Concedi ai servizi container Lightsail l'accesso agli archivi privati di Amazon ECR

Accedi alla console Lightsail.

Nella home page di Lightsail, scegli la scheda Containers (Container).

Scegli il nome del servizio di container per il quale desideri configurare l'accesso a un repository privato di Amazon ECR.

Scegli la scheda Images (Immagini).

Scegli Aggiungi repository per concedere al servizio di container l'accesso a un repository privato di Amazon ECR.

Nel menu a discesa visualizzato, seleziona il repository privato a cui desideri accedere, quindi scegli Aggiungi.

Lightsail impiega alcuni minuti per attivare il ruolo IAM di Amazon ECR image puller per il tuo servizio container, che include un Amazon Resource Name (ARN) principale. Lightsail aggiunge quindi automaticamente l'ARN principale del ruolo IAM alla politica di autorizzazione del repository privato Amazon ECR che hai selezionato. Ciò garantisce al servizio container l'accesso al repository privato e alle sue immagini. Non chiudere la finestra del browser fino a quando il modale visualizzato non indica che il processo è stato completato, dopodiché scegli Continue (Continua).

Scegli Continue (Continua) quando l'attivazione è completata.

Dopo aver aggiunto il repository privato Amazon ECR selezionato, sarà riportato nella sezione Repository privati di Amazon ECR della pagina. La pagina include istruzioni su come distribuire un'immagine dal repository privato al servizio container Lightsail. Per utilizzare un'immagine dal repository privato, specifica il formato URI visualizzato sulla pagina come il valore dell'immagine nell'implementazione del servizio container. Nell'URI specificato, sostituisci {image tag} di esempio con il tag dell'immagine che desideri implementare. Per ulteriori informazioni, consulta la pagina Creazione e gestione delle implementazioni dei servizi di container.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per aggiornare un servizio di container e attivare o disattivare il ruolo IAM di estrazione delle immagini di Amazon ECR.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempi:

Se:

Inserisci il comando seguente per ottenere l'ARN del principale del ruolo IAM di estrazione delle immagini di Amazon ECR per il servizio di container.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempio:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

Cerca l'ARN del principale del ruolo IAM di estrazione delle immagini ECR nella risposta. Se è elencato un ruolo, copialo o prendine nota. Ti occorrerà per la sezione successiva di questa guida. Successivamente, sarà necessario determinare se il repository privato di Amazon ECR a cui vuoi accedere con il servizio di container dispone di un'istruzione di policy esistente. Vai alla sezione Determinare se il repository privato di Amazon ECR dispone di un'istruzione di policy di questa guida.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per ottenere l'istruzione di policy per un repository privato specifico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempio:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Dovresti visualizzare una delle risposte seguenti:

Apri un editor di testo e incolla la seguente istruzione policy in un nuovo file di testo.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Nel testo, sostituiscilo IamRolePrincipalArncon Amazon ECR image puller IAM role principal ARN del tuo servizio container che hai ricevuto in precedenza in questa guida.

Salva il file come ecr-policy.json in una posizione accessibile sul computer (ad esempio C:\Temp\ecr-policy.json su Windows o /tmp/ecr-policy.json su macOS o Linux).

Prendi nota della posizione del percorso del file ecr-policy.json creato. Dovrai specificarlo in un comando in una fase successiva di questa procedura.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per impostare l'istruzione di policy per il repository privato a cui desideri accedere con il servizio container.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempi:

Il servizio container è ora in grado di accedere al tuo repository privato e alle sue immagini. Per utilizzare un'immagine dal repository, specifica il seguente URI come valore di Image (Immagine) per l'implementazione del servizio container. Nell'URI, sostituisci il tag di esempio con il tag dell'immagine che desideri implementare. Per ulteriori informazioni, consulta la pagina Creazione e gestione delle implementazioni dei servizi di container.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Nell'URI, sostituisci il seguente testo di esempio con il tuo:

Esempio:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per ottenere l'istruzione di policy per un repository privato specifico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempio:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Nella risposta, copia la policy esistente e vai alla fase successiva.

Copia solo il contenuto del policyText visualizzato tra le virgolette doppie, come evidenziato nell'esempio seguente.

Apri un editor di testo e incolla la policy esistente dal repository privato copiata nel passaggio precedente.

Il risultato sarà simile al seguente esempio:

Nel testo che hai incollato, sostituisci \n con interruzioni di riga ed elimina il \ rimanente.

Il risultato sarà simile al seguente esempio:

Incolla l'istruzione di policy seguente alla fine del file di testo.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Nel testo, sostituiscilo IamRolePrincipalArncon Amazon ECR image puller IAM role principal ARN del tuo servizio container che hai ricevuto in precedenza in questa guida.

Il risultato sarà simile al seguente esempio:

Salva il file come ecr-policy.json in una posizione accessibile sul computer (ad esempio C:\Temp\ecr-policy.json su Windows o /tmp/ecr-policy.json su macOS o Linux).

Prendi nota della posizione del percorso del file ecr-policy.json. Dovrai specificarlo in un comando in una fase successiva di questa procedura.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per impostare l'istruzione di policy per il repository privato a cui desideri accedere con il servizio container.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempi:

La risposta dovrebbe essere analoga all'esempio seguente.

Se esegui di nuovo il comando get-repository-policy, dovresti vedere la nuova istruzione di policy aggiuntiva sul tuo repository privato. Il servizio container è ora in grado di accedere al tuo repository privato e alle sue immagini. Per utilizzare un'immagine dal repository, specifica il seguente URI come valore di Image (Immagine) per l'implementazione del servizio container. Nell'URI, sostituisci il tag di esempio con il tag dell'immagine che desideri implementare. Per ulteriori informazioni, consulta la pagina Creazione e gestione delle implementazioni dei servizi di container.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

Nell'URI, sostituisci il seguente testo di esempio con il tuo:

Esempio:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage