View a markdown version of this page

Impostazione delle autorizzazioni per più account da ECR a ECR PTC - Amazon ECR
Sono necessarie politiche IAM per il pull through cache da ECR a ECR su più account

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Impostazione delle autorizzazioni per più account da ECR a ECR PTC

La funzionalità di pull through cache da Amazon ECR ad Amazon ECR (da ECR a ECR) consente la sincronizzazione automatica delle immagini tra regioni, AWS account o entrambi. Con PTC da ECR a ECR, puoi inviare immagini al tuo registro Amazon ECR principale e configurare una regola di pull through per memorizzare nella cache le immagini nei registri Amazon ECR a valle.

Sono necessarie politiche IAM per il pull through cache da ECR a ECR su più account

Per memorizzare nella cache le immagini tra i registri Amazon ECR su diversi AWS account, crea un ruolo IAM nell'account downstream e configura le policy in questa sezione per fornire le seguenti autorizzazioni:

  • Amazon ECR necessita delle autorizzazioni per estrarre immagini dal registro Amazon ECR upstream per tuo conto. Puoi concedere queste autorizzazioni creando un ruolo IAM e specificandolo nella regola della cache pull through.

  • Il proprietario del registro upstream deve inoltre concedere al proprietario del registro della cache le autorizzazioni necessarie per inserire le immagini nelle politiche delle risorse.

Creazione di un ruolo IAM per definire le autorizzazioni di pull through della cache

L'esempio seguente mostra una politica di autorizzazioni che concede a un ruolo IAM l'autorizzazione a estrarre immagini dal registro Amazon ECR a monte per tuo conto. Quando Amazon ECR assume il ruolo, riceve le autorizzazioni specificate in questa politica.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetAuthorizationToken",
                "ecr:BatchImportUpstreamImage",
                "ecr:BatchGetImage",
                "ecr:GetImageCopyStatus",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:PutImage"
            ],
            "Resource": "*"
        }
    ]
}

Creazione di una politica di fiducia per il ruolo IAM

L'esempio seguente mostra una politica di fiducia che identifica la pull through cache di Amazon ECR come l'entità del AWS servizio che può assumere il ruolo.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "pullthroughcache.ecr.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Creazione di una policy sulle risorse nel registro Amazon ECR a monte

Il proprietario del registro Amazon ECR a monte deve inoltre aggiungere una politica di registro o una politica di repository per concedere al proprietario del registro a valle le autorizzazioni necessarie per eseguire le seguenti azioni.

Nota

La seguente policy in materia di risorse è richiesta solo per le configurazioni pull through della cache da ECR a ECR su più account. Per la cache pull through dello stesso account e interregionale, sono necessari solo i criteri di ruolo IAM e i criteri di fiducia mostrati nelle sezioni precedenti. L'autorizzazione principale dell'account root non è richiesta quando i registri upstream e downstream si trovano nello stesso account. AWS 

{
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::444455556666:root"
    },
    "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchImportUpstreamImage",
        "ecr:GetImageCopyStatus"
    ],
    "Resource": "arn:aws:ecr:region:111122223333:repository/*"
}