Amazon ECR インターフェイス VPC エンドポイント (AWSPrivateLink) - Amazon ECR

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon ECR インターフェイス VPC エンドポイント (AWSPrivateLink)

インターフェイス VPC エンドポイントを使用するように Amazon ECR を設定することで、VPC のセキュリティ体制を強化できます。VPC エンドポイントはAWSPrivateLink は、プライベート IP アドレスを介して Amazon ECR API にプライベートにアクセスできるテクノロジーです。AWSPrivateLink は、VPC および ECR 間のすべてのネットワークトラフィックを Amazon ネットワークに限定します。インターネットゲートウェイ、NAT デバイス、または仮想プライベートゲートウェイは必要ありません。

の詳細AWSPrivateLink および VPC エンドポイントについては、「」を参照してください。VPC エンドポイント()Amazon VPC ユーザーガイド

Amazon ECR VPC エンドポイントに関する考慮事項

Amazon ECR の VPC エンドポイントを設定する前に、以下の考慮事項に注意してください。

  • EC2 起動タイプを使用する Amazon ECS タスクで Amazon ECR からプライベートイメージをプルするには、Amazon ECS 用のインターフェイス VPC エンドポイントも作成してください。詳細については、「」を参照してください。インターフェイス VPC エンドポイント (AWSPrivateLink)()Amazon Elastic Container Service

    重要

    Fargate 起動タイプを使用する Amazon ECS タスクでは、Amazon ECS インターフェイスの VPC エンドポイントは必要ありません。

  • Fargate 起動タイプおよびプラットフォームバージョン 1.3.0 以前を使用する Amazon ECS タスクでは、必要なのはcom.amazonaws.リージョンecr.dkrAmazon ECR VPC エンドポイントおよび Amazon S3 ゲートウェイエンドポイントを使用して、この機能を活用できます。

  • Fargate 起動タイプおよびプラットフォームバージョン 1.4.0 以降を使用する Amazon ECS タスクでは、com.amazonaws.リージョンecr.dkrおよびcom.amazonaws.リージョンecr.apiAmazon ECR VPC エンドポイントおよび Amazon S3 ゲートウェイエンドポイントは、この機能を活用します。

  • Amazon ECR からコンテナイメージをプルする Fargate 起動タイプを使用する Amazon ECS タスクでは、タスクのタスク実行 IAM ロールに条件キーを追加することで、タスクが使用する特定の VPC およびサービスが使用する VPC エンドポイントへのアクセスを制限することができます。詳細については、「」を参照してください。インターフェイスエンドポイント経由で Amazon ECR イメージをプルするFargate タスクのためのオプションの IAM 権限()Amazon Elastic Container Service

  • Amazon ECR からコンテナイメージをプルする Fargate 起動タイプを使用する Amazon ECS タスクでは、awslogsログドライバーを使用して CloudWatch Logs にログ情報を送信するには、CloudWatch Logs VPC エンドポイントが必要です。詳細については、「CloudWatch Logs エンドポイントを作成する」を参照してください。

  • VPC エンドポイントにアタッチされたセキュリティグループでは、VPC のプライベートサブネットから、ポート 443 で着信接続を許可する必要があります。

  • 現在、VPC エンドポイントはクロスリージョンリクエストをサポートしていません。Amazon ECR に対して API コールを発行するリージョンと同じリージョンに VPC エンドポイントを作成してください。

  • VPC エンドポイントは、Amazon Route 53 を介した Amazon 提供の DNS のみをサポートします。独自の DNS を使用する場合には、条件付き DNS 転送を使用できます。詳細については、「」を参照してください。DHCP オプションセット()Amazon VPC ユーザーガイド

  • コンテナに Amazon S3 への既存の接続がある場合、Amazon S3 ゲートウェイエンドポイントを追加すると接続が一時的に中断される場合があります。この中断を回避するには、Amazon S3 ゲートウェイエンドポイントを使用する新しい VPC を作成してから、Amazon ECS クラスターとそのコンテナを新しい VPC に移行します。

Windows イメージに関する考慮事項

Windows オペレーティングシステムに基づくイメージには、ライセンスによって配布が制限されているアーティファクトが含まれます。デフォルトでは、Windows イメージを Amazon ECR リポジトリにプッシュすると、これらのアーティファクトを含む Layer は考慮されるにつれてプッシュされません。外部レイヤ。アーティファクトが Microsoft によって提供されている場合、外部レイヤーは Microsoft Azure インフラストラクチャから取得されます。このため、コンテナがこれらの外部レイヤーを Azure からプルできるようにするには、VPC エンドポイントを作成する以外に、追加のステップが必要です。

Amazon ECR に Windows イメージをプッシュするときに、この動作をオーバーライドできます。これは、--allow-nondistributable-artifactsフラグを使用します。有効にすると、このフラグはライセンスされたレイヤーを Amazon ECR にプッシュします。これにより、Azure への追加アクセスを必要とすることなく、これらのイメージを VPC エンドポイント経由で Amazon ECR からプルすることができます。

重要

この --allow-nondistributable-artifacts フラグを使用しても、Windows コンテナベースイメージライセンスの条項に従う義務が排除されるわけではありません。したがって、パブリックまたはサードパーティーによる再配布のために Windows コンテンツを投稿することはできません。お客様自身の環境内での使用は許可されています。

Docker インストールでこのフラグを使用できるようにするには、Docker デーモン設定ファイルを変更する必要があります。通常は Docker インストールに応じて、[Docker エンジン] セクションの設定または環境設定メニューで設定するか、直接 C:\ProgramData\docker\config\daemon.json ファイルを編集できます。

以下に示しているのは、必要な設定の例です。イメージをプッシュするリポジトリ URI に値を置き換えます。

{ "allow-nondistributable-artifacts": [ "111122223333.dkr.ecr.us-west-2.amazonaws.com" ] }

Docker デーモン設定ファイルを変更したら、イメージをプッシュする前に Docker デーモンを再起動する必要があります。ベースレイヤーがリポジトリにプッシュされたことを確認して、プッシュが成功したことを確認します。

注記

Windows イメージのベースレイヤーは大きくなります。レイヤーサイズにより、プッシュ時間が長くなり、Amazon ECR でのこれらのイメージのストレージコストが増大します。これらの理由から、このオプションは、構築時間と継続的なストレージコストを削減することが厳密に要求される場合にのみ使用することをお勧めします。たとえば、mcr.microsoft.com/windows/servercoreAmazon ECR で圧縮すると、イメージのサイズが約 1.7 GiB になります。

Amazon ECR の VPC エンドポイントの作成

Amazon ECR サービスの VPC エンドポイントを作成するには、インターフェイスエンドポイントの作成プロシージャAmazon VPC ユーザーガイド

EC2 起動タイプを使用する Amazon ECS タスクには、Amazon ECR エンドポイントと Amazon S3 ゲートウェイエンドポイントの両方が必要です。

Fargate 起動タイプおよびプラットフォームバージョン 1.3.0 以前を使用する Amazon ECS タスクでは、必要なのはcom.amazonaws.リージョンecr.dkrAmazon ECR VPC エンドポイントと Amazon S3 ゲートウェイエンドポイント。

Fargate 起動タイプおよびプラットフォームバージョン 1.4.0 以降を使用する Amazon ECS タスクでは、com.amazonaws.リージョンecr.dkrおよびcom.amazonaws.リージョンecr.apiAmazon ECR VPC エンドポイントと Amazon S3 ゲートウェイエンドポイント。

注記

エンドポイントが作成される順序は重要ではありません。

com.amazonaws.リージョンecr.dkr

このエンドポイントは、Docker Registry API に使用されます。pushpull などの Docker クライアントコマンドでは、このエンドポイントが使用されます。

com.amazonaws.region.ecr.dkr エンドポイントを作成するときには、プライベート DNS ホスト名を有効にする必要があります。これを行うには、VPC エンドポイントを作成するときに、VPC コンソールで [プライベート DNS 名を有効にする] オプションが選択されていることを確認します。

com.amazonaws.リージョンecr.api
注記

指定済みのリージョンのリージョン識別子を表します。AWSAmazon ECR でサポートされているリージョン(us-east-2米国東部 (オハイオ) リージョンの場合は、を使用します。

このエンドポイントは、Amazon ECR API への呼び出しに使用されます。DescribeImages や CreateRepositories などの API アクションは、このエンドポイントに送られます。

com.amazonaws.region.ecr.api エンドポイントの作成時に、プライベート DNS ホスト名を有効にするオプションがあります。VPC エンドポイントの作成時に VPC コンソールで [プライベート DNS 名を有効にする] を選択して、この設定名を有効にします。VPC エンドポイントでプライベート DNS ホスト名を有効にする場合は、SDK または AWS CLI を使用する際にエンドポイント URL を指定しなくてもいいように、SDK または AWS CLI を最新バージョンに更新します。

プライベート DNS ホスト名が有効で SDK または AWS CLI の 2019 年 1 月 24 日以前にリリースされたバージョンを使用している場合は、--endpoint-url パラメータを使用してインターフェイスのエンドポイントを指定する必要があります。​ 次の例は、エンドポイント URL の形式を示しています。

aws ecr create-repository --repository-name name --endpoint-url https://api.ecr.region.amazonaws.com

VPC エンドポイントでプライベート DNS ホスト名を有効にしない場合は、インターフェイスエンドポイントで VPC エンドポイント ID を指定する --endpoint-url パラメータを​使用する必要があります。次の例は、エンドポイント URL の形式を示しています。

aws ecr create-repository --repository-name name --endpoint-url https://VPC_endpoint_ID.api.ecr.region.vpce.amazonaws.com

Amazon S3 ゲートウェイエンドポイントを作成する

Amazon ECS タスクで Amazon ECR からプライベートイメージをプルするには、Amazon S3 のゲートウェイエンドポイントを作成する必要があります。Amazon ECR は Amazon S3 を使用してイメージレイヤーを保存するため、ゲートウェイエンドポイントが必要です。コンテナが Amazon ECR からイメージをダウンロードするときは、Amazon ECR にアクセスしてイメージマニフェストを取得してから、Amazon S3 にアクセスして実際のイメージレイヤーをダウンロードする必要があります。以下に示しているのは、各 Docker イメージのレイヤーを含む Amazon S3 バケットの Amazon リソースネーム (ARN) です。

arn:aws:s3:::prod-region-starport-layer-bucket/*

の使用ゲートウェイエンドポイントの作成プロシージャAmazon VPC ユーザーガイドをクリックして、Amazon ECR 用の次の Amazon S3 ゲートウェイエンドポイントを作成します。エンドポイントを作成するときは、必ず VPC のルートテーブルを選択してください。

com.amazonaws.リージョン.s3

Amazon S3 ゲートウェイエンドポイントは IAM ポリシードキュメントを使用してサービスへのアクセスを制限します。-完全アクセスポリシーを使用することもできます。タスクの IAM ロールまたは他の IAM ユーザーポリシーに設定した制限はこのポリシーの上に適用されるためです。Amazon S3 バケットへのアクセスを、Amazon ECR を使用するための最小限のアクセス許可に制限する場合は、「」を参照してください。Amazon ECR の最小 Amazon S3 バケットアクセス許可

Amazon ECR の最小 Amazon S3 バケットアクセス許可

Amazon S3 ゲートウェイエンドポイントは IAM ポリシードキュメントを使用してサービスへのアクセスを制限します。Amazon ECR に対する最小限の Amazon S3 バケットアクセス許可のみを許可するには、エンドポイントの IAM ポリシードキュメントを作成するときに Amazon ECR が使用する Amazon S3 バケットへのアクセスを制限します。

次の表は、Amazon ECR に必要とする Amazon S3 バケットポリシーのアクセス許可を示しています。

アクセス許可 説明
arn:aws:s3:::prod-region-starport-layer-bucket/* 各 Docker イメージのレイヤーを含む Amazon S3 バケットへのアクセスを提供します。のリージョン識別子を表し、AWSAmazon ECR でサポートされているリージョン(us-east-2米国東部 (オハイオ) リージョンの場合は、を使用します。

Example

以下の例では、Amazon ECR オペレーションに必要な Amazon S3 バケットへのアクセスを提供する方法を示しています。

{ "Statement": [ { "Sid": "Access-to-specific-bucket-only", "Principal": "*", "Action": [ "s3:GetObject" ], "Effect": "Allow", "Resource": ["arn:aws:s3:::prod-region-starport-layer-bucket/*"] } ] }

CloudWatch Logs エンドポイントを作成する

Fargate 起動タイプを使用する Amazon ECS タスクで、インターネットゲートウェイなしで VPC を使用する。このタスクでは、awslogsログドライバーを使用して CloudWatch Logs にログ情報を送信するには、com.amazonaws.リージョンlogsCloudWatch Logs 用のインターフェイス VPC エンドポイントです。詳細については、「」を参照してください。ゲートウェイエンドポイントの作成()Amazon CloudWatch Logs ユーザーガイド

Amazon ECR VPC エンドポイントのエンドポイントポリシーを作成する

VPC エンドポイントポリシーは、エンドポイントの作成時または変更時にエンドポイントにアタッチする IAM リソースポリシーです。エンドポイントの作成時にポリシーをアタッチしないと、サービスへのフルアクセスを許可するデフォルトのポリシーが AWS によって自動的にアタッチされます。エンドポイントポリシーは、 ユーザーポリシーやサービス固有のポリシーを上書き、または置き換えません。これは、エンドポイントから指定されたサービスへのアクセスを制御するための別のポリシーです。エンドポイントのポリシーは、JSON 形式で記述される必要があります。詳細については、Amazon VPC ユーザーガイドの「VPC エンドポイントでサービスへのアクセスを制御する」を参照してください。

1 つの IAM リソースポリシーを作成し、両方の Amazon ECR VPC エンドポイントにアタッチすることをお勧めします。

Amazon ECR のエンドポイントポリシーの例を次に示します。このポリシーで、特定の IAM ロールが Amazon ECR からイメージをプルできるようにします。

{ "Statement": [{ "Sid": "AllowPull", "Principal": { "AWS": "arn:aws:iam::1234567890:role/role_name" }, "Action": [ "ecr:BatchGetImage", "ecr:GetDownloadUrlForLayer" ], "Effect": "Allow", "Resource": "*" }] }

次のエンドポイントポリシーの例では、指定されたリポジトリが削除されないようにしています。

{ "Statement": [{ "Sid": "AllowAll", "Principal": "*", "Action": "*", "Effect": "Allow", "Resource": "*" }, { "Sid": "PreventDelete", "Principal": "*", "Action": "ecr:DeleteRepository", "Effect": "Deny", "Resource": "arn:aws:ecr:region:1234567890:repository/repository_name" } ] }

次のエンドポイントポリシーの例では、前述の 2 つの例を 1 つのポリシーにまとめています。

{ "Statement": [{ "Sid": "AllowAll", "Effect": "Allow", "Principal": "*", "Action": "*", "Resource": "*" }, { "Sid": "PreventDelete", "Effect": "Deny", "Principal": "*", "Action": "ecr:DeleteRepository", "Resource": "arn:aws:ecr:region:1234567890:repository/repository_name" }, { "Sid": "AllowPull", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::1234567890:role/role_name" }, "Action": [ "ecr:BatchGetImage", "ecr:GetDownloadUrlForLayer" ], "Resource": "*" } ] }

Amazon ECR の VPC エンドポイントポリシーを変更するには

  1. Amazon VPC コンソール (https://console.aws.amazon.com/vpc/) を開きます。

  2. ナビゲーションペインで、[エンドポイント] を選択します。

  3. Amazon ECR の VPC エンドポイントをまだ作成していない場合は、「」を参照してください。Amazon ECR の VPC エンドポイントの作成

  4. ポリシーを追加する Amazon ECR VPC エンドポイントを選択し、ポリシータブを、画面の下部に表示します。

  5. [ポリシーの編集] を選択してポリシーを変更します。

  6. [保存] を選択してポリシーを保存します。