本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
Amazon Elastic Container Registry 的動作、資源與條件索引鍵
Amazon Elastic 容器登錄檔 (服務前綴:ecr
) 提供下列服務特定資源、動作和條件內容金鑰,可用於IAM許可政策。
參考資料:
-
了解如何設定此服務。
-
檢視此服務可用的API作業清單。
-
了解如何使用權限原則來保護此服務及其IAM資源的安全。
主題
Amazon Elastic Container Registry 定義的動作
您可以在IAM策略陳述式的Action
元素中指定下列動作。使用政策來授予在 AWS中執行操作的許可。當您在策略中使用動作時,通常會允許或拒絕存取具有相同名稱的API作業或CLI命令。不過,在某些情況下,單一動作可控制對多個操作的存取。或者,某些操作需要多種不同的動作。
「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值,您必須在政策陳述式的 Resource
元素中指定政策適用的所有資源 ("*")。如果資料行包含資源類型,則您可以使用該動作在陳述式中指定該類型ARN的類型。如果動作具有一或多個必要資源,呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用策略中的Resource
元素限制資源存取,IAM則必須針對每個所需資源類型包含ARN或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要),則您可以選擇使用其中一種選用資源類型。
「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition
元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊,請參閱「資源類型」資料表的條件索引鍵欄。
注意
資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄,其中包含套用至「動作」資料表中動作的資源條件索引鍵。
如需下表各欄的詳細資訊,請參閱動作資料表。
動作 | 描述 | 存取層級 | 資源類型 (*必填項目) | 條件索引鍵 | 相依動作 |
---|---|---|---|---|---|
BatchCheckLayerAvailability | 准許檢查指定登錄和儲存庫檢查中多個映像層的可用性 | 讀取 | |||
BatchDeleteImage | 准許刪除指定儲存庫中的指定映像清單 | 寫入 | |||
BatchGetImage | 准許取得指定儲存庫中指定映像的詳細資訊 | 讀取 | |||
BatchGetRepositoryScanningConfiguration | 准許擷取儲存庫清單的儲存庫掃描組態 | 讀取 | |||
BatchImportUpstreamImage [僅限許可] | 准許從上游登錄檔擷取映像,並將其匯入到您的私有登錄檔 | 寫入 | |||
CompleteLayerUpload | 授予通知 Amazon ECR 指定登錄、存放庫名稱和上傳 ID 的影像層上傳已完成的權限 | 寫入 | |||
CreatePullThroughCacheRule | 准許建立新的 pull-through 快取規則 | 寫入 |
iam:CreateServiceLinkedRole |
||
CreateRepository | 准許建立映像儲存庫 | 寫入 |
ecr:TagResource |
||
CreateRepositoryCreationTemplate | 准許建立儲存庫建立範本 | 寫入 |
ecr:CreateRepository ecr:PutLifecyclePolicy ecr:SetRepositoryPolicy iam:CreateServiceLinkedRole iam:PassRole |
||
DeleteLifecyclePolicy | 准許刪除指定的生命週期政策 | 寫入 | |||
DeletePullThroughCacheRule | 准許刪除 pull-through 快取規則 | 寫入 | |||
DeleteRegistryPolicy | 准許刪除登錄檔政策 | 許可管理 | |||
DeleteRepository | 准許刪除現有映像儲存庫 | 寫入 | |||
DeleteRepositoryCreationTemplate | 准許刪除儲存庫建立範本 | 寫入 | |||
DeleteRepositoryPolicy | 准許從指定的儲存庫刪除儲存庫政策 | 許可管理 | |||
DescribeImageReplicationStatus | 准許擷取登錄檔中映像的複寫狀態,包括複寫失敗時的失敗原因 | 讀取 | |||
DescribeImageScanFindings | 准許描述指定映像的映像掃描結果 | 讀取 | |||
DescribeImages | 准許傳回關於儲存庫中映像的中繼資料,包含映像大小、映像標籤和建立日期 | 列出 | |||
DescribePullThroughCacheRules | 准許描述 pull-through 快取規則 | 列出 | |||
DescribeRegistry | 准許描述登錄檔設定 | 讀取 | |||
DescribeRepositories | 准許在登錄中描述映像儲存庫 | 讀取 | |||
DescribeRepositoryCreationTemplates | 准許描述儲存庫建立範本 | 讀取 | |||
GetAccountSetting | 授予檢索帳戶設置的權限 | 讀取 | |||
GetAuthorizationToken | 准許擷取對指定登錄有效期為 12 小時的字符 | 讀取 | |||
GetDownloadUrlForLayer | 授予檢索對URL應於圖像層的下載的權限 | 讀取 | |||
GetLifecyclePolicy | 准許擷取指定的生命週期政策 | 讀取 | |||
GetLifecyclePolicyPreview | 准許擷取指定的生命週期政策預覽要求結果 | 讀取 | |||
GetRegistryPolicy | 准許擷取登錄政策 | 讀取 | |||
GetRegistryScanningConfiguration | 准許擷取登錄掃描組態 | 讀取 | |||
GetRepositoryPolicy | 准許從指定的儲存庫擷取儲存庫政策 | 讀取 | |||
InitiateLayerUpload | 授予通知 Amazon 您ECR打算上傳圖像層的權限 | 寫入 | |||
ListImages | 授予列出給定存儲庫中所IDs有圖像的權限 | 清單 | |||
ListTagsForResource | 授予列出 Amazon ECR 資源標籤的權限 | 讀取 | |||
PutAccountSetting | 授予更新帳戶設定的權限 | 寫入 | |||
PutImage | 准許建立或更新與映像相關聯的映像資訊清單 | 寫入 | |||
PutImageScanningConfiguration | 准許更新儲存庫映像掃描組態 | 寫入 | |||
PutImageTagMutability | 准許更新儲存庫映像標籤可變性設定 | 寫入 | |||
PutLifecyclePolicy | 准許建立或更新生命週期政策 | 寫入 | |||
PutRegistryPolicy | 准許更新登錄檔政策 | 許可管理 | |||
PutRegistryScanningConfiguration | 准許更新登錄掃描組態 | 寫入 | |||
PutReplicationConfiguration | 准許更新登錄檔複寫組態 | 寫入 |
iam:CreateServiceLinkedRole |
||
ReplicateImage [僅限許可] | 准許將映像複寫到目的地登錄檔 | 寫入 | |||
SetRepositoryPolicy | 准許在指定儲存庫上套用儲存庫政策,以控制存取許可 | 許可管理 | |||
StartImageScan | 准許啟動映像掃描 | 寫入 | |||
StartLifecyclePolicyPreview | 准許開始預覽指定的生命週期政策 | 寫入 | |||
TagResource | 授予標記 Amazon ECR 資源的權限 | 標記 | |||
UntagResource | 授予取消標記 Amazon ECR 資源的權限 | 標記 | |||
UpdatePullThroughCacheRule | 准許更新 pull-through 快取規則 | 寫入 | |||
UpdateRepositoryCreationTemplate | 授予更新存放庫建立範本的權限 | 寫入 |
ecr:CreateRepository ecr:PutLifecyclePolicy ecr:SetRepositoryPolicy iam:CreateServiceLinkedRole iam:PassRole |
||
UploadLayerPart | 授予將圖像層部分上傳到 Amazon 的權限 ECR | 寫入 | |||
ValidatePullThroughCacheRule | 准許驗證 pull-through 快取規則 | 讀取 |
Amazon Elastic Container Registry 定義的資源類型
下列資源類型由此服務定義,可用於IAM權限原則陳述式的Resource
元素中。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊,請參閱資源類型資料表。
資源類型 | ARN | 條件索引鍵 |
---|---|---|
repository |
arn:${Partition}:ecr:${Region}:${Account}:repository/${RepositoryName}
|
Amazon Elastic Container Registry 的條件索引鍵
Amazon 彈性容器登錄會定義下列可在IAM政策Condition
元素中使用的條件金鑰。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊,請參閱條件索引鍵表。
若要檢視所有服務都可使用的全域條件鍵,請參閱可用全域條件鍵。
條件索引鍵 | 描述 | 類型 |
---|---|---|
aws:RequestTag/${TagKey} | 依每個標籤的允許值集來篩選存取 | 字串 |
aws:ResourceTag/${TagKey} | 依與資源相關聯的標籤值篩選存取權 | 字串 |
aws:TagKeys | 依請求中是否存在強制性標籤來篩選存取 | ArrayOfString |
ecr:ResourceTag/${TagKey} | 依與資源相關聯的標籤值篩選存取權 | 字串 |