, {
    Name = "${local.name_prefix}-nginx-sg"
  })
}

# 태스크 "실행" Role — ECS 에이전트가 이미지 pull, 로그 전송에 사용
# (컨테이너 내부에서 AWS API를 호출하려면 별도의 task_role이 필요)
resource "aws_iam_role" "task_execution" {
  name = "${local.name_prefix}-ecs-task-execution-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect = "Allow"
      Principal = {
        Service = "ecs-tasks.amazonaws.com"
      }
      Action = "sts:AssumeRole"
    }]
  })

  tags = merge(local.common_tags, {
    Name = "${local.name_prefix}-ecs-task-execution-role"
  })
}

# AWS 관리형 정책 연결 — ECR pull, CloudWatch Logs 전송 권한 포함
resource "aws_iam_role_policy_attachment" "task_execution" {
  role       = aws_iam_role.task_execution.name
  policy_arn = "arn:aws:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy"
}

# 컨테이너 stdout/stderr 로그 수집 대상
resource "aws_cloudwatch_log_group" "nginx" {
  name              = "/ecs/${local.name_prefix}-nginx"
  retention_in_days = 3 # 실습용 — 짧게 보관해 비용 최소화

  tags = merge(local.common_tags, {
    Name = "${local.name_prefix}-nginx-logs"
  })
}

# 논리적 컨테이너 그룹 — 실제 컴퓨팅은 Fargate가 관리
resource "aws_ecs_cluster" "main" {
  name = "${local.name_prefix}-cluster"

  tags = merge(local.common_tags, {
    Name = "${local.name_prefix}-cluster"
  })
}

# 태스크 정의 — nginx 컨테이너 스펙 (≈ Kubernetes Pod 스펙)
resource "aws_ecs_task_definition" "nginx" {
  family                   = "${local.name_prefix}-nginx"
  requires_compatibilities = ["FARGATE"]
  network_mode             = "awsvpc" # Fargate 필수 — 태스크마다 ENI 할당
  cpu                      = 256      # 0.25 vCPU
  memory                   = 512      # 512 MB
  execution_role_arn       = aws_iam_role.task_execution.arn

  # 컨테이너 정의는 JSON — jsonencode로 HCL 안에서 관리
  container_definitions = jsonencode([
    {
      name      = "nginx"
      image     = "public.ecr.aws/nginx/nginx:stable"
      essential = true

      portMappings = [
        {
          containerPort = 80
          protocol      = "tcp"
        }
      ]

      logConfiguration = {
        logDriver = "awslogs"
        options = {
          "awslogs-group"         = aws_cloudwatch_log_group.nginx.name
          "awslogs-region"        = "ap-northeast-2"
          "awslogs-stream-prefix" = "nginx"
        }
      }
    }
  ])

  tags = merge(local.common_tags, {
    Name = "${local.name_prefix}-nginx-taskdef"
  })
}

# 서비스 — 태스크 수를 desired_count로 유지 (≈ Kubernetes Deployment)
resource "aws_ecs_service" "nginx" {
  name            = "${local.name_prefix}-nginx-svc"
  cluster         = aws_ecs_cluster.main.id
  task_definition = aws_ecs_task_definition.nginx.arn
  launch_type     = "FARGATE"
  desired_count   = 1 # 태스크가 죽으면 ECS가 자동으로 재기동

  network_configuration {
    subnets          = data.aws_subnets.default.ids
    security_groups  = [aws_security_group.nginx.id]
    assign_public_ip = true # 퍼블릭 서브넷 + NAT 없이 이미지 pull
  }

  tags = merge(local.common_tags, {
    Name = "${local.name_prefix}-nginx-svc"
  })
}

output "cluster_name" {
  description = "ECS 클러스터 이름"
  value       = aws_ecs_cluster.main.name
}

output "service_name" {
  description = "ECS 서비스 이름"
  value       = aws_ecs_service.nginx.name
}

output "log_group" {
  description = "컨테이너 로그가 쌓이는 CloudWatch 로그 그룹"
  value       = aws_cloudwatch_log_group.nginx.name
}

terraform destroy -auto-approve