Operazioni, risorse e chiavi di condizione per Amazon Elastic Container Registry

Amazon Elastic Container Registry (prefisso del servizio: ecr) fornisce le seguenti risorse, operazioni e chiavi di contesto della condizione specifiche del servizio per l'utilizzo nelle policy delle autorizzazioni IAM.

Riferimenti:

• Scopri come configurare questo servizio.

• Visualizza un elenco delle operazioni API disponibili per questo servizio.

• Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni di IAM.

Operazioni definite da Amazon Elastic Container Registry

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

La colonna Livello di accesso della tabella Azioni descrive come viene classificata l'azione (Elenco, Lettura, Gestione delle autorizzazioni o Tagging). Questa classificazione può aiutare a comprendere il livello di accesso che un'operazione mette a disposizione quando viene utilizzata in una policy. Per ulteriori informazioni sui livelli di accesso, vedere Livelli di accesso nei riepiloghi delle politiche.

La colonna Tipi di risorsa della tabella Operazioni indica se ogni operazione supporta le autorizzazioni a livello di risorsa. Se non vi è nessun valore in corrispondenza di questa colonna, è necessario specificare tutte le risorse ("*") alle quali si applica la policy nell'elemento Resource dell'istruzione di policy. Se la colonna include un tipo di risorsa, puoi specificare un ARN di quel tipo in una istruzione con tale operazione. Se l'operazione ha una o più risorse richieste, il chiamante deve disporre dell'autorizzazione per utilizzare l'operazione con tali risorse. Le risorse richieste sono indicate nella tabella con un asterisco (*). Se si limita l'accesso alle risorse con l'elemento Resource in una policy IAM, è necessario includere un ARN o un modello per ogni tipo di risorsa richiesta. Alcune operazioni supportano più tipi di risorse. Se il tipo di risorsa è facoltativo (non indicato come obbligatorio), puoi scegliere di utilizzare uno tra i tipi di risorsa facoltativi.

La colonna Chiavi di condizione della tabella Operazioni contiene le chiavi che è possibile specificare nell'elemento Condition di un'istruzione di policy. Per ulteriori informazioni sulle chiavi di condizione associate alle risorse per il servizio guarda la colonna Chiavi di condizione della tabella Tipi di risorsa.

La colonna Azioni dipendenti della tabella Azioni mostra le autorizzazioni aggiuntive necessarie per eseguire correttamente un'azione. Queste autorizzazioni sono necessarie in aggiunta all'autorizzazione per l'azione stessa. Quando un'azione specifica azioni dipendenti, tali dipendenze possono applicarsi a risorse aggiuntive definite per quell'azione, non solo alla prima risorsa elencata nella tabella.

Nota

Le chiavi relative alle condizioni delle risorse sono elencate nella tabella Tipi di risorse. Nella colonna Tipi di risorse (*obbligatorio) della tabella Operazioni è presente un collegamento al tipo di risorsa che si applica a un'operazione. Il tipo di risorsa nella tabella Tipi di risorse include la colonna Chiavi di condizione, che contiene le chiavi delle condizioni delle risorse che si applicano a un'operazione nella tabella Operazioni.

Per dettagli sulle colonne nella tabella seguente, consultare Tabella delle operazioni.

Azioni	Descrizione	Livello di accesso	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Operazioni dipendenti
BatchCheckLayerAvailability	Concede l'autorizzazione al controllo della disponibilità di più livelli di immagine in un registro e repository specificati.	Read	repository*
BatchDeleteImage	Concede l'autorizzazione per eliminare un elenco di immagini specificate all'interno di un repository specificato	Write	repository*
BatchGetImage	Concede l'autorizzazione per ottenere informazioni dettagliate per le immagini specificate all'interno di un repository specificato	Lettura	repository*
BatchGetRepositoryScanningConfiguration	Concede l'autorizzazione per recuperare la configurazione della scansione del repository per un elenco di repository	Lettura	repository*
BatchImportUpstreamImage [solo autorizzazione]	Concede l'autorizzazione per recuperare l'immagine dal registro a monte e importarla nel registro privato	Scrittura	repository*
CompleteLayerUpload	Concede l'autorizzazione per informare Amazon ECR che il caricamento del livello immagine per un registro, nome del repository e ID caricamento specificati è completato.	Scrittura	repository*
CreatePullThroughCacheRule	Concede l'autorizzazione per creare una nuova regola di cache pull-through	Scrittura			iam:CreateServiceLinkedRole
CreateRepository	Concede l'autorizzazione per creare un repository di immagini.	Scrittura	repository*		ecr:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys
CreateRepositoryCreationTemplate	Concede l'autorizzazione per creare il modello di creazione repository	Scrittura			ecr:CreateRepository ecr:PutLifecyclePolicy ecr:SetRepositoryPolicy iam:CreateServiceLinkedRole iam:PassRole
DeleteLifecyclePolicy	Concede l'autorizzazione per eliminare le policy del ciclo di vita specificate	Scrittura	repository*
DeletePullThroughCacheRule	Concede l'autorizzazione per eliminare la regola di cache pull-through	Scrittura
DeleteRegistryPolicy	Concede l'autorizzazione per eliminare la policy del registro	Gestione delle autorizzazioni
DeleteRepository	Concede l'autorizzazione per eliminare un repository di immagini esistente	Scrittura	repository*
DeleteRepositoryCreationTemplate	Concede l'autorizzazione per eliminare il modello di creazione repository	Scrittura
DeleteRepositoryPolicy	Concede l'autorizzazione per eliminare le policy del repository da un repository specificato	Gestione delle autorizzazioni	repository*
DescribeImageReplicationStatus	Concede l'autorizzazione per recuperare lo stato di replica di un'immagine in un registro, incluso il motivo dell'errore se la replica non riesce	Lettura	repository*
DescribeImageScanFindings	Concede l'autorizzazione per descrivere i risultati della scansione delle immagini per l'immagine specificata	Read	repository*
DescribeImages	Concede l'autorizzazione per ottenere i metadati relativi alle immagini in un repository, inclusa la dimensione dell'immagine, i tag dell'immagine e la data di creazione.	Elenco	repository*
DescribePullThroughCacheRules	Concede l'autorizzazione per descrivere le regole di cache pull-through	Elenco
DescribeRegistry	Concede l'autorizzazione per descrivere le impostazioni del registro	Read
DescribeRepositories	Concede l'autorizzazione per descrivere i repository di immagini in un registro	Lettura	repository*
DescribeRepositoryCreationTemplates	Concede l'autorizzazione per descrivere il modello di creazione repository	Lettura
GetAccountSetting	Concede l'autorizzazione a recuperare le impostazioni dell'account	Lettura		ecr:AccountSetting
GetAuthorizationToken	Concede l'autorizzazione per recuperare un token valido per un registro specificato per 12 ore	Read
GetDownloadUrlForLayer	Concede l'autorizzazione per recuperare l'URL di download corrispondente a un livello immagine	Lettura	repository*
GetImageCopyStatus [solo autorizzazione]	Concede l'autorizzazione a recuperare lo stato di una copia dell'immagine	Lettura	repository*
GetLifecyclePolicy	Concede l'autorizzazione per recuperare le policy del ciclo di vita specificate	Read	repository*
GetLifecyclePolicyPreview	Concede l'autorizzazione per recuperare i risultati della richiesta di anteprima della policy del ciclo di vita specificata	Read	repository*
GetRegistryPolicy	Concede l'autorizzazione per richiamare la policy del registro	Lettura
GetRegistryScanningConfiguration	Concede l'autorizzazione per recuperare la configurazione della scansione del registro	Lettura
GetRepositoryPolicy	Concede l'autorizzazione per recuperare la policy dei repository per un repository specificato	Read	repository*
InitiateLayerUpload	Concede l'autorizzazione a notificare Amazon ECR l'intenzione di caricare un livello immagine	Scrittura	repository*
ListImages	Concede il permesso di elencare tutte le immagini di un determinato IDs repository	Elenco	repository*
ListTagsForResource	Concede l'autorizzazione a elencare i tag per una risorsa Amazon ECR	Lettura	repository*
				aws:RequestTag/${TagKey} aws:TagKeys
PutAccountSetting	Concede l'autorizzazione ad aggiornare le impostazioni dell'account	Scrittura		ecr:AccountSetting
PutImage	Concede l'autorizzazione per creare o aggiornare il manifesto immagine associato a un'immagine	Write	repository*
PutImageScanningConfiguration	Concede l'autorizzazione per aggiornare la configurazione di scansione delle immagini per un repository	Write	repository*
PutImageTagMutability	Concede l'autorizzazione per aggiornare le impostazioni di mutabilità del tag immagine per un repository	Write	repository*
PutLifecyclePolicy	Concede l'autorizzazione per creare o aggiornare una policy del ciclo di vita	Write	repository*
PutRegistryPolicy	Concede l'autorizzazione per aggiornare la policy del registro	Gestione delle autorizzazioni
PutRegistryScanningConfiguration	Concede l'autorizzazione per aggiornare la configurazione della scansione del registro	Scrittura
PutReplicationConfiguration	Concede l'autorizzazione per aggiornare la configurazione di replica per il registro	Scrittura			iam:CreateServiceLinkedRole
ReplicateImage [solo autorizzazione]	Concede l'autorizzazione per replicare le immagini nel registro di destinazione	Write	repository*
SetRepositoryPolicy	Concede l'autorizzazione per applicare una policy di repository su un repository specificato per controllare le autorizzazioni di accesso	Gestione delle autorizzazioni	repository*
StartImageScan	Concede l'autorizzazione per avviare una scansione di immagini	Write	repository*
StartLifecyclePolicyPreview	Concede l'autorizzazione per avviare un'anteprima della policy del ciclo di vita specificato	Write	repository*
TagResource	Concede l'autorizzazione ad aggiungere un tag a una risorsa Amazon ECR	Applicazione di tag	repository*
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Concede l'autorizzazione ad annullare il tag di una risorsa Amazon ECR	Assegnazione di tag	repository*
				aws:TagKeys
UpdatePullThroughCacheRule	Concede l'autorizzazione per aggiornare la regola di cache pull-through	Scrittura
UpdateRepositoryCreationTemplate	Concede l'autorizzazione ad aggiornare il modello di creazione del repository	Scrittura			ecr:CreateRepository ecr:PutLifecyclePolicy ecr:SetRepositoryPolicy iam:CreateServiceLinkedRole iam:PassRole
UploadLayerPart	Concede l'autorizzazione a caricare una parte del livello immagine su Amazon ECR	Scrittura	repository*
ValidatePullThroughCacheRule	Concede l'autorizzazione per convalidare la regola di cache pull-through	Lettura

Tipi di risorsa definiti da Amazon Elastic Container Registry

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM. Ogni operazione nella Tabella delle operazioni identifica i tipi di risorse che possono essere specificati con tale operazione. Un tipo di risorsa può anche definire quali chiavi di condizione puoi includere in una policy. Queste chiavi vengono visualizzate nell'ultima colonna della tabella Tipi di risorsa. Per dettagli sulle colonne nella tabella seguente, consulta Tabella dei tipi di risorsa.

Tipi di risorsa	ARN	Chiavi di condizione
repository	arn:${Partition}:ecr:${Region}:${Account}:repository/${RepositoryName}	aws:ResourceTag/${TagKey} ecr:ResourceTag/${TagKey}

Chiavi di condizione per Amazon Elastic Container Registry

Amazon Elastic Container Registry definisce le seguenti chiavi di condizione che possono essere utilizzate nell'elemento Condition di una policy IAM. Puoi utilizzare queste chiavi per perfezionare ulteriormente le condizioni in base alle quali si applica l'istruzione di policy. Per dettagli sulle colonne nella tabella seguente, consulta Tabella delle chiavi di condizione.

Per visualizzare le chiavi di condizione globali disponibili per tutti i servizi, consulta AWS Global Context keys.

Chiavi di condizione	Descrizione	Tipo
aws:RequestTag/${TagKey}	Filtra l'accesso in base al set di valori consentito per ciascuno dei tag	Stringa
aws:ResourceTag/${TagKey}	Filtra l'accesso in base al valore del tag associato alla risorsa	Stringa
aws:TagKeys	Filtra l'accesso in base alla presenza di tag obbligatori nella richiesta	ArrayOfString
ecr:AccountSetting	Filtra l'accesso in base al nome dell'impostazione dell'account ECR	Stringa
ecr:ResourceTag/${TagKey}	Filtra l'accesso in base al valore del tag associato alla risorsa	Stringa