翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon ECRインターフェイスVPCエンドポイント (AWS PrivateLink）

インターフェイスVPCエンドポイントを使用するECRように Amazon を設定VPCすることで、 のセキュリティ体制を改善できます。VPC エンドポイントは AWS PrivateLink、プライベート IP アドレスECRAPIsを介して Amazon にプライベートにアクセスできるテクノロジーである を利用しています。 AWS PrivateLink は、 VPC と Amazon 間のすべてのネットワークトラフィックを Amazon ネットワークECRに制限します。インターネットゲートウェイ、NATデバイス、仮想プライベートゲートウェイは必要ありません。

AWS PrivateLink とエンドポイントの詳細についてはVPC、「Amazon VPC ユーザーガイドVPC」の「エンドポイント」を参照してください。

Amazon ECRVPCエンドポイントに関する考慮事項

Amazon のVPCエンドポイントを設定する前にECR、次の考慮事項に注意してください。

Windows イメージに関する考慮事項

Windows オペレーティングシステムに基づくイメージには、ライセンスによって配布が制限されているアーティファクトが含まれます。デフォルトでは、Windows イメージを Amazon ECRリポジトリにプッシュすると、これらのアーティファクトを含むレイヤーは外部レイヤー と見なされるためプッシュされません。アーティファクトが Microsoft によって提供されている場合、外部レイヤーは Microsoft Azure インフラストラクチャから取得されます。このため、コンテナが Azure からこれらの外部レイヤーをプルできるようにするには、VPCエンドポイントを作成する以外にも追加のステップが必要です。

Docker デーモンの --allow-nondistributable-artifactsフラグECRを使用して Windows イメージを Amazon にプッシュするときに、この動作を上書きできます。有効にすると、このフラグはライセンスレイヤーを Amazon にプッシュします。ECRこれにより、Azure への追加のアクセスを必要とせずにVPC、エンドポイントECR経由でこれらのイメージを Amazon からプルできます。

Docker インストールでこのフラグを使用できるようにするには、Docker デーモン設定ファイルを変更する必要があります。通常は Docker インストールに応じて、[Docker エンジン] セクションの設定または環境設定メニューで設定するか、直接 C:\ProgramData\docker\config\daemon.json ファイルを編集できます。

以下に示しているのは、必要な設定の例です。値を、イメージをプッシュURIするリポジトリに置き換えます。

{
    "allow-nondistributable-artifacts": [
        "111122223333.dkr.ecr.us-west-2.amazonaws.com"
    ]
}

Docker デーモン設定ファイルを変更したら、イメージをプッシュする前に Docker デーモンを再起動する必要があります。ベースレイヤーがリポジトリにプッシュされたことを確認して、プッシュが成功したことを確認します。

Amazon のVPCエンドポイントを作成する ECR

Amazon ECRサービスのVPCエンドポイントを作成するには、「Amazon ユーザーガイド」の「インターフェイスエンドポイントの作成VPC」の手順を使用します。

Amazon EC2インスタンスでホストされる Amazon ECSタスクには、Amazon ECRエンドポイントと Amazon S3 ゲートウェイエンドポイントの両方が必要です。

プラットフォームバージョン 1.4.0 以降を使用して Fargate でホストされる Amazon ECSタスクには、Amazon ECRVPCエンドポイントと Amazon S3 ゲートウェイエンドポイントの両方が必要です。

プラットフォームバージョン 1.3.0以前を使用する Fargate でホストされる Amazon ECSタスクは、com.amazonaws のみを必要とします。region.ecr.dkr Amazon ECRVPCエンドポイントと Amazon S3 ゲートウェイエンドポイント。

Amazon S3ゲートウェイエンドポイントを作成する

Amazon ECSタスクが Amazon からプライベートイメージをプルするにはECR、Amazon S3 のゲートウェイエンドポイントを作成する必要があります。Amazon は Amazon S3 ECRを使用してイメージレイヤーを保存するため、ゲートウェイエンドポイントが必要です。コンテナが Amazon からイメージをダウンロードする場合ECR、Amazon にアクセスしてイメージマニフェストECRを取得し、Amazon S3 にアクセスして実際のイメージレイヤーをダウンロードする必要があります。以下は、各 Docker イメージのレイヤーを含む Amazon S3 バケットの Amazon リソースネーム (ARN) です。

arn:aws:s3:::prod-region-starport-layer-bucket/*

「Amazon VPCユーザーガイド」の「ゲートウェイエンドポイントの作成」の手順を使用して、Amazon 用の次の Amazon S3 ゲートウェイエンドポイントを作成しますECR。エンドポイントを作成するときは、必ず のルートテーブルを選択してくださいVPC。

Amazon の最小 Amazon S3 バケットアクセス許可 ECR

Amazon S3 ゲートウェイエンドポイントは、 IAMポリシードキュメントを使用してサービスへのアクセスを制限します。Amazon の最小 Amazon S3 バケットアクセス許可のみを許可するにはECR、エンドポイントのIAMポリシードキュメントを作成するときに Amazon がECR使用する Amazon S3 バケットへのアクセスを制限します。

次の表は、Amazon が必要とする Amazon S3 バケットポリシーのアクセス許可を示していますECR。

例

次の例は、Amazon オペレーションに必要な Amazon S3 バケットへのアクセスを提供する方法を示しています。 ECR

{
  "Statement": [
    {
      "Sid": "Access-to-specific-bucket-only",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:s3:::prod-region-starport-layer-bucket/*"]
    }
  ]
}

Logs CloudWatch エンドポイントを作成する

awslogs ログドライバーを使用してログ情報を Logs に送信するインターネットゲートウェイVPCのない を使用する Fargate 起動タイプを使用する Amazon CloudWatch ECSタスクでは、com.amazonaws を作成する必要があります。regionLogs の .logs CloudWatch インターフェイスVPCエンドポイント。詳細については、「Amazon CloudWatch Logs ユーザーガイド」の「インターフェイスVPCエンドポイントでのログの使用」を参照してください。 CloudWatch

Amazon エンドポイントのECRVPCエンドポイントポリシーを作成する

VPC エンドポイントポリシーは、エンドポイントを作成または変更するときにエンドポイントにアタッチするIAMリソースポリシーです。エンドポイントの作成時にポリシーをアタッチしない場合、 はサービスへのフルアクセスを許可するデフォルトのポリシーをア AWS タッチします。エンドポイントポリシーは、 ユーザーポリシーやサービス固有のポリシーを上書き、または置き換えません。これは、評価項目から指定されたサービスへのアクセスを制御するための別のポリシーです。エンドポイントポリシーは JSON形式で記述する必要があります。詳細については、「Amazon VPCユーザーガイド」のVPC「エンドポイントを使用したサービスへのアクセスの制御」を参照してください。

単一のIAMリソースポリシーを作成し、両方の Amazon ECRVPCエンドポイントにアタッチすることをお勧めします。

Amazon のエンドポイントポリシーの例を次に示しますECR。このポリシーにより、特定のIAMロールが Amazon からイメージをプルできるようになりますECR。

{
	"Statement": [{
		"Sid": "AllowPull",
		"Principal": {
			"AWS": "arn:aws:iam::1234567890:role/role_name"
		},
		"Action": [
			"ecr:BatchGetImage",
			"ecr:GetDownloadUrlForLayer",
                    "ecr:GetAuthorizationToken"
		],
		"Effect": "Allow",
		"Resource": "*"
	}]
}

次のエンドポイントポリシーの例では、指定されたリポジトリが削除されないようにしています。

{
	"Statement": [{
			"Sid": "AllowAll",
			"Principal": "*",
			"Action": "*",
			"Effect": "Allow",
			"Resource": "*"
		},
		{
			"Sid": "PreventDelete",
			"Principal": "*",
			"Action": "ecr:DeleteRepository",
			"Effect": "Deny",
			"Resource": "arn:aws:ecr:region:1234567890:repository/repository_name"
		}
	]
}

次のエンドポイントポリシーの例では、前述の 2 つの例を 1 つのポリシーにまとめています。

{
	"Statement": [{
			"Sid": "AllowAll",
			"Effect": "Allow",
			"Principal": "*",
			"Action": "*",
			"Resource": "*"
		},
		{
			"Sid": "PreventDelete",
			"Effect": "Deny",
			"Principal": "*",
			"Action": "ecr:DeleteRepository",
			"Resource": "arn:aws:ecr:region:1234567890:repository/repository_name"
		},
		{
			"Sid": "AllowPull",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::1234567890:role/role_name"
			},
			"Action": [
				"ecr:BatchGetImage",
				"ecr:GetDownloadUrlForLayer",
                          "ecr:GetAuthorizationToken"
			],
			"Resource": "*"
		}
	]
}

共有サブネット

共有されているサブネットでVPCエンドポイントを作成、説明、変更、または削除することはできません。ただし、共有されているサブネットでVPCエンドポイントを使用できます。