Gewähren Sie Lightsail Container Services Zugriff auf private ECR Amazon-Repositorys

Melden Sie sich bei der Lightsail-Konsole an.

Wählen Sie im linken Navigationsbereich Containers aus.

Wählen Sie den Namen des Container-Service, für den Sie den Zugriff auf ein ECR privates Amazon-Repository konfigurieren möchten.

Wählen Sie die Registerkarte Images.

Wählen Sie Repository hinzufügen, um Ihrem Container-Service Zugriff auf ein ECR privates Amazon-Repository zu gewähren.

Wählen Sie im angezeigten Dropdown-Menü das private Repository aus, auf das Sie zugreifen möchten, und dann Add (Hinzufügen).

Lightsail benötigt einen Moment, um die ECR IAM Amazon-Image-Puller-Rolle für Ihren Container-Service zu aktivieren, die einen primären Amazon-Ressourcennamen () beinhaltet. ARN Lightsail fügt den IAM Rollenprinzipal dann automatisch ARN zur Berechtigungsrichtlinie des von Ihnen ausgewählten ECR privaten Amazon-Repositorys hinzu. Dies gewährt Ihrem Container-Service Zugriff auf das private Repository und seine Images. Schließen Sie das Browserfenster nicht, bis das Modal erscheint und anzeigt, dass der Vorgang abgeschlossen ist, wonach Sie Continue (Weiter) auswählen können.

Wählen Sie Continue (Weiter), wenn die Aktivierung abgeschlossen ist.

Nachdem das ausgewählte ECR private Amazon-Repository hinzugefügt wurde, wird es im Abschnitt ECRPrivate Amazon-Repositorys der Seite aufgeführt. Die Seite enthält Anweisungen zum Bereitstellen eines Images aus dem privaten Repository für Ihren Lightsail-Container-Service. Um ein Bild aus Ihrem privaten Repository zu verwenden, geben Sie bei der Erstellung Ihrer Container-Service-Bereitstellung das URI Format an, das auf der Seite als Image-Wert angezeigt wird. Ersetzen Sie in der URI von Ihnen angegebenen Datei das Beispiel {image tag} durch das Tag des Images, das Sie bereitstellen möchten. Weitere Informationen finden Sie unter Erstellen und Verwalten von Bereitstellungen für Container-Services.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um einen Container-Service zu aktualisieren und die ECR IAM Amazon-Image-Puller-Rolle zu aktivieren oder zu deaktivieren.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiele:

Wenn Sie:

Geben Sie den folgenden Befehl ein, um den Principal ARN der ECR IAM Amazon-Image-Puller-Rolle für Ihren Container-Service abzurufen.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

Suchen Sie ARN in der Antwort nach dem IAM Rollenprinzipal des ECR Image-Pullers. Wenn eine Rolle aufgeführt ist, kopieren oder notieren Sie sie. Sie benötigen sie für den nächsten Abschnitt dieses Leitfadens. Als Nächstes müssen Sie feststellen, ob es eine bestehende Richtlinienerklärung für das ECR private Amazon-Repository gibt, auf das Sie mit Ihrem Container-Service zugreifen möchten. Fahren Sie mit dem Abschnitt Ermitteln Sie fest, ob Ihr ECR privates Amazon-Repository über eine Grundsatzerklärung verfügt in diesem Handbuch weiter.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für ein bestimmtes privates Repository abzurufen.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Sie sollten eine der folgenden Antworten sehen:

Öffnen Sie einen Texteditor und fügen Sie die folgende Richtlinienanweisung in eine neue Textdatei ein.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Ersetzen Sie den Text durch die IAM Rolle Principal ARN Ihres Containerdienstes IamRolePrincipalArn bei Amazon ECR Image Puller, die Sie weiter oben in diesem Handbuch erhalten haben.

Speichern Sie die Datei als ecr-policy.json an einem zugänglichen Ort auf Ihrem Computer (z. B. C:\Temp\ecr-policy.json unter Windows oder /tmp/ecr-policy.json unter macOS oder Linux).

Notieren Sie sich den Dateipfadspeicherort der ecr-policy.json-Datei die erstellt wurde. Sie werden sie später unten in diesem Verfahren in einem Befehl angeben.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für das private Repository festzulegen, auf das Sie mit Ihrem Container-Service zugreifen möchten.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiele:

Ihr Container-Service kann jetzt auf Ihr privates Repository und seine Images zugreifen. Um ein Bild aus Ihrem Repository zu verwenden, geben Sie Folgendes URI als Image-Wert für Ihre Container-Service-Bereitstellung an. Ersetzen Sie in der URI das Beispiel tag durch das Tag des Images, das Sie bereitstellen möchten. Weitere Informationen finden Sie unter Erstellen und Verwalten von Bereitstellungen für Container-Services.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Ersetzen Sie in der URI den folgenden Beispieltext durch Ihren eigenen:

Beispiel:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für ein bestimmtes privates Repository abzurufen.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Kopieren Sie in der Antwort die vorhandene Richtlinie und fahren Sie mit dem nächsten Schritt fort.

Sie sollten nur den Inhalt des policyText kopieren, der zwischen den doppelten Anführungszeichen erscheint, wie im folgenden Beispiel hervorgehoben.

Öffnen Sie einen Texteditor und fügen Sie die vorhandene Richtlinie aus Ihrem privaten Repository ein, das Sie im vorherigen Schritt kopiert haben.

Das Ergebnis sollte wie folgt aussehen:

Ersetzen Sie im eingefügten Text \n durch Zeilenumbrüche und löschen Sie das verbleibende \.

Das Ergebnis sollte wie folgt aussehen:

Fügen Sie die folgende Richtlinienanweisung am Ende der Text-Datei ein.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Ersetzen Sie den Text durch die IAM Rolle Principal ARN Ihres Containerdienstes IamRolePrincipalArn bei Amazon ECR Image Puller, die Sie weiter oben in diesem Handbuch erhalten haben.

Das Ergebnis sollte wie folgt aussehen:

Speichern Sie die Datei als ecr-policy.json an einem zugänglichen Ort auf Ihrem Computer (z. B. C:\Temp\ecr-policy.json unter Windows oder /tmp/ecr-policy.json unter macOS oder Linux).

Notieren Sie sich den Dateipfadspeicherort der ecr-policy.json-Datei. Sie werden sie später unten in diesem Verfahren in einem Befehl angeben.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für das private Repository festzulegen, auf das Sie mit Ihrem Container-Service zugreifen möchten.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiele:

Sie sollten eine Antwort ähnlich dem folgenden Beispiel erhalten.

Wenn Sie den get-repository-policy-Befehl erneut durchführen, sollten Sie die neue zusätzliche Richtlinienerklärung in Ihrem privaten Repository sehen. Ihr Container-Service kann jetzt auf Ihr privates Repository und seine Images zugreifen. Um ein Bild aus Ihrem Repository zu verwenden, geben Sie Folgendes URI als Image-Wert für Ihre Container-Service-Bereitstellung an. Ersetzen Sie in der URI das Beispiel tag durch das Tag des Images, das Sie bereitstellen möchten. Weitere Informationen finden Sie unter Erstellen und Verwalten von Bereitstellungen für Container-Services.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Ersetzen Sie in der URI den folgenden Beispieltext durch Ihren eigenen:

Beispiel:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage