Lightsail 컨테이너 서비스에 Amazon ECR 프라이빗 리포지토리에 대한 액세스 권한 부여

Lightsail 콘솔에 로그인합니다.

Lightsail 홈 페이지에서 컨테이너(Containers) 탭을 선택합니다.

Amazon ECR 프라이빗 리포지토리에 대한 액세스를 구성하려는 컨테이너 서비스의 이름을 선택합니다.

이미지(Images) 탭을 선택합니다.

Amazon ECR 프라이빗 리포지토리에 컨테이너 서비스에 대한 액세스 권한을 부여하려면 리포지토리 추가를 선택합니다.

표시되는 드롭다운에서 액세스하려는 프라이빗 리포지토리를 선택한 다음 추가(Add)를 선택합니다.

Lightsail은 컨테이너 서비스에 대해 Amazon ECR 이미지 풀러 IAM 역할을 활성화하는 데 몇 분 정도 걸립니다. 여기에는 주요 Amazon 리소스 이름 (ARN) 이 포함됩니다. 그러면 Lightsail은 IAM 역할 주체 ARN을 사용자가 선택한 Amazon ECR 프라이빗 리포지토리의 권한 정책에 자동으로 추가합니다. 그러면 컨테이너 서비스에 프라이빗 리포지토리와 해당 이미지에 대한 액세스 권한이 부여됩니다. 프로세스가 완료되고 계속(Continue)을 선택할 수 있음을 나타내는 모달이 표시될 때까지 브라우저 창을 닫지 마세요.

활성화가 완료되면 계속(Continue)을 선택합니다.

선택한 Amazon ECR 프라이빗 리포지토리가 추가되면 페이지의 Amazon ECR 프라이빗 리포지토리 섹션에 나열됩니다. 이 페이지에는 개인 저장소의 이미지를 Lightsail 컨테이너 서비스에 배포하는 방법에 대한 지침이 포함되어 있습니다. 프라이빗 리포지토리에서 이미지를 사용하려면 컨테이너 서비스 배포를 생성할 때 이미지(Image) 값으로 페이지에 표시되는 URI 형식을 지정합니다. 지정한 URI에서 예시 {image tag}를 배포하려는 이미지의 태그로 바꿉니다. 자세한 내용은 컨테이너 서비스 배포 생성 및 관리를 참조하세요.

터미널(Terminal) 또는 명령 프롬프트(Command Prompt) 창을 엽니다.

다음 명령을 입력하여 컨테이너 서비스를 업데이트하고 Amazon ECR 이미지 풀러 IAM 역할을 활성화 또는 비활성화합니다.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예:

경우에 따라 다음 작업을 수행합니다.

다음 명령을 입력하여 컨테이너 서비스에 대한 Amazon ECR 이미지 풀러 IAM 역할의 보안 주체 ARN을 가져옵니다.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예제

aws lightsail get-container-services --service-name my-container-service --region us-east-1

응답에서 ECR 이미지 풀러 IAM 역할 보안 주체 ARN을 찾습니다. 역할이 나열되면 복사하거나 기록해 둡니다. 이 가이드의 다음 섹션에 필요합니다. 다음으로, 컨테이너 서비스로 액세스하려는 Amazon ECR 프라이빗 리포지토리에 기존 정책 문이 있는지 확인해야 합니다. 이 설명서의 Amazon ECR 프라이빗 리포지토리에 정책 문이 있는지 확인 섹션으로 계속 진행합니다.

터미널(Terminal) 또는 명령 프롬프트(Command Prompt) 창을 엽니다.

다음 명령을 입력하여 특정 프라이빗 리포지토리에 대한 정책 문을 가져옵니다.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예제

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

다음과 같은 응답 중 하나가 표시됩니다.

텍스트 편집기를 열고 다음 정책 문을 새 텍스트 파일에 붙여 넣습니다.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

본문에서는 이 안내서 앞부분에서 제공한 컨테이너 서비스의 Amazon ECR 이미지 풀러 IAM 역할 주체 IamRolePrincipalArnARN으로 대체하십시오.

파일을 컴퓨터의 액세스 가능한 위치에 ecr-policy.json으로 저장합니다(예: Windows의 경우 C:\Temp\ecr-policy.json, macOS 또는 Linux의 경우 /tmp/ecr-policy.json).

생성된 ecr-policy.json 파일의 경로 위치를 기록해 둡니다. 이 절차의 뒷부분에 나오는 명령에서 이 위치를 지정합니다.

터미널(Terminal) 또는 명령 프롬프트(Command Prompt) 창을 엽니다.

다음 명령을 입력하여 컨테이너 서비스로 액세스하려는 프라이빗 리포지토리에 대한 정책 문을 설정합니다.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예:

이제 컨테이너 서비스에서 프라이빗 리포지토리와 해당 이미지에 액세스할 수 있습니다. 리포지토리의 이미지를 사용하려면 컨테이너 서비스 배포에 대한 이미지(Image) 값으로 다음 URI를 지정합니다. URI에서 예제 태그를 배포하려는 이미지의 태그로 바꿉니다. 자세한 내용은 컨테이너 서비스 배포 생성 및 관리를 참조하세요.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

URI에서 아래 예제 텍스트를 사용자의 값으로 바꿉니다.

예제

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

터미널(Terminal) 또는 명령 프롬프트(Command Prompt) 창을 엽니다.

다음 명령을 입력하여 특정 프라이빗 리포지토리에 대한 정책 문을 가져옵니다.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예제

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

응답에서 기존 정책을 복사하고 다음 단계로 계속 진행합니다.

다음 예에서 강조 표시된 것처럼 큰따옴표로 묶인 policyText의 내용만 복사해야 합니다.

텍스트 편집기를 열고 이전 단계에서 복사한 프라이빗 리포지토리의 기존 정책을 붙여 넣습니다.

결과는 다음 예제와 같아야 합니다.

붙여 넣은 텍스트에서 \n을 줄 바꿈으로 바꾸고 나머지 \를 삭제합니다.

결과는 다음 예제와 같아야 합니다.

텍스트 파일 끝에 다음 정책 문을 붙여 넣습니다.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

본문에서는 이 안내서 앞부분에서 제공한 컨테이너 서비스의 Amazon ECR 이미지 풀러 IAM 역할 주체 IamRolePrincipalArnARN으로 대체하십시오.

결과는 다음 예제와 같아야 합니다.

파일을 컴퓨터의 액세스 가능한 위치에 ecr-policy.json으로 저장합니다(예: Windows의 경우 C:\Temp\ecr-policy.json, macOS 또는 Linux의 경우 /tmp/ecr-policy.json).

ecr-policy.json 파일의 경로 위치를 기록해 둡니다. 이 절차의 뒷부분에 나오는 명령에서 이 위치를 지정합니다.

터미널(Terminal) 또는 명령 프롬프트(Command Prompt) 창을 엽니다.

다음 명령을 입력하여 컨테이너 서비스로 액세스하려는 프라이빗 리포지토리에 대한 정책 문을 설정합니다.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예:

다음 예와 비슷한 응답이 나타나는 것을 볼 수 있습니다.

get-repository-policy 명령을 다시 실행하면 프라이빗 리포지토리에 새로운 추가 정책 문이 표시됩니다. 이제 컨테이너 서비스에서 프라이빗 리포지토리와 해당 이미지에 액세스할 수 있습니다. 리포지토리의 이미지를 사용하려면 컨테이너 서비스 배포에 대한 이미지(Image) 값으로 다음 URI를 지정합니다. URI에서 예제 태그를 배포하려는 이미지의 태그로 바꿉니다. 자세한 내용은 컨테이너 서비스 배포 생성 및 관리를 참조하세요.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

URI에서 아래 예제 텍스트를 사용자의 값으로 바꿉니다.

예제

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage