Modelli per controllare i repository creati durante un'azione di pull through, cache o replica

Utilizza i modelli di creazione di repository Amazon ECR per definire le impostazioni per i repository creati da Amazon ECR per tuo conto. Le impostazioni in un modello di creazione di repository vengono applicate solo durante la creazione del repository e non hanno alcun effetto sui repository esistenti o sui repository creati con altri metodi. Attualmente, i modelli di creazione di repository possono essere utilizzati per applicare le impostazioni durante la creazione di repository per queste funzionalità:

• Scorri la cache

• Replica

I modelli di creazione di repository non sono supportati nelle seguenti regioni:

• Cina (Pechino) (cn-north-1)

• Cina (Ningxia) (cn-northwest-1)

• AWS GovCloud (Stati Uniti orientali) () us-gov-east-1

• AWS GovCloud (Stati Uniti occidentali) () us-gov-west-1

Funzionamento dei modelli di creazione di repository

A volte Amazon ECR deve creare un nuovo repository privato per tuo conto. Per esempio:

• La prima volta che utilizzi una regola pull through cache per recuperare il contenuto di un repository upstream e archiviarlo nel tuo registro privato Amazon ECR.

• Quando desideri che Amazon ECR replichi un repository in un'altra regione o account.

Quando non esiste un modello di creazione del repository che corrisponda alla regola pull through cache o al repository replicato, Amazon ECR utilizza le impostazioni predefinite per il nuovo repository. Queste impostazioni predefinite includono la disattivazione dell'immutabilità dei tag, l'utilizzo della crittografia AES-256 e la mancata applicazione di policy di repository o del ciclo di vita.

L'utilizzo di un modello di creazione di repository ti dà la possibilità di definire le impostazioni che Amazon ECR applica ai nuovi repository creati tramite le azioni pull through cache e di replica. Puoi definire l'immutabilità dei tag, la configurazione della crittografia, le autorizzazioni dei repository, la policy del ciclo di vita e i tag delle risorse per i nuovi repository.

Il diagramma seguente mostra il flusso di lavoro utilizzato da Amazon ECR quando un modello di creazione di repository viene utilizzato con un'azione pull through cache.

Di seguito sono descritti in dettaglio i parametri di un modello di creazione repository.

Prefix

Il prefisso è il prefisso dello spazio dei nomi del repository da associare al modello. A tutti i repository creati utilizzando questo prefisso verranno applicate le impostazioni definite in questo modello. Ad esempio, il prefisso prod verrebbe applicato a tutti i repository che iniziano con prod/. Analogamente, il prefisso prod/team verrebbe applicato a tutti i repository che iniziano con prod/team/. In un registro contenente due modelli, se un modello ha il prefisso «prod» e l'altro ha il prefisso "/». prod/team", the template with the prefix "prod/team" will be applied to all repositories whose names start with "prod/team

Per applicare un modello a tutti i repository del registro a cui non è associato un modello di creazione, puoi utilizzare ROOT come prefisso.

Importante

Si presuppone che / venga sempre applicato alla fine del prefisso. Se specifichi ecr-public come prefisso, Amazon ECR lo considera come ecr-public/. Quando utilizzi una regola di cache pull-through, il prefisso del repository specificato durante la creazione della regola è quello da specificare anche come prefisso del modello di creazione di repository.

Descrizione

Questa descrizione del modello è facoltativa e viene utilizzata per descrivere lo scopo del modello di creazione del repository.

Applicato per

L'impostazione Applied for determina quali repository creati da Amazon ECRR verranno creati con questo modello. I valori validi sono PULL_THROUGH_CACHE e REPLICATION. Questo succede, ad esempio, la prima volta che utilizzi una regola di cache pull-through per recuperare il contenuto di un repository upstream e archiviarlo nel registro privato di Amazon ECR. Quando non è presente un modello di creazione di repository che corrisponda alla regola di cache pull-through, Amazon ECR utilizza le impostazioni predefinite per il nuovo repository.

Ruolo di creazione del repository

Il ruolo di creazione del repository è un ARN del ruolo IAM che verrà assunto da Amazon ECR durante la creazione e la configurazione di repository tramite modelli di creazione di repository. Questo ruolo deve essere fornito quando si utilizzano i tag del repository e/o KMS nel modello, altrimenti la creazione del repository avrà esito negativo.

Mutabilità dei tag immagine

L'impostazione di mutabilità dei tag da utilizzare per i repository creati utilizzando il modello. Se questo parametro viene omesso, verrà utilizzata l'impostazione predefinita MUTABLE, che consentirà la sovrascrittura dei tag immagine. Questa è l'impostazione consigliata da utilizzare per i modelli utilizzati per i repository creati dalle azioni di cache pull-through. Ciò garantisce che Amazon ECR possa aggiornare le immagini memorizzate nella cache quando i tag sono gli stessi.

Se è specificato IMMUTABLE, tutti i tag immagine all'interno del repository saranno immutabili, per cui non potranno essere sovrascritti.

Configurazione della crittografia

Importante

Crittografia lato server a doppio livello con ( AWS KMS DSSE-KMS) è disponibile solo nelle regioni. AWS GovCloud (US)

La configurazione della crittografia da utilizzare per i repository creati utilizzando il modello.

Se utilizzi il tipo di crittografia KMS, il contenuto del repository verrà crittografato utilizzando la crittografia lato server con la chiave AWS Key Management Service archiviata in AWS KMS. Quando lo utilizzi AWS KMS per crittografare i tuoi dati, puoi utilizzare la AWS KMS chiave AWS gestita predefinita per Amazon ECR o specificare la tua AWS KMS chiave, che hai già creato. Puoi inoltre scegliere di utilizzare la crittografia a livello singolo o doppio con. AWS KMS Per ulteriori informazioni, consulta Crittografia dei dati a riposo. Se utilizzi il tipo di crittografia KMS e lo utilizzi con la replica tra regioni, potresti aver bisogno di autorizzazioni aggiuntive. Per ulteriori informazioni, consulta Creazione di una politica chiave KMS per la replica.

Se utilizzi il tipo di crittografia AES256, Amazon ECR utilizza la crittografia lato server con chiavi di crittografia gestite da Amazon S3 che crittografano le immagini nel repository utilizzando un algoritmo di crittografia AES-256. Per ulteriori informazioni, consulta Protezione dei dati mediante la crittografia lato server con chiavi di crittografia gestite da Amazon S3 (SSE-S3) nella Guida per l'utente di Amazon Simple Storage Service.

Autorizzazioni del repository

La policy di repository da applicare ai repository creati utilizzando il modello. Una policy di repository utilizza autorizzazioni basate sulle risorse per controllare l'accesso a un repository. Le autorizzazioni basate sulle risorse ti consentono di specificare gli utenti o i ruoli IAM che hanno accesso a un repository e quali operazioni possono eseguire. Per impostazione predefinita, solo l' AWS account che ha creato il repository ha accesso a un repository. È possibile applicare un documento di policy per concedere o negare autorizzazioni aggiuntive al repository. Per ulteriori informazioni, consulta Politiche di archivio privato in Amazon ECR.

Policy del ciclo di vita del repository

La policy del ciclo di vita da utilizzare per i repository creati utilizzando il modello. Una policy del ciclo di vita offre un maggiore controllo sulla gestione del ciclo di vita delle immagini in un repository privato. Una policy del ciclo di vita contiene una o più regole, laddove ogni regola definisce un'operazione per Amazon ECR. Ciò consente di automatizzare la pulizia delle immagini dei container, facendo scadere le immagini in base all'età o al conteggio. Per ulteriori informazioni, consulta Automatizza la pulizia delle immagini utilizzando le politiche del ciclo di vita in Amazon ECR.

Tag delle risorse

I tag delle risorse sono metadati da applicare al repository per facilitarne la catalogazione e l’organizzazione. Ogni tag è composto da una chiave e da un valore opzionale, entrambi personalizzabili. Questa autorizzazione deve essere applicata alla politica del registro di destinazione se si utilizzano modelli di creazione di repository con replica interregionale.