Amazon ECR 프라이빗 리포지토리에 대한 Lightsail 컨테이너 서비스 액세스 권한 부여

Lightsail 콘솔에 로그인합니다.

왼쪽 탐색 창의 이미지에서 컨테이너를 선택합니다.

Amazon ECR 프라이빗 리포지토리에 대한 액세스를 구성할 컨테이너 서비스의 이름을 선택합니다.

이미지(Images) 탭을 선택합니다.

리포지토리 추가를 선택하여 컨테이너 서비스에 대한 액세스 권한을 Amazon ECR 프라이빗 리포지토리에 부여합니다.

표시되는 드롭다운에서 액세스하려는 프라이빗 리포지토리를 선택한 다음 추가(Add)를 선택합니다.

Lightsail은 보안 주체 Amazon 리소스 이름()을 포함하는 컨테이너 서비스에 대한 Amazon ECR 이미지 풀러 IAM 역할을 활성화하는 데 몇 분 정도 걸립니다ARN. 그런 다음 Lightsail은 선택한 Amazon ECR 프라이빗 ARN 리포지토리의 권한 정책에 IAM 역할 보안 주체를 자동으로 추가합니다. 그러면 컨테이너 서비스에 프라이빗 리포지토리와 해당 이미지에 대한 액세스 권한이 부여됩니다. 프로세스가 완료되고 계속(Continue)을 선택할 수 있음을 나타내는 모달이 표시될 때까지 브라우저 창을 닫지 마세요.

활성화가 완료되면 계속(Continue)을 선택합니다.

선택한 Amazon ECR 프라이빗 리포지토리가 추가되면 페이지의 Amazon ECR 프라이빗 리포지토리 섹션에 나열됩니다. 이 페이지에는 프라이빗 리포지토리에서 Lightsail 컨테이너 서비스로 이미지를 배포하는 방법에 대한 지침이 포함되어 있습니다. 프라이빗 리포지토리의 이미지를 사용하려면 컨테이너 서비스 배포를 생성할 때 페이지에 표시되는 URI 형식을 이미지 값으로 지정합니다. URI 지정한에서 예제를 배포하려는 이미지의 태그{image tag}로 바꿉니다. 자세한 내용은 컨테이너 서비스 배포 생성 및 관리를 참조하세요.

명령 프롬프트 또는 터미널 창을 엽니다.

다음 명령을 입력하여 컨테이너 서비스를 업데이트하고 Amazon ECR 이미지 풀러 IAM 역할을 활성화 또는 비활성화합니다.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예시:

경우에 따라 다음 작업을 수행합니다.

다음 명령을 입력하여 컨테이너 서비스에 대한 Amazon ECR 이미지 풀러 IAM 역할ARN의 보안 주체를 가져옵니다.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예제:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

응답에서 ECR 이미지 풀러 IAM 역할 보안 주체ARN를 찾습니다. 역할이 나열되면 복사하거나 기록해 둡니다. 이 가이드의 다음 섹션에 필요합니다. 다음으로 컨테이너 서비스로 액세스하려는 Amazon ECR 프라이빗 리포지토리에 기존 정책 설명이 있는지 확인해야 합니다. 이 가이드의 Amazon ECR 프라이빗 리포지토리에 정책 설명이 있는지 확인 섹션으로 계속 진행합니다.

명령 프롬프트 또는 터미널 창을 엽니다.

다음 명령을 입력하여 특정 프라이빗 리포지토리에 대한 정책 문을 가져옵니다.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예제:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

다음과 같은 응답 중 하나가 표시됩니다.

텍스트 편집기를 열고 다음 정책 문을 새 텍스트 파일에 붙여 넣습니다.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

텍스트에서를이 가이드ARN의 앞부분에서 받은 컨테이너 서비스의 Amazon ECR 이미지 풀러 IAM 역할 보안 주체IamRolePrincipalArn로 바꿉니다.

파일을 컴퓨터의 액세스 가능한 위치에 ecr-policy.json으로 저장합니다(예: Windows의 경우 C:\Temp\ecr-policy.json, macOS 또는 Linux의 경우 /tmp/ecr-policy.json).

생성된 ecr-policy.json 파일의 경로 위치를 기록해 둡니다. 이 절차의 뒷부분에 나오는 명령에서 이 위치를 지정합니다.

명령 프롬프트 또는 터미널 창을 엽니다.

다음 명령을 입력하여 컨테이너 서비스로 액세스하려는 프라이빗 리포지토리에 대한 정책 문을 설정합니다.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예시:

이제 컨테이너 서비스에서 프라이빗 리포지토리와 해당 이미지에 액세스할 수 있습니다. 리포지토리의 이미지를 사용하려면 다음을 컨테이너 서비스 배포URI의 이미지 값으로 지정합니다. 에서 예제를 배포하려는 이미지의 태그tag로 URI바꿉니다. 자세한 내용은 컨테이너 서비스 배포 생성 및 관리를 참조하세요.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

에서 다음 예제 텍스트를 자체 텍스트로 URI바꿉니다.

예제:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

명령 프롬프트 또는 터미널 창을 엽니다.

다음 명령을 입력하여 특정 프라이빗 리포지토리에 대한 정책 문을 가져옵니다.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예제:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

응답에서 기존 정책을 복사하고 다음 단계로 계속 진행합니다.

다음 예에서 강조 표시된 것처럼 큰따옴표로 묶인 policyText의 내용만 복사해야 합니다.

텍스트 편집기를 열고 이전 단계에서 복사한 프라이빗 리포지토리의 기존 정책을 붙여 넣습니다.

결과는 다음 예제와 같아야 합니다.

붙여 넣은 텍스트에서 \n을 줄 바꿈으로 바꾸고 나머지 \를 삭제합니다.

결과는 다음 예제와 같아야 합니다.

텍스트 파일 끝에 다음 정책 문을 붙여 넣습니다.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

텍스트에서를이 가이드ARN의 앞부분에서 받은 컨테이너 서비스의 Amazon ECR 이미지 풀러 IAM 역할 보안 주체IamRolePrincipalArn로 바꿉니다.

결과는 다음 예제와 같아야 합니다.

파일을 컴퓨터의 액세스 가능한 위치에 ecr-policy.json으로 저장합니다(예: Windows의 경우 C:\Temp\ecr-policy.json, macOS 또는 Linux의 경우 /tmp/ecr-policy.json).

ecr-policy.json 파일의 경로 위치를 기록해 둡니다. 이 절차의 뒷부분에 나오는 명령에서 이 위치를 지정합니다.

명령 프롬프트 또는 터미널 창을 엽니다.

다음 명령을 입력하여 컨테이너 서비스로 액세스하려는 프라이빗 리포지토리에 대한 정책 문을 설정합니다.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

명령에서 아래 예 텍스트를 사용자의 값으로 대체합니다.

예시:

다음 예와 비슷한 응답이 나타나는 것을 볼 수 있습니다.

get-repository-policy 명령을 다시 실행하면 프라이빗 리포지토리에 새로운 추가 정책 문이 표시됩니다. 이제 컨테이너 서비스에서 프라이빗 리포지토리와 해당 이미지에 액세스할 수 있습니다. 리포지토리의 이미지를 사용하려면 다음을 컨테이너 서비스 배포URI의 이미지 값으로 지정합니다. 에서 예제를 배포하려는 이미지의 태그tag로 URI바꿉니다. 자세한 내용은 컨테이너 서비스 배포 생성 및 관리를 참조하세요.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

에서 다음 예제 텍스트를 자체 텍스트로 URI바꿉니다.

예제:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage