Accordez aux services de conteneur Lightsail l'accès aux référentiels privés Amazon ECR

Connectez-vous à la console Lightsail.

Sur la page d'accueil de Lightsail, cliquez sur l'onglet Conteneurs.

Choisissez le nom du service de conteneurs pour lequel vous souhaitez configurer l'accès à un référentiel privé Amazon ECR.

Cliquez sur l'onglet Images.

Choisissez Ajouter un référentiel pour autoriser votre service de conteneurs à accéder à un référentiel privé Amazon ECR.

Dans la liste déroulante qui s'affiche, sélectionnez le référentiel privé auquel vous souhaitez accéder, et choisissez Add (Ajouter).

Lightsail met quelques instants à activer le rôle IAM d'extraction d'images Amazon ECR pour votre service de conteneur, qui inclut un Amazon Resource Name (ARN) principal. Lightsail ajoute ensuite automatiquement l'ARN principal du rôle IAM à la politique d'autorisation du référentiel privé Amazon ECR que vous avez sélectionné. Cela permet à votre service de conteneur d'accéder au référentiel privé et à ses images. Ne fermez pas la fenêtre du navigateur avant que le modal qui s'affiche n'indique que le processus est terminé et que vous pouvez choisir Continue (Continuer).

Choisissez Continue (Continuer) lorsque l'activation est terminée.

Après que le référentiel privé Amazon ECR sélectionné est ajouté, il est répertorié dans la section Répertoires privés Amazon ECR de la page. La page contient des instructions sur le déploiement d'une image depuis le référentiel privé vers votre service de conteneur Lightsail. Pour utiliser une image de votre référentiel, spécifiez le format URI affiché sur la page comme Image lors du déploiement de votre service de conteneur. Dans l'URI, remplacez l'exemple de {image tag} (balise de l'image) par la balise de l'image que vous souhaitez déployer. Pour plus d'informations, veuillez consulter Création et gestion des déploiements pour vos services de conteneurs.

Ouvrez une invite de commande ou une fenêtre de terminal.

Saisissez la commande suivante pour mettre à jour un service de conteneurs et activer ou désactiver le rôle IAM extracteur d'image d'Amazon ECR.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

Dans la commande, remplacez l'exemple de texte suivant par le vôtre :

Exemples :

Si vous :

Saisissez la commande suivante pour obtenir l'ARN principal du rôle IAM extracteur d'image d'Amazon ECR pour votre service de conteneurs.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

Dans la commande, remplacez l'exemple de texte suivant par le vôtre :

Exemple :

aws lightsail get-container-services --service-name my-container-service --region us-east-1

Recherchez l'ARN principal du rôle IAM extracteur d'image d'ECR dans la réponse. Si un rôle est répertorié, copiez-le ou notez-le. Vous en aurez besoin pour la section suivante de ce guide. Ensuite, vous devez déterminer s'il existe une déclaration de politique existante pour le référentiel privé Amazon ECR auquel vous souhaitez accéder avec votre service de conteneurs. Poursuivez vers la section Déterminer si votre référentiel privé Amazon ECR possède une déclaration de politique de ce guide.

Ouvrez une invite de commande ou une fenêtre de terminal.

Saisissez la commande suivante pour obtenir la déclaration de politique d'un référentiel privé spécifique.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Dans la commande, remplacez l'exemple de texte suivant par le vôtre :

Exemple :

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Vous devriez voir l'une des réponses suivantes :

Ouvrez un éditeur de texte et collez la déclaration de politique suivante dans un nouveau fichier texte.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Dans le texte, remplacez-le IamRolePrincipalArnpar l'ARN principal du rôle IAM d'extraction d'images Amazon ECR de votre service de conteneur que vous avez obtenu plus tôt dans ce guide.

Enregistrez le fichier sous le nom ecr-policy.json à un emplacement accessible sur votre ordinateur (par exemple, C:\Temp\ecr-policy.json sous Windows ou /tmp/ecr-policy.json sous macOS ou Linux).

Notez l'emplacement du chemin d'accès du fichier ecr-policy.json créé. Vous spécifierez cela dans une commande à un stade ultérieur de cette procédure.

Ouvrez une invite de commande ou une fenêtre de terminal.

Saisissez la commande suivante pour définir la déclaration de politique du référentiel privé auquel vous souhaitez accéder avec votre service de conteneurs.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Dans la commande, remplacez l'exemple de texte suivant par le vôtre :

Exemples :

Votre service de conteneur peut maintenant accéder à votre référentiel privé et à ses images. Pour utiliser une image de votre référentiel, spécifiez l'URI suivant en tant que valeur Image pour votre déploiement de service de conteneurs. Dans l'URI, remplacez l'exemple de tag (balise) par la balise de l'image que vous souhaitez déployer. Pour plus d'informations, veuillez consulter Création et gestion des déploiements pour vos services de conteneurs.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Dans l'URI, remplacez l'exemple de texte suivant par le vôtre :

Exemple :

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

Ouvrez une invite de commande ou une fenêtre de terminal.

Saisissez la commande suivante pour obtenir la déclaration de politique d'un référentiel privé spécifique.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Dans la commande, remplacez l'exemple de texte suivant par le vôtre :

Exemple :

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Dans la réponse, copiez la politique existante et passez à l'étape suivante.

Vous ne devez copier que le contenu du policyText (texte de la politique) qui s'affiche entre les guillemets doubles, comme indiqué dans l'exemple suivant.

Ouvrez un éditeur de texte, et collez la politique existante depuis votre référentiel privé que vous avez copié à l'étape précédente.

Le résultat doit ressembler à l'exemple suivant :

Dans le texte que vous avez collé, remplacez \n par des sauts de ligne et supprimez le \ restant.

Le résultat doit ressembler à l'exemple suivant :

Collez la déclaration de politique suivante à la fin du fichier texte.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Dans le texte, remplacez-le IamRolePrincipalArnpar l'ARN principal du rôle IAM d'extraction d'images Amazon ECR de votre service de conteneur que vous avez obtenu plus tôt dans ce guide.

Le résultat doit ressembler à l'exemple suivant :

Enregistrez le fichier sous le nom ecr-policy.json à un emplacement accessible sur votre ordinateur (par exemple, C:\Temp\ecr-policy.json sous Windows ou /tmp/ecr-policy.json sous macOS ou Linux).

Notez l'emplacement du chemin d'accès du fichier ecr-policy.json. Vous spécifierez cela dans une commande à un stade ultérieur de cette procédure.

Ouvrez une invite de commande ou une fenêtre de terminal.

Saisissez la commande suivante pour définir la déclaration de politique du référentiel privé auquel vous souhaitez accéder avec votre service de conteneurs.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Dans la commande, remplacez l'exemple de texte suivant par le vôtre :

Exemples :

Vous devriez voir une réponse similaire à l'exemple suivant.

Si vous exécutez la commande get-repository-policy à nouveau, vous devriez voir la nouvelle déclaration de politique supplémentaire dans votre référentiel privé. Votre service de conteneur peut maintenant accéder à votre référentiel privé et à ses images. Pour utiliser une image de votre référentiel, spécifiez l'URI suivant en tant que valeur Image pour votre déploiement de service de conteneurs. Dans l'URI, remplacez l'exemple de tag (balise) par la balise de l'image que vous souhaitez déployer. Pour plus d'informations, veuillez consulter Création et gestion des déploiements pour vos services de conteneurs.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Dans l'URI, remplacez l'exemple de texte suivant par le vôtre :

Exemple :

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage