Utilizzo delle immagini Amazon ECR con Amazon ECS

Puoi utilizzare i tuoi repository privati Amazon ECR per ospitare immagini di container e artefatti da cui le tue attività Amazon ECS possono eseguire il pull. A tal fine, l'agente del container, Amazon ECS o Fargate deve disporre delle autorizzazioni per creare le API ecr:BatchGetImage, ecr:GetDownloadUrlForLayer e ecr:GetAuthorizationToken.

Autorizzazioni IAM richieste

La tabella seguente mostra il ruolo IAM da utilizzare, per ogni tipo di avvio, che fornisce le autorizzazioni necessarie per il pull delle tue attività da un repository privato Amazon ECS. Amazon ECS fornisce policy IAM gestite che includono le autorizzazioni richieste.

Tipo di avvio	Ruolo IAM	Policy IAM gestita da AWS
Amazon ECS su istanze Amazon EC2	Usa il ruolo IAM dell’istanza di container associato all'istanza Amazon EC2 registrata nel tuo cluster Amazon ECS. Per maggiori informazioni, consulta Ruolo IAM dell'istanza di container nella Guida per lo sviluppatore di Amazon Elastic Container Service.	AmazonEC2ContainerServiceforEC2Role Per ulteriori informazioni, consulta AmazonEC2ContainerServiceforEC2Role nella Guida per lo sviluppatore di Amazon Elastic Container Service.
Amazon ECS su Fargate	Usa il ruolo IAM di esecuzione attività a cui fai riferimento nella definizione dell'attività Amazon ECS. Per ulteriori informazioni, consulta Ruolo IAM per l'esecuzione attività nella Guida per lo sviluppatore di Amazon Elastic Container Service.	AmazonECSTaskExecutionRolePolicy Per ulteriori informazioni, consulta AmazonECSTaskExecutionRolePolicy nella Guida per lo sviluppatore di Amazon Elastic Container Service.
Amazon ECS su istanze esterne	Utilizza il ruolo IAM dell’istanza di container associato al server on-premise o alla macchina virtuale (VM) registrata nel tuo cluster Amazon ECS. Per ulteriori informazioni, consulta Ruolo Amazon ECS dell'istanza di container nella Guida per lo sviluppatore di Amazon Elastic Container Service.	AmazonEC2ContainerServiceforEC2Role Per ulteriori informazioni, consulta AmazonEC2ContainerServiceforEC2Role nella Guida per lo sviluppatore di Amazon Elastic Container Service.

Importante

Le policy IAM gestite da AWS contengono autorizzazioni aggiuntive che potrebbe non essere necessario utilizzare. In questo caso, queste sono le autorizzazioni minime richieste per eseguire il pull da un repository privato Amazon ECR.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "*"
        }
    ]
}

Specifica di un'immagine Amazon ECR in una definizione attività Amazon ECS

Quando crei una definizione attività Amazon ECS, puoi specificare un'immagine di container ospitata in un repository privato Amazon ECR. Nella definizione attività accertati di utilizzare la denominazione completa di registry/repository:tag per le immagini Amazon ECR. Ad esempio, aws_account_id.dkr.ecr.region.amazonaws.com/my-repository:latest.

Lo snippet di definizione dell'attività seguente mostra la sintassi da utilizzare per specificare un'immagine container ospitata in Amazon ECR nella definizione dell'attività Amazon ECS.

{
    "family": "task-definition-name",
    ...
    "containerDefinitions": [
        {
            "name": "container-name",
            "image": "aws_account_id.dkr.ecr.region.amazonaws.com/my-repository:latest",
            ...
        }
    ],
    ...
}