Replica le immagini filtrate dei container Amazon ECR tra account o regioni

Crea un ruolo CloudWatch Events.

Nell'account AWS di origine, crea un ruolo IAM da far assumere ad Amazon CloudWatch Events. Il ruolo deve disporre delle autorizzazioni necessarie per avviare un CodeBuild progetto AWS.

Per creare il ruolo utilizzando la CLI di AWS, segui le istruzioni nella documentazione IAM.

Esempio di trust policy (trustpolicy.json): 

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"Service": "events.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }
}

Esempio di politica di autorizzazione (permissionpolicy.json):

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "codebuild:StartBuild",
    "Resource": "<CodeBuild Project ARN>"
  }
}

Crea un CodeBuild ruolo.

Crea un ruolo IAM da CodeBuild far assumere ad AWS seguendo le istruzioni nella documentazione IAM. Il ruolo deve avere le seguenti autorizzazioni:

Esempio di politica di fiducia (trustpolicy.json):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "codebuild.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Esempio di politica di autorizzazione (permissionpolicy.json):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "codebuild:StartBuild",
                "codebuild:StopBuild",
                "codebuild:Get*",
                "codebuild:List*",
                "codebuild:BatchGet*"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "sts:AssumeRole",
            "Resource": "<ARN of destination role>",
            "Effect": "Allow",
            "Sid": "AssumeCrossAccountArn"
        }
    ]
}

Allega la policy gestita AmazonEC2ContainerRegistryReadOnly al comando CLI come segue:

~$ aws iam attach-role-policy \
--policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
--role-name <name of CodeBuild Role>

Crea un ruolo tra account.

Nell'account AWS di destinazione, crea un ruolo IAM per il CodeBuild ruolo AWS per l'account di origine da assumere. Il ruolo tra account diversi dovrebbe consentire alle immagini dei container di creare un nuovo repository e di caricare le immagini dei container su Amazon ECR.

Per creare il ruolo IAM utilizzando la CLI AWS, segui le istruzioni nella documentazione IAM. 

Per consentire il CodeBuild progetto AWS della fase precedente, utilizza la seguente policy di fiducia:

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {
        "AWS": "<ARN of source codebuild role>"
     },
    "Action": "sts:AssumeRole"
  }
}

Per consentire al CodeBuild progetto AWS del passaggio precedente di salvare le immagini nel registro di destinazione, utilizza la seguente politica di autorizzazione:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:GetAuthorizationToken",
                "ecr:CreateRepository"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Crea un CodeBuild progetto.

Crea un CodeBuild progetto AWS nell'account di origine seguendo le istruzioni nella CodeBuild documentazione AWS. Il progetto dovrebbe trovarsi nella stessa regione del registro di origine. 

Configura il progetto come segue:

Crea una regola per gli eventi.

Poiché il pattern utilizza la funzionalità di filtraggio dei contenuti, devi creare l'evento utilizzando Amazon EventBridge. Crea l'evento e il target seguendo le istruzioni nella EventBridge documentazione, con alcune modifiche:

Effettua l'autenticazione con Amazon ECR.

Effettua l'autenticazione nei registri di origine e di destinazione seguendo i passaggi indicati nella documentazione di Amazon ECR.

Prova la replica delle immagini.

Nel tuo account di origine, invia un'immagine del contenitore a un repository di origine Amazon ECR nuovo o esistente con un tag immagine preceduto da. release- Per inviare l'immagine, segui i passaggi indicati nella documentazione di Amazon ECR. 

Puoi monitorare lo stato di avanzamento del CodeBuild progetto nella CodeBuild console. 

Una volta completato con successo il CodeBuild progetto, accedi all'account AWS di destinazione, apri la console Amazon ECR e conferma che l'immagine esiste nel registro Amazon ECR di destinazione.

Prova l'esclusione delle immagini.

Nel tuo account di origine, invia un'immagine del contenitore a un repository di origine Amazon ECR nuovo o esistente con un tag di immagine che non ha il prefisso personalizzato. 

Verifica che il CodeBuild progetto non sia avviato e che nessuna immagine del contenitore sia presente nel registro di destinazione.