フィルタリングされた Amazon ECR コンテナイメージをアカウントまたはリージョン間で複製する

CloudWatch イベントロールを作成します。

ソース AWS アカウントで、Amazon CloudWatch Events が引き受ける IAM ロールを作成します。ロールには、AWS CodeBuild プロジェクトを開始するためのアクセス許可が必要です。

AWS CLI を使用してロールを作成するには、IAM ドキュメントの指示に従います。

信頼ポリシー(trustpolicy.json) の例: 

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"Service": "events.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }
}

権限ポリシー (permissionpolicy.json)の例:

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "codebuild:StartBuild",
    "Resource": "<CodeBuild Project ARN>"
  }
}

CodeBuild ロールを作成します。

「IAM ドキュメント」の手順に従って、AWS が引き受け CodeBuild る IAM ロールを作成します。 https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html#roles-creatingrole-service-cliロールには、次の権限が必要です。

信頼ポリシー(trustpolicy.json) の例:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "codebuild.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

権限ポリシー (permissionpolicy.json)の例:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "codebuild:StartBuild",
                "codebuild:StopBuild",
                "codebuild:Get*",
                "codebuild:List*",
                "codebuild:BatchGet*"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "sts:AssumeRole",
            "Resource": "<ARN of destination role>",
            "Effect": "Allow",
            "Sid": "AssumeCrossAccountArn"
        }
    ]
}

以下のように CLI コマンドに管理ポリシー AmazonEC2ContainerRegistryReadOnly を添付します。

~$ aws iam attach-role-policy \
--policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
--role-name <name of CodeBuild Role>

クロスアカウントロールを作成します。

送信先 AWS アカウントで、ソースアカウントが引き受ける AWS ロールの IAM CodeBuild ロールを作成します。クロスアカウントロールでは、コンテナイメージが新しいリポジトリを作成し、コンテナイメージを Amazon ECR にアップロードできるようにする必要があります。

AWS CLI を使用して IAM ロールを作成する場合は、IAM ドキュメントの指示に従います。 

前のステップの AWS CodeBuild プロジェクトを許可するには、次の信頼ポリシーを使用します。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {
        "AWS": "<ARN of source codebuild role>"
     },
    "Action": "sts:AssumeRole"
  }
}

前のステップの AWS CodeBuild プロジェクトが宛先レジストリにイメージを保存できるようにするには、次のアクセス許可ポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:GetAuthorizationToken",
                "ecr:CreateRepository"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

CodeBuild プロジェクトを作成します。

AWS CodeBuild ドキュメント の指示に従って、ソースアカウントに AWS CodeBuild プロジェクトを作成します。プロジェクトはソースレジストリと同じリージョンにある必要があります。 

以下のようにプロジェクトを設定します。

イベントルールを作成します。

このパターンではコンテンツフィルタリング機能を使用するため、Amazon を使用してイベントを作成する必要があります EventBridge。 EventBridge ドキュメント「」の手順に従って、いくつかの変更を加えてイベントとターゲットを作成します。

Amazon ECR で認証します。

Amazon ECR ドキュメントの手順に従って、ソースと送信先の両方のレジストリに対して認証します。

イメージのレプリケーションをテストします。

ソースアカウントで、release- のプレフィックスが付いたイメージタグを使用して、コンテナイメージを新規または既存の Amazon ECR ソースリポジトリにプッシュします。イメージをプッシュするには、Amazon ECR ドキュメントの手順に従います。 

CodeBuild コンソール で CodeBuild プロジェクトの進行状況をモニタリングできます。 

CodeBuild プロジェクトが正常に完了したら、移行先の AWS アカウントにサインインし、Amazon ECR コンソールを開き、移行先の Amazon ECR レジストリにイメージが存在することを確認します。

イメージの除外をテストします。

ソースアカウントで、カスタムプレフィックスのないイメージタグを使用して、コンテナイメージを新規または既存の Amazon ECR ソースリポジトリにプッシュします。 

CodeBuild プロジェクトが開始されていないこと、およびコンテナイメージが宛先レジストリに表示されていないことを確認します。