Gewähren Sie Lightsail Container Services Zugriff auf private Amazon ECR-Repositorys

Melden Sie sich bei der Lightsail-Konsole an.

Wechseln Sie auf der Lightsail-Startseite zur Registerkarte Storage (Speicher).

Wählen Sie den Namen des Container-Services aus, für den Sie den Zugriff auf ein privates Amazon-ECR-Repository konfigurieren möchten.

Wählen Sie die Registerkarte Images.

Wählen Sie Repository hinzufügen aus, um Ihrem Container-Service Zugriff auf ein privates Amazon-ECR-Repository zu erteilen.

Wählen Sie im angezeigten Dropdown-Menü das private Repository aus, auf das Sie zugreifen möchten, und dann Add (Hinzufügen).

Lightsail benötigt einen Moment, um die IAM-Rolle Amazon ECR Image Puller für Ihren Container-Service zu aktivieren, die einen primären Amazon Resource Name (ARN) beinhaltet. Lightsail fügt dann automatisch den IAM-Rollenprinzipal-ARN zur Berechtigungsrichtlinie des von Ihnen ausgewählten privaten Amazon ECR-Repositorys hinzu. Dies gewährt Ihrem Container-Service Zugriff auf das private Repository und seine Images. Schließen Sie das Browserfenster nicht, bis das Modal erscheint und anzeigt, dass der Vorgang abgeschlossen ist, wonach Sie Continue (Weiter) auswählen können.

Wählen Sie Continue (Weiter), wenn die Aktivierung abgeschlossen ist.

Nachdem es ausgewählte private Amazon-ECR-Repository hinzugefügt wurde, wird es im Abschnitt Private Amazon-ECR-Repositorys der Seite aufgeführt. Die Seite enthält Anweisungen zum Bereitstellen eines Images aus dem privaten Repository für Ihren Lightsail-Container-Service. Um ein Image aus Ihrem privaten Repository zu verwenden, geben Sie das URI-Format an, das auf der Seite beim Erstellen Ihrer Container-Service-Bereitstellung als der Image-Wert angezeigt wird. Ersetzen Sie im URI das Beispiel-{image tag} durch das Tag des Image, das Sie bereitstellen möchten. Weitere Informationen finden Sie unter Erstellen und Verwalten von Bereitstellungen für Container-Services.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um einen Container-Service zu aktualisieren und die IAM-Rolle des Amazon-ECR-Image-Pullers zu aktivieren oder zu deaktivieren.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiele:

Wenn Sie:

Geben Sie den folgenden Befehl ein, um den Prinzipal-ARN der IAM-Rolle des Amazon-ECR-Image-Pullers für Ihren Container-Service abzurufen.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

Suchen Sie in der Antwort nach dem Prinzipal-ARN der IAM-Rolle des ECR-Image-Pullers. Wenn eine Rolle aufgeführt ist, kopieren oder notieren Sie sie. Sie benötigen sie für den nächsten Abschnitt dieses Leitfadens. Als Nächstes müssen Sie feststellen, ob eine Richtlinienerklärung auf dem privaten Amazon-ECR-Repository vorhanden ist, auf das Sie mit Ihrem Container-Service zugreifen möchten. Fahren Sie mit dem Abschnitt Feststellen, ob Ihr privates Amazon-ECR-Repository über eine Richtlinienerklärung verfügt in diesem Leitfaden fort.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für ein bestimmtes privates Repository abzurufen.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Sie sollten eine der folgenden Antworten sehen:

Öffnen Sie einen Texteditor und fügen Sie die folgende Richtlinienanweisung in eine neue Textdatei ein.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

IamRolePrincipalArnErsetzen Sie im Text durch den Amazon ECR Image Puller IAM-Rollenprinzipal-ARN Ihres Container-Service, den Sie weiter oben in diesem Handbuch erhalten haben.

Speichern Sie die Datei als ecr-policy.json an einem zugänglichen Ort auf Ihrem Computer (z. B. C:\Temp\ecr-policy.json unter Windows oder /tmp/ecr-policy.json unter macOS oder Linux).

Notieren Sie sich den Dateipfadspeicherort der ecr-policy.json-Datei die erstellt wurde. Sie werden sie später unten in diesem Verfahren in einem Befehl angeben.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für das private Repository festzulegen, auf das Sie mit Ihrem Container-Service zugreifen möchten.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiele:

Ihr Container-Service kann jetzt auf Ihr privates Repository und seine Images zugreifen. Um ein Image aus Ihrem Repository zu verwenden, geben Sie den folgenden URI als Image-Wert für Ihre Container-Service-Bereitstellung an. Ersetzen Sie im URI das Beispiel-Tag durch das Tag des Image, das Sie bereitstellen möchten. Weitere Informationen finden Sie unter Erstellen und Verwalten von Bereitstellungen für Container-Services.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Ersetzen Sie im URI den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für ein bestimmtes privates Repository abzurufen.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Kopieren Sie in der Antwort die vorhandene Richtlinie und fahren Sie mit dem nächsten Schritt fort.

Sie sollten nur den Inhalt des policyText kopieren, der zwischen den doppelten Anführungszeichen erscheint, wie im folgenden Beispiel hervorgehoben.

Öffnen Sie einen Texteditor und fügen Sie die vorhandene Richtlinie aus Ihrem privaten Repository ein, das Sie im vorherigen Schritt kopiert haben.

Das Ergebnis sollte wie folgt aussehen:

Ersetzen Sie im eingefügten Text \n durch Zeilenumbrüche und löschen Sie das verbleibende \.

Das Ergebnis sollte wie folgt aussehen:

Fügen Sie die folgende Richtlinienanweisung am Ende der Text-Datei ein.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

IamRolePrincipalArnErsetzen Sie im Text durch den Amazon ECR Image Puller IAM-Rollenprinzipal-ARN Ihres Container-Service, den Sie weiter oben in diesem Handbuch erhalten haben.

Das Ergebnis sollte wie folgt aussehen:

Speichern Sie die Datei als ecr-policy.json an einem zugänglichen Ort auf Ihrem Computer (z. B. C:\Temp\ecr-policy.json unter Windows oder /tmp/ecr-policy.json unter macOS oder Linux).

Notieren Sie sich den Dateipfadspeicherort der ecr-policy.json-Datei. Sie werden sie später unten in diesem Verfahren in einem Befehl angeben.

Öffnen Sie ein Terminal- oder Eingabeaufforderungsfenster.

Geben Sie den folgenden Befehl ein, um die Richtlinienanweisung für das private Repository festzulegen, auf das Sie mit Ihrem Container-Service zugreifen möchten.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Ersetzen Sie im Befehl den folgenden Beispieltext mit Ihrem eigenen:

Beispiele:

Sie sollten eine Antwort ähnlich dem folgenden Beispiel erhalten.

Wenn Sie den get-repository-policy-Befehl erneut durchführen, sollten Sie die neue zusätzliche Richtlinienerklärung in Ihrem privaten Repository sehen. Ihr Container-Service kann jetzt auf Ihr privates Repository und seine Images zugreifen. Um ein Image aus Ihrem Repository zu verwenden, geben Sie den folgenden URI als Image-Wert für Ihre Container-Service-Bereitstellung an. Ersetzen Sie im URI das Beispiel-Tag durch das Tag des Image, das Sie bereitstellen möchten. Weitere Informationen finden Sie unter Erstellen und Verwalten von Bereitstellungen für Container-Services.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Ersetzen Sie im URI den folgenden Beispieltext mit Ihrem eigenen:

Beispiel:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage