Menggunakan citra Amazon ECR dengan Amazon ECS

Anda dapat menggunakan repositori pribadi Amazon ECR Anda untuk meng-host gambar kontainer dan artefak yang mungkin ditarik oleh tugas Amazon ECS Anda. Agar ini berfungsi, agen penampung Amazon ECS, atau Fargate, harus memiliki izin untuk membuatecr:GetDownloadUrlForLayer,, dan ecr:BatchGetImage API. ecr:GetAuthorizationToken

Izin IAM yang diperlukan

Tabel berikut menunjukkan peran IAM yang akan digunakan, untuk setiap jenis peluncuran, yang memberikan izin yang diperlukan untuk tugas Anda untuk menarik dari repositori pribadi Amazon ECR. Amazon ECS menyediakan kebijakan IAM terkelola yang menyertakan izin yang diperlukan.

Jenis peluncuran	Peran IAM	AWS kebijakan IAM terkelola
Amazon ECS di instans Amazon EC2	Gunakan peran IAM instance container, yang dikaitkan dengan instans Amazon EC2 yang terdaftar ke cluster Amazon ECS Anda. Untuk informasi selengkapnya, lihat peran IAM instance Container di Panduan Pengembang Layanan Kontainer Elastis Amazon.	AmazonEC2ContainerServiceforEC2Role Untuk informasi selengkapnya, lihat AmazonEC2ContainerServiceforEC2Roledi Panduan Pengembang Layanan Amazon Elastic Container
Amazon ECS di Fargate	Gunakan peran IAM eksekusi tugas yang Anda referensikan dalam definisi tugas Amazon ECS Anda. Untuk informasi selengkapnya, lihat Peran IAM eksekusi tugas di Panduan Pengembang Layanan Amazon Elastic Container.	AmazonECSTaskExecutionRolePolicy Untuk informasi selengkapnya, lihat AmazonECSTaskExecutionRolePolicydi Panduan Pengembang Layanan Amazon Elastic Container.
Amazon ECS pada instans eksternal	Gunakan peran IAM instance container, yang dikaitkan dengan server lokal atau mesin virtual (VM) yang terdaftar ke cluster Amazon ECS Anda. Untuk informasi selengkapnya, lihat Peran Amazon ECS instance Container di Panduan Pengembang Layanan Kontainer Elastis Amazon.	AmazonEC2ContainerServiceforEC2Role Untuk informasi selengkapnya, lihat AmazonEC2ContainerServiceforEC2Roledi Panduan Pengembang Layanan Amazon Elastic Container.

penting

Kebijakan IAM AWS terkelola berisi izin tambahan yang mungkin tidak Anda perlukan untuk digunakan. Dalam hal ini, ini adalah izin minimum yang diperlukan untuk menarik dari repositori pribadi Amazon ECR.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "*"
        }
    ]
}

Menentukan gambar Amazon ECR dalam definisi tugas Amazon ECS

Saat membuat definisi tugas Amazon ECS, Anda dapat menentukan gambar kontainer yang dihosting di repositori pribadi Amazon ECR. Dalam definisi tugas, pastikan Anda menggunakan registry/repository:tag penamaan lengkap untuk gambar Amazon ECR Anda. Misalnya, aws_account_id.dkr.ecr.region.amazonaws.com/my-repository:latest.

Kutipan definisi tugas berikut menunjukkan sintaks yang akan Anda gunakan untuk menentukan citra kontainer yang dihost oleh Amazon ECR dalam definisi tugas Amazon ECS Anda.

{
    "family": "task-definition-name",
    ...
    "containerDefinitions": [
        {
            "name": "container-name",
            "image": "aws_account_id.dkr.ecr.region.amazonaws.com/my-repository:latest",
            ...
        }
    ],
    ...
}