Amazon Elastic Container Registry のインフラストラクチャセキュリティ

マネージドサービスである Amazon Elastic Container Registry は、 AWS グローバルネットワークセキュリティで保護されています。 AWS セキュリティサービスと がインフラストラクチャ AWS を保護する方法については、AWS 「 クラウドセキュリティ」を参照してください。インフラストラクチャセキュリティのベストプラクティスを使用して AWS 環境を設計するには、「 Security Pillar AWS Well‐Architected Framework」の「Infrastructure Protection」を参照してください。

が AWS 公開したAPI呼び出しを使用して、ネットワークECR経由で Amazon にアクセスします。クライアントは以下をサポートする必要があります:

• Transport Layer Security (TLS）。1TLS.2 が必要で、1.3 TLS をお勧めします。

• (Ephemeral Diffie-HellmanPFS) や DHE (Elliptic Curve Ephemeral Diffie-Hellman) などの完全前方秘匿性 ECDHE () を備えた暗号スイート。これらのモードは、Java 7 以降など、ほとんどの最新システムでサポートされています。

さらに、リクエストは、アクセスキー ID とプリンIAMシパルに関連付けられたシークレットアクセスキーを使用して署名する必要があります。または、AWS Security Token Service (AWS STS) を使用して、一時セキュリティ認証情報を生成し、リクエストに署名することもできます。

これらのAPIオペレーションは任意のネットワークの場所から呼び出すことができますが、Amazon ECRはリソースベースのアクセスポリシーをサポートしています。このポリシーには、送信元 IP アドレスに基づく制限を含めることができます。Amazon ECRポリシーを使用して、特定の Amazon Virtual Private Cloud (Amazon VPC) エンドポイントまたは特定の からのアクセスを制御することもできますVPCs。これにより、実質的にネットワークVPC内の特定の からのみ、特定の Amazon ECRリソースへの AWS ネットワークアクセスが分離されます。詳細については、「Amazon ECRインターフェイスVPCエンドポイント (AWS PrivateLink）」を参照してください。