プルスルーキャッシュの Amazon ECR サービスにリンクされたロール

Amazon ECR はという名前のサービスにリンクされたロールを使用します。AWSServiceRoleForECRPullThroughCacheこのロールは、ユーザーに代わってアクションを実行し、プルスルーキャッシュアクションを完了する権限を Amazon ECR に付与します。プルスルーの詳細については、「プルスルーキャッシュルールの使用」を参照してください。

Amazon ECR でのサービスにリンクされたロールのアクセス許可

AWSServiceRoleForECRPullThroughCacheサービスにリンクされたロールは、以下のサービスを信頼してロールを引き受けます。

• pullthroughcache.ecr.amazonaws.com

許可の詳細

AWSECRPullThroughCache_ServiceRolePolicy 許可ポリシーは、サービスにリンクされたロールにアタッチされます。この管理ポリシーは Amazon ECR に以下のアクションを実行する許可を付与します。詳細については、「AWSECRPullThroughCache_ServiceRolePolicy」を参照してください。

• ecr — Amazon ECR サービスがプライベートリポジトリにイメージをプッシュできるようにします。

• secretsmanager:GetSecretValue— Amazon ECR AWS Secrets Manager サービスがシークレットの暗号化された内容を取得できるようにします。これは、プルスルーキャッシュルールを使用して、プライベートレジストリの認証が必要なアップストリームレジストリからイメージをキャッシュする場合に必要です。この許可は、ecr-pullthroughcache/ という名前のプレフィックスが付いたシークレットのみに適用されます。

AWSECRPullThroughCache_ServiceRolePolicy ポリシーには、次の JSON が含まれます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ECR",
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:PutImage"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecretsManager",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:ecr-pullthroughcache/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

アクセス許可を設定して、IAM エンティティ (ユーザー、グループ、ロールなど) がサービスリンクロールの作成、編集、削除を行うことを許可する必要があります。詳細については、「IAM ユーザーガイド」の「サービスリンクロールのアクセス許可」を参照してください。

Amazon ECR でのサービスにリンクされたロールの作成

プルスルーキャッシュの Amazon ECR サービスにリンクされたロールを手動で作成する必要はありません。、、または AWS API でプライベートレジストリのプルスルーキャッシュルールを作成すると AWS CLI、Amazon ECR によってサービスにリンクされたロールが自動的に作成されます。 AWS Management Console

このサービスにリンクされたロールを削除した後に、そのロールを再作成する必要がある場合は、同じプロセスを使用してアカウントでロールを再作成することができます。プライベートレジストリーのプルスルーキャッシュルールを作成すると、サービスにリンクされたロールがまだ存在しない場合は、Amazon ECR によって自動的に作成されます。

Amazon ECR でのサービスにリンクされたロールの編集

Amazon ECR では、AWSServiceRoleForECRPullThroughCacheサービスにリンクされたロールを手動で編集することはできません。サービスにリンクされたロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロール記述の編集はできます。詳細については、『IAM ユーザーガイド』の「サービスにリンクされたロールの編集」を参照してください。

Amazon ECR でのサービスにリンクされたロールの削除

サービスリンクロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、アクティブにモニタリングまたはメンテナンスされない未使用のエンティティがなくなります。ただし、サービスにリンクされたロールを手動で削除するには、すべてのリージョンでレジストリのプルスルーキャッシュルールを削除する必要があります。

注記

Amazon ECR サービスがロールをまだ使用しているときにリソースを削除しようとすると、削除アクションが失敗することがあります。その場合は、数分待ってから再試行してください。

AWSServiceRoleForECRPullThroughCache サービスにリンクされたロールによって使用される Amazon ECR リソースを削除するには

1. Amazon ECR コンソール (https://console.aws.amazon.com/ecr/) を開きます。

2. ナビゲーションバーから、プルスルーキャッシュルールを作成するリージョンを選択します。

3. ナビゲーションペインで、[Private registry] (プライベートレジストリ) を選択します。

4. [Private registry] (プライベートレジストリ) ページの [Pull through cache configuration] (プルスルーキャッシュの設定) セクションで、[Edit] (編集) をクリックします。

5. 作成したプルスルーキャッシュルールごとに、ルールを選択し、[Delete rule] (ルールを削除) を選択します。

サービスにリンクされたロールを IAM で手動削除するには

IAM コンソール、、または AWS API を使用して AWS CLI、サービスにリンクされたロールを削除します。AWSServiceRoleForECRPullThroughCache詳細については、「IAM ユーザーガイド」の「サービスリンクロールの削除」を参照してください。