Otorgue a los servicios de contenedores de Lightsail acceso a los repositorios privados de Amazon ECR

Inicie sesión en la consola de Lightsail.

En el panel de navegación izquierdo, elija Contenedores.

Elija el nombre del servicio de contenedores para el que quiere configurar el acceso a un repositorio ECR privado de Amazon.

Elija la pestaña Imágenes.

Selecciona Añadir repositorio para conceder acceso a tu servicio de contenedores a un repositorio ECR privado de Amazon.

En el menú desplegable que aparece, seleccione el repositorio privado al que desea acceder y luego elija Add (Agregar).

Lightsail tarda unos minutos en activar la función de IAM extractor de imágenes de ECR Amazon para su servicio de contenedores, que incluye un nombre de recurso principal de Amazon (). ARN A continuación, Lightsail añade automáticamente IAM el rol ARN principal a la política de permisos del repositorio privado de ECR Amazon que haya seleccionado. Esto otorga al servicio de contenedor acceso al repositorio privado y a sus imágenes. No cierre la ventana del navegador hasta que el modal que aparece indique que el proceso se completó y pueda elegir Continue (Continuar).

Elija Continue (Continuar) cuando se complete la activación.

Una vez añadido el repositorio ECR privado de Amazon seleccionado, aparece en la sección de repositorios ECR privados de Amazon de la página. La página incluye instrucciones sobre cómo implementar una imagen del repositorio privado en su servicio de contenedores de Lightsail. Para usar una imagen de su repositorio privado, especifique el URI formato que se muestra en la página como valor de imagen al crear el despliegue del servicio de contenedores. En el URI que especifique, sustituya el ejemplo por {image tag} la etiqueta de la imagen que desee implementar. Para obtener más información, consulte Creación y administración de implementaciones del servicio de contenedor.

Abra una ventana del símbolo del sistema o del terminal.

Introduce el siguiente comando para actualizar un servicio de contenedores y activar o desactivar la función de extractor IAM de ECR imágenes de Amazon.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

En el comando, sustituya el texto del ejemplo siguiente por el suyo propio:

Ejemplos:

Si:

Introduce el siguiente comando para obtener el principal IAM rol ARN de extractor de ECR imágenes de Amazon para tu servicio de contenedores.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

En el comando, sustituya el texto del ejemplo siguiente por el suyo propio:

Ejemplo:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

Busque el IAM rol principal del extractor de ECR imágenes ARN en la respuesta. Si aparece un rol, cópielo o anótelo. Lo necesitará para la siguiente sección de esta guía. A continuación, debes determinar si existe una declaración de política en el repositorio ECR privado de Amazon a la que quieras acceder con tu servicio de contenedores. Continúa con la sección Determina si tu repositorio ECR privado de Amazon tiene una declaración de política de esta guía.

Abra una ventana del símbolo del sistema o del terminal.

Escriba el siguiente comando para obtener la declaración de política correspondiente a un repositorio privado específico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

En el comando, sustituya el texto del ejemplo siguiente por el suyo propio:

Ejemplo:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Debería ver una de las siguientes respuestas:

Abra un editor de texto y pegue la siguiente declaración de política en un nuevo archivo de texto.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

En el texto, IamRolePrincipalArn sustitúyelo por el IAM rol principal ARN de extractor de ECR imágenes de Amazon de su servicio de contenedores que obtuvo anteriormente en esta guía.

Guarde el archivo como ecr-policy.json en una ubicación accesible del equipo (por ejemplo, C:\Temp\ecr-policy.json en Windows o /tmp/ecr-policy.json en macOS o Linux).

Anote la ubicación de la ruta del ecr-policy.json archivo creado. Especificará en un comando más adelante en este procedimiento.

Abra una ventana del símbolo del sistema o del terminal.

Ingrese el siguiente comando para establecer la declaración de política para el repositorio privado al que desea acceder con su servicio de contenedor.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

En el comando, sustituya el texto del ejemplo siguiente por el suyo propio:

Ejemplos:

El servicio de contenedor ahora puede acceder a su repositorio privado y a sus imágenes. Para usar una imagen de su repositorio, especifique lo siguiente URI como valor de imagen para la implementación del servicio de contenedores. En elURI, sustituya el ejemplo por tag la etiqueta de la imagen que desea implementar. Para obtener más información, consulte Creación y administración de implementaciones del servicio de contenedor.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

En elURI, sustituya el siguiente texto de ejemplo por el suyo propio:

Ejemplo:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

Abra una ventana del símbolo del sistema o del terminal.

Escriba el siguiente comando para obtener la declaración de política correspondiente a un repositorio privado específico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

En el comando, sustituya el texto del ejemplo siguiente por el suyo propio:

Ejemplo:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

En la respuesta, copie la política existente y continúe con el siguiente paso.

Debe copiar solo el contenido del policyText que aparece entre las comillas dobles, como se destaca en el siguiente ejemplo.

Abra un editor de texto y pegue la política existente de su repositorio privado que copió en el paso anterior.

El resultado debe ser similar al siguiente ejemplo:

En el texto que pegó, reemplace \n con saltos de línea y borre el resto \.

El resultado debe ser similar al siguiente ejemplo:

Pegue la siguiente declaración política al final del archivo de texto.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

En el texto, IamRolePrincipalArn sustitúyelo por el IAM rol principal ARN de extractor de ECR imágenes de Amazon de su servicio de contenedores que obtuvo anteriormente en esta guía.

El resultado debe ser similar al siguiente ejemplo:

Guarde el archivo como ecr-policy.json en una ubicación accesible del equipo (por ejemplo, C:\Temp\ecr-policy.json en Windows o /tmp/ecr-policy.json en macOS o Linux).

Anote la ubicación de la ruta del archivo ecr-policy.json. Especificará en un comando más adelante en este procedimiento.

Abra una ventana del símbolo del sistema o del terminal.

Ingrese el siguiente comando para establecer la declaración de política para el repositorio privado al que desea acceder con su servicio de contenedor.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

En el comando, sustituya el texto del ejemplo siguiente por el suyo propio:

Ejemplos:

Debería ver una respuesta similar a la del siguiente ejemplo.

Si ejecuta el comando get-repository-policy de nuevo, debería ver la nueva declaración de política adicional en su repositorio privado. El servicio de contenedor ahora puede acceder a su repositorio privado y a sus imágenes. Para usar una imagen de su repositorio, especifique lo siguiente URI como valor de imagen para la implementación del servicio de contenedores. En elURI, sustituya el ejemplo por tag la etiqueta de la imagen que desea implementar. Para obtener más información, consulte Creación y administración de implementaciones del servicio de contenedor.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

En elURI, sustituya el siguiente texto de ejemplo por el suyo propio:

Ejemplo:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage