Menyiapkan izin untuk ECR lintas akun ke ECR PTC

Fitur tarik cache Amazon ECR ke Amazon ECR (ECR ke ECR) memungkinkan sinkronisasi gambar secara otomatis antara Wilayah, AWS akun, atau keduanya. Dengan ECR ke ECR PTC, Anda dapat mendorong gambar ke registri Amazon ECR utama Anda dan mengonfigurasi aturan pull through cache untuk menyimpan gambar di registri Amazon ECR hilir.

Kebijakan IAM diperlukan untuk penarikan cache ECR lintas akun ke ECR

Untuk menyimpan gambar di antara pendaftar Amazon ECR di AWS akun yang berbeda, buat peran IAM di akun hilir dan konfigurasikan kebijakan di bagian ini untuk memberikan izin berikut:

• Amazon ECR memerlukan izin untuk menarik gambar dari registri hulu Amazon ECR atas nama Anda. Anda dapat memberikan izin ini dengan membuat peran IAM dan kemudian menentukannya dalam aturan cache tarik melalui Anda.

• Pemilik registri hulu juga harus memberikan pemilik registri cache dengan izin yang diperlukan untuk menarik gambar ke kebijakan sumber daya.

Membuat peran IAM untuk menentukan izin pull through cache

Contoh berikut menunjukkan kebijakan izin yang memberikan izin peran IAM untuk menarik gambar dari registri hulu Amazon ECR atas nama Anda. Ketika Amazon ECR mengambil peran tersebut, ia menerima izin yang ditentukan dalam kebijakan ini.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetAuthorizationToken",
                "ecr:BatchImportUpstreamImage",
                "ecr:BatchGetImage",
                "ecr:GetImageCopyStatus",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:PutImage"
            ],
            "Resource": "*"
        }
    ]
}

Membuat kebijakan kepercayaan untuk peran IAM

Contoh berikut menunjukkan kebijakan kepercayaan yang mengidentifikasi cache tarik Amazon ECR sebagai prinsipal AWS layanan yang dapat mengambil peran tersebut.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "pullthroughcache.ecr.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Membuat kebijakan sumber daya di registri hulu Amazon ECR

Pemilik registri Amazon ECR upstream juga harus menambahkan kebijakan registri atau kebijakan repositori untuk memberikan pemilik registri hilir izin yang diperlukan untuk melakukan tindakan berikut.

catatan

Kebijakan sumber daya berikut hanya diperlukan untuk konfigurasi cache yang ditarik ECR ke ECR lintas akun. Untuk cache tarik melalui akun yang sama dan lintas wilayah, Anda hanya memerlukan kebijakan peran IAM dan kebijakan kepercayaan yang ditunjukkan di bagian sebelumnya. Izin utama akun root tidak diperlukan ketika registri hulu dan hilir berada di akun yang sama. AWS

{
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::444455556666:root"
    },
    "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchImportUpstreamImage",
        "ecr:GetImageCopyStatus"
    ],
    "Resource": "arn:aws:ecr:region:111122223333:repository/*"
}