Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Die Pull-Through-Cache-Funktion von Amazon ECR zu Amazon ECR (ECR to ECR) ermöglicht die automatische Synchronisation von Bildern zwischen Regionen, AWS Konten oder beidem. Mit ECR to ECR PTC können Sie Bilder in Ihre primäre Amazon ECR-Registrierung übertragen und eine Pull-Through-Cache-Regel konfigurieren, um Bilder in nachgelagerten Amazon ECR-Registern zwischenzuspeichern.
IAM-Richtlinien sind für den kontenübergreifenden ECR-zu-ECR-Pull-Through-Cache erforderlich
Um Bilder zwischen Amazon ECR-Registern über verschiedene AWS Konten hinweg zwischenzuspeichern, erstellen Sie eine IAM-Rolle im Downstream-Konto und konfigurieren Sie die Richtlinien in diesem Abschnitt so, dass sie die folgenden Berechtigungen bereitstellen:
-
Amazon ECR benötigt Berechtigungen, um in Ihrem Namen Bilder aus der vorgelagerten Amazon ECR-Registrierung abzurufen. Sie können diese Berechtigungen gewähren, indem Sie eine IAM-Rolle erstellen und diese dann in Ihrer Pull-Through-Cache-Regel angeben.
-
Der Eigentümer der Upstream-Registrierung muss dem Eigentümer der Cache-Registrierung auch die erforderlichen Berechtigungen zum Abrufen der Bilder in die Ressourcenrichtlinien gewähren.
Richtlinien
Erstellen einer IAM-Rolle zur Definition der Pull Through-Cache-Berechtigungen
Das folgende Beispiel zeigt eine Berechtigungsrichtlinie, die einer IAM-Rolle die Berechtigung erteilt, in Ihrem Namen Bilder aus der vorgelagerten Amazon ECR-Registrierung abzurufen. Wenn Amazon ECR die Rolle übernimmt, erhält es die in dieser Richtlinie angegebenen Berechtigungen.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"ecr:GetDownloadUrlForLayer",
"ecr:GetAuthorizationToken",
"ecr:BatchImportUpstreamImage",
"ecr:BatchGetImage",
"ecr:GetImageCopyStatus",
"ecr:InitiateLayerUpload",
"ecr:UploadLayerPart",
"ecr:CompleteLayerUpload",
"ecr:PutImage"
],
"Resource": "*"
}
]
}Erstellen einer Vertrauensrichtlinie für die IAM-Rolle
Das folgende Beispiel zeigt eine Vertrauensrichtlinie, die den Amazon ECR Pull-Through-Cache als den AWS Service Principal identifiziert, der die Rolle übernehmen kann.
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "pullthroughcache.ecr.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}Erstellen einer Ressourcenrichtlinie in der vorgelagerten Amazon ECR-Registrierung
Der Besitzer der Amazon ECR-Upstream-Registrierung muss außerdem eine Registrierungsrichtlinie oder eine Repository-Richtlinie hinzufügen, um dem Eigentümer der Downstream-Registrierung die erforderlichen Berechtigungen zur Durchführung der folgenden Aktionen zu gewähren.
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::444455556666:root"
},
"Action": [
"ecr:BatchGetImage",
"ecr:GetDownloadUrlForLayer",
"ecr:BatchImportUpstreamImage",
"ecr:GetImageCopyStatus"
],
"Resource": "arn:aws:ecr:region:111122223333:repository/*"
}