CodeBuild の Amazon ECR サンプル

このサンプルを実行するには

1. Amazon ECR で Docker イメージを作成してイメージリポジトリにプッシュするには、「'Docker イメージを Amazon ECR に公開' サンプル」の「'Docker イメージを Amazon ECR に公開' サンプルを実行」セクションにある手順を完了します。

2. Go プロジェクトの作成:

   1. このトピックの「Go プロジェクトの構造」セクションと「Go プロジェクトのファイル」セクションで説明しているファイルを作成し、これらのファイルを S3 入力バケットにアップロードするか、AWS CodeCommit、GitHub、Bitbucket のいずれかのリポジトリにアップロードします。

      重要

      (root directory name) をアップロードしないでください。アップロードするのは、(root directory name) 内のファイルのみです。

      S3 入力バケットを使用している場合は、ファイルを必ず ZIP ファイルに圧縮してから入力バケットにアップロードしてください。(root directory name) を ZIP ファイルに追加しないでください。追加するのは、(root directory name) 内のファイルのみです。

   2. ビルドプロジェクトを作成して、ビルドを実行し、関連するビルド情報を表示します。

      AWS CLI を使用してビルドプロジェクトを作成する場合、create-project コマンドへの JSON 形式の入力は次のようになります。(プレースホルダは独自の値に置き換えてください。)

      {
        "name": "sample-go-project",
        "source": {
          "type": "S3",
          "location": "codebuild-region-ID-account-ID-input-bucket/GoSample.zip"
        },
        "artifacts": {
          "type": "S3",
          "location": "codebuild-region-ID-account-ID-output-bucket",
          "packaging": "ZIP",
          "name": "GoOutputArtifact.zip"
        },
        "environment": {
          "type": "LINUX_CONTAINER",
          "image": "aws/codebuild/standard:5.0",
          "computeType": "BUILD_GENERAL1_SMALL"
        },
        "serviceRole": "arn:aws:iam::account-ID:role/role-name",
        "encryptionKey": "arn:aws:kms:region-ID:account-ID:key/key-ID"
      }

   3. ビルド出力アーティファクトを取得するには、S3 出力バケットを開きます。

   4. GoOutputArtifact.zip ファイルをローカルコンピュータまたはインスタンスへダウンロードし、ファイルの内容を抽出します。展開したコンテンツから、hello ファイルを取得します。

3. 以下のいずれかに該当する場合は、AWS CodeBuild が Docker イメージをビルド環境にプルできるように、Amazon ECR のイメージリポジトリにアクセス許可を割り当てる必要があります。

   • プロジェクトで CodeBuild の認証情報を使用して Amazon ECR のイメージをプルしている場合。これは、CODEBUILD の imagePullCredentialsType 属性で ProjectEnvironment の値で示されます。

   • プロジェクトでクロスアカウントの Amazon ECR イメージを使用している場合。この場合は、プロジェクトでサービスロールを使用して Amazon ECR イメージをプルする必要があります。この動作を有効にするには、imagePullCredentialsType の ProjectEnvironment 属性を SERVICE_ROLE に設定します。

   1. Amazon ECR コンソール (https://console.aws.amazon.com/ecr/) を開きます。

   2. リポジトリ名のリストで、作成または選択したリポジトリの名前を選択します。

   3. ナビゲーションペインで、[アクセス許可]、[編集]、[ステートメントを追加] の順に選択します。

   4. [ステートメント名] で、識別子 (CodeBuildAccess など) を入力します。

   5. [効果] で、[許可] を選択したままにしておきます。これにより、別の AWS アカウントへのアクセスを許可します。

   6. [プリンシパル] で、次のいずれかを実行します。

      • プロジェクトで CodeBuild の認証情報を使用して Amazon ECR のイメージをプルする場合は、[サービスプリンシパル] に「codebuild.amazonaws.com」と入力します。

      • プロジェクトでクロスアカウントの Amazon ECR イメージを使用する場合は、[AWS アカウント ID] に、アクセス権を付与する AWS アカウントの ID を入力します。

   7. [すべての IAM エンティティ] リストをスキップします。

   8. [アクション] で、プル専用アクションとして [ecr:GetDownloadUrlForLayer]、[ecr:BatchGetImage]、および [ecr:BatchCheckLayerAvailability] を選択します。

   9. [条件] で、以下を追加します。

      {
         "StringEquals":{
            "aws:SourceAccount":"<AWS-account-ID>",
            "aws:SourceArn":"arn:aws:codebuild:<region>:<AWS-account-ID>:project/<project-name>"
         }
      }
      

   10. [Save] を選択します。

       このポリシーは [アクセス許可] に表示されます。プリンシパルは、この手順のステップ 3 で [プリンシパル] に入力した値です。

       • プロジェクトで CodeBuild の認証情報を使用して Amazon ECR のイメージをプルする場合は、[Service principals] (サービスプリンシパル) に「"codebuild.amazonaws.com"」と入力します。

       • プロジェクトでクロスアカウントの Amazon ECR イメージを使用する場合は、[AWS アカウント ID] に、アクセス権を付与する AWS アカウントの ID を入力します。

         次のサンプルポリシーでは、CodeBuild 認証情報とクロスアカウント Amazon ECR イメージの両方を使用します。

       {
          "Version":"2012-10-17",
          "Statement":[
             {
                "Sid":"CodeBuildAccessPrincipal",
                "Effect":"Allow",
                "Principal":{
                   "Service":"codebuild.amazonaws.com"
                },
                "Action":[
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:BatchGetImage",
                   "ecr:BatchCheckLayerAvailability"
                ],
                "Condition":{
                   "StringEquals":{
                      "aws:SourceArn":"arn:aws:codebuild:<region>:<aws-account-id>:project/<project-name>",
                      "aws:SourceAccount":"<aws-account-id>"
                   }
                }
             },
             {
                "Sid":"CodeBuildAccessCrossAccount",
                "Effect":"Allow",
                "Principal":{
                   "AWS":"arn:aws:iam::<AWS-account-ID>:root"
                },
                "Action":[
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:BatchGetImage",
                   "ecr:BatchCheckLayerAvailability"
                ]
             }
          ]
       }

       • プロジェクトで CodeBuild 認証情報を使用し、CodeBuild プロジェクトに Amazon ECR リポジトリへのオープンアクセスを許可する場合は、Condition キーを省略し、次のサンプルポリシーを追加できます。

       {
         "Version":"2012-10-17",
         "Statement":[
           {
             "Sid":"CodeBuildAccessPrincipal",
             "Effect":"Allow",
             "Principal":{
               "Service":"codebuild.amazonaws.com"
             },
             "Action":[
               "ecr:GetDownloadUrlForLayer",
               "ecr:BatchGetImage",
               "ecr:BatchCheckLayerAvailability"
             ]
           },
           {
             "Sid":"CodeBuildAccessCrossAccount",
             "Effect":"Allow",
             "Principal":{
               "AWS":"arn:aws:iam::<AWS-account-ID>:root"
             },
             "Action":[
               "ecr:GetDownloadUrlForLayer",
               "ecr:BatchGetImage",
               "ecr:BatchCheckLayerAvailability"
             ]
           }
         ]
       }

4. ビルドプロジェクトを作成して、ビルドを実行し、ビルド情報を表示します。

   AWS CLI を使用してビルドプロジェクトを作成する場合、create-project コマンドへの JSON 形式の入力は次のようになります。(プレースホルダは独自の値に置き換えてください。)

   {
     "name": "amazon-ecr-sample-project",
     "source": {
       "type": "S3",
       "location": "codebuild-region-ID-account-ID-input-bucket/GoSample.zip"
     },
     "artifacts": {
       "type": "S3",
       "location": "codebuild-region-ID-account-ID-output-bucket",
       "packaging": "ZIP",
       "name": "GoOutputArtifact.zip"
     },
     "environment": {
       "type": "LINUX_CONTAINER",
       "image": "account-ID.dkr.ecr.region-ID.amazonaws.com/your-Amazon-ECR-repo-name:tag",
       "computeType": "BUILD_GENERAL1_SMALL"
     },
     "serviceRole": "arn:aws:iam::account-ID:role/role-name",
     "encryptionKey": "arn:aws:kms:region-ID:account-ID:key/key-ID"
   }

5. ビルド出力アーティファクトを取得するには、S3 出力バケットを開きます。

6. GoOutputArtifact.zip ファイルをローカルコンピュータまたはインスタンスへダウンロードし、GoOutputArtifact.zip ファイルの内容を抽出します。展開したコンテンツから、hello ファイルを取得します。