Lightsail コンテナサービスに Amazon ECRプライベートリポジトリへのアクセスを許可する

Lightsail コンソールにサインインします。

左側のナビゲーションペインで [コンテナ] を選択します。

Amazon ECRプライベートリポジトリへのアクセスを設定するコンテナサービスの名前を選択します。

[Images] (イメージ) タブを選択します。

リポジトリの追加 を選択して、コンテナサービスへのアクセスを Amazon ECRプライベートリポジトリに付与します。

表示されるドロップダウンから、アクセスするプライベートリポジトリを選択し、[Add] (追加) を選択します。

Lightsail は、プリンシパル Amazon リソースネーム () を含むコンテナサービスの Amazon ECRイメージプーラーIAMロールをアクティブ化するのに少し時間がかかりますARN。Lightsail は、選択した Amazon ECRプライベートリポジトリのアクセス許可ポリシーARNにIAMロールプリンシパルを自動的に追加します。これにより、コンテナサービスはプライベートリポジトリとそのイメージにアクセスできるようになります。プロセスが完了し、[Continue] (続行) を選択できることを示すモーダルが表示されるまで、ブラウザウィンドウは閉じないでください。

アクティベーションが完了したら、[Continue] (続行) を選択します。

選択した Amazon ECRプライベートリポジトリが追加されると、ページの Amazon ECRプライベートリポジトリセクションに一覧表示されます。このページには、プライベートリポジトリから Lightsail コンテナサービスにイメージをデプロイする方法の手順が含まれています。プライベートリポジトリのイメージを使用するには、コンテナサービスのデプロイを作成するときに、ページに表示されるURI形式をイメージ値として指定します。URI 指定した {image tag}で、例をデプロイするイメージの タグに置き換えます。詳細については、「コンテナサービスのデプロイの作成と管理」を参照してください。

ターミナルまたはコマンドプロントウィンドウを開きます。

次のコマンドを入力して、コンテナサービスを更新し、Amazon ECRイメージプーラーIAMロールを有効または無効にします。

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

オプション:

次のコマンドを入力して、コンテナサービスの Amazon ECRイメージプーラーIAMロールARNのプリンシパルを取得します。

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

レスポンスARNでECRイメージプーラーIAMロールプリンシパルを探します。ロールがリストにある場合は、コピーして書き留めます。本ガイドの次のセクションで必要になります。次に、コンテナサービスでアクセスする Amazon ECRプライベートリポジトリに既存のポリシーステートメントがあるかどうかを判断する必要があります。このガイドの「Amazon ECRプライベートリポジトリにポリシーステートメントがあるかどうかを判断する」セクションに進みます。

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、特定のプライベートリポジトリのポリシーステートメントを取得します。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

以下のレスポンスのいずれかが表示されます。

テキストエディタを開き、次のポリシーステートメントを新しいテキストファイルに貼り付けます。

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

テキストで、 を、このガイドの前半で取得したコンテナサービスの Amazon ECRイメージプーラーIAMロールプリンシパルIamRolePrincipalArnに置き換えARNます。

ファイルを ecr-policy.json という名前で、コンピュータ上のアクセス可能な場所 (例: Windows では C:\Temp\ecr-policy.json、macOS や Linux では /tmp/ecr-policy.json) に保存します。

作成された ecr-policy.json ファイルのファイルパスの場所を書き留めます。この手順の後半に出てくるコマンドで、これを指定します。

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、コンテナサービスを使ってアクセスしたいプライベートリポジトリのポリシーステートメントを設定します。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

これで、コンテナサービスはプライベートリポジトリとそのイメージにアクセスできるようになります。リポジトリのイメージを使用するには、コンテナサービスのデプロイのイメージ値URIとして以下を指定します。でURI、例をデプロイするイメージの tag タグに置き換えます。詳細については、「コンテナサービスのデプロイの作成と管理」を参照してください。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

でURI、次のサンプルテキストを独自のテキストに置き換えます。

例:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、特定のプライベートリポジトリのポリシーステートメントを取得します。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

レスポンスに、既存のポリシーをコピーし、次のステップに進みます。

次の例でハイライトされている部分のように、二重引用符で囲まれた policyText の内容のみをコピーする必要があります。

テキストエディタを開き、前の手順でコピーしたプライベートリポジトリの既存のポリシーを貼り付けます。

結果は次の例のようになります。

貼り付けたテキスト内の \n を改行に置き換え、残りの \ は削除します。

結果は次の例のようになります。

テキストファイルの末尾に、次のポリシーステートメントを貼り付けます。

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

テキストで、 を、このガイドの前半で取得したコンテナサービスの Amazon ECRイメージプーラーIAMロールプリンシパルIamRolePrincipalArnに置き換えARNます。

結果は次の例のようになります。

ファイルを ecr-policy.json という名前で、コンピュータ上のアクセス可能な場所 (例: Windows では C:\Temp\ecr-policy.json、macOS や Linux では /tmp/ecr-policy.json) に保存します。

ecr-policy.json ファイルのファイルパスの場所を書き留めます。この手順の後半に出てくるコマンドで、これを指定します。

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、コンテナサービスを使ってアクセスしたいプライベートリポジトリのポリシーステートメントを設定します。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

次の例に示すようなレスポンスが表示されます。

get-repository-policy コマンドをもう一度実行すると、プライベートリポジトリに新しく追加されたポリシーステートメントが表示されます。これで、コンテナサービスはプライベートリポジトリとそのイメージにアクセスできるようになります。リポジトリのイメージを使用するには、コンテナサービスのデプロイのイメージ値URIとして以下を指定します。でURI、例をデプロイするイメージの tag タグに置き換えます。詳細については、「コンテナサービスのデプロイの作成と管理」を参照してください。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

でURI、次のサンプルテキストを独自のテキストに置き換えます。

例:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage