Concedi ai servizi container Lightsail l'accesso agli archivi privati di Amazon ECR

Accedi alla console Lightsail.

Nel riquadro di navigazione a sinistra, scegli Contenitori.

Scegli il nome del servizio container per il quale desideri configurare l'accesso a un repository ECR privato Amazon.

Scegli la scheda Images (Immagini).

Scegli Aggiungi repository per concedere l'accesso del tuo servizio container a un repository ECR privato Amazon.

Nel menu a discesa visualizzato, seleziona il repository privato a cui desideri accedere, quindi scegli Aggiungi.

Lightsail impiega alcuni minuti per attivare il ruolo ECR Amazon image IAM puller per il tuo servizio container, che include un Amazon Resource Name () principale. ARN Lightsail aggiunge quindi automaticamente IAM il ruolo ARN principale alla politica di autorizzazione del repository privato ECR Amazon selezionato. Ciò garantisce al servizio container l'accesso al repository privato e alle sue immagini. Non chiudere la finestra del browser fino a quando il modale visualizzato non indica che il processo è stato completato, dopodiché scegli Continue (Continua).

Scegli Continue (Continua) quando l'attivazione è completata.

Una volta aggiunto, il repository ECR privato Amazon selezionato, viene elencato nella sezione Amazon ECR private repository della pagina. La pagina include istruzioni su come distribuire un'immagine dal repository privato al servizio container Lightsail. Per utilizzare un'immagine dal tuo repository privato, specifica il URI formato visualizzato sulla pagina come valore Image quando crei la distribuzione del servizio container. Nel URI campo specificato, sostituisci l'esempio {image tag} con il tag dell'immagine che desideri distribuire. Per ulteriori informazioni, consulta la pagina Creazione e gestione delle implementazioni dei servizi di container.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il seguente comando per aggiornare un servizio container e attivare o disattivare il ruolo Amazon ECR image pullerIAM.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempi:

Se:

Immetti il seguente comando per ottenere il ruolo principale ARN del IAM ruolo Amazon ECR image puller per il tuo servizio container.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempio:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

Cerca il IAM ruolo principale di ECR Image Puller ARN nella risposta. Se è elencato un ruolo, copialo o prendine nota. Ti occorrerà per la sezione successiva di questa guida. Successivamente, devi determinare se esiste una dichiarazione politica esistente sull'archivio ECR privato di Amazon a cui desideri accedere con il tuo servizio container. Continua con la sezione Determina se il tuo repository ECR privato Amazon ha una dichiarazione di policy di questa guida.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per ottenere l'istruzione di policy per un repository privato specifico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempio:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Dovresti visualizzare una delle risposte seguenti:

Apri un editor di testo e incolla la seguente istruzione policy in un nuovo file di testo.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Nel testo, sostituiscilo IamRolePrincipalArn con il IAM ruolo principale ARN di Amazon ECR image puller del tuo servizio container che hai ricevuto in precedenza in questa guida.

Salva il file come ecr-policy.json in una posizione accessibile sul computer (ad esempio C:\Temp\ecr-policy.json su Windows o /tmp/ecr-policy.json su macOS o Linux).

Prendi nota della posizione del percorso del file ecr-policy.json creato. Dovrai specificarlo in un comando in una fase successiva di questa procedura.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per impostare l'istruzione di policy per il repository privato a cui desideri accedere con il servizio container.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempi:

Il servizio container è ora in grado di accedere al tuo repository privato e alle sue immagini. Per utilizzare un'immagine dal tuo repository, specifica URI quanto segue come valore Image per la distribuzione del servizio container. NellaURI, sostituisci l'esempio tag con il tag dell'immagine che desideri distribuire. Per ulteriori informazioni, consulta la pagina Creazione e gestione delle implementazioni dei servizi di container.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

NellaURI, sostituisci il seguente testo di esempio con il tuo:

Esempio:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per ottenere l'istruzione di policy per un repository privato specifico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempio:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Nella risposta, copia la policy esistente e vai alla fase successiva.

Copia solo il contenuto del policyText visualizzato tra le virgolette doppie, come evidenziato nell'esempio seguente.

Apri un editor di testo e incolla la policy esistente dal repository privato copiata nel passaggio precedente.

Il risultato sarà simile al seguente esempio:

Nel testo che hai incollato, sostituisci \n con interruzioni di riga ed elimina il \ rimanente.

Il risultato sarà simile al seguente esempio:

Incolla l'istruzione di policy seguente alla fine del file di testo.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

Nel testo, sostituiscilo IamRolePrincipalArn con il IAM ruolo principale ARN di Amazon ECR image puller del tuo servizio container che hai ricevuto in precedenza in questa guida.

Il risultato sarà simile al seguente esempio:

Salva il file come ecr-policy.json in una posizione accessibile sul computer (ad esempio C:\Temp\ecr-policy.json su Windows o /tmp/ecr-policy.json su macOS o Linux).

Prendi nota della posizione del percorso del file ecr-policy.json. Dovrai specificarlo in un comando in una fase successiva di questa procedura.

Apri un prompt dei comandi o una finestra del terminale.

Inserisci il comando seguente per impostare l'istruzione di policy per il repository privato a cui desideri accedere con il servizio container.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

Nel comando sostituisci il seguente testo d'esempio con il proprio testo:

Esempi:

La risposta dovrebbe essere analoga all'esempio seguente.

Se esegui di nuovo il comando get-repository-policy, dovresti vedere la nuova istruzione di policy aggiuntiva sul tuo repository privato. Il servizio container è ora in grado di accedere al tuo repository privato e alle sue immagini. Per utilizzare un'immagine dal tuo repository, specifica URI quanto segue come valore Image per la distribuzione del servizio container. NellaURI, sostituisci l'esempio tag con il tag dell'immagine che desideri distribuire. Per ulteriori informazioni, consulta la pagina Creazione e gestione delle implementazioni dei servizi di container.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

NellaURI, sostituisci il seguente testo di esempio con il tuo:

Esempio:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage