AWS lança Amazon ECS Gateway, ingress totalmente gerenciado para serviços do ECS

O ponto central do Amazon ECS Gateway é tirar o ingress do caminho de cada serviço. Hoje, cada serviço novo no ECS exige um ALB, um certificado ACM, uma web ACL do WAF e security groups, e alguém precisa manter tudo isso sincronizado. O gateway vira um recurso em nível de conta, configurado uma vez pelo time de plataforma (subnets, TLS, listeners, WAF) e associado a clusters. O time de aplicação só adiciona um gateway connector no CreateService ou UpdateService.

Na prática, o ECS provisiona certificado, hostname DNS único, listener rule, target group e um security group que só aceita tráfego vindo do ALB. Até 25 serviços dividem o mesmo ALB, com roteamento por host, e o ECS cria e remove ALBs conforme a demanda. Nada é provisionado até o primeiro serviço se conectar. Detalhes que pesam no planejamento: o gateway exige modo de rede awsvpc (EC2, Fargate e ECS Managed Instances), as AZs do serviço precisam ser subconjunto das do gateway, e o maxAlbCount padrão é 10. Se o limite estourar sem capacidade, o deploy falha. Nome, scheme, VPC, subnets e listener não mudam depois da criação. O recurso é gratuito, e você paga só a infraestrutura criada, como ALB, ACM, CloudWatch e transferência de dados.

A cobertura anterior do CEVIU mostra um padrão na AWS: tirar o trabalho manual de rede da frente das equipes. Em 6 de maio de 2026, o Hybrid Nodes gateway do EKS automatizou a rede entre VPCs e pods on-premises. Em 4 de abril de 2026, o suporte a daemons gerenciados no ECS Managed Instances deu ao time de plataforma controle central de agentes. O ECS Gateway aplica a mesma lógica ao ingress. Em 1 de julho de 2026, o ACM ganhou suporte a ACMEv2 para automatizar certificados, e agora o ECS usa o ACM para emitir o certificado de cada serviço sem intervenção.

Para quem opera plataforma, a mudança reduz configuration drift e acelera o onboarding de serviços. O custo também cai, porque 25 serviços dividem um ALB em vez de ter um cada. A adoção pode ser gradual: dá para manter o load balancer atual e o gateway em paralelo até validar a rota.