Conceder acesso para serviços de contêiner do Lightsail aos repositórios privados do Amazon ECR

Faça login no console do Lightsail.

No painel de navegação esquerdo, escolha Contêineres.

Escolha o nome do serviço de contêiner para o qual você deseja configurar o acesso a um repositório privado do Amazon ECR.

Selecione a guia Images (Imagens).

Escolha Adicionar repositório para conceder ao serviço de contêiner acesso a um repositório privado do Amazon ECR.

Na lista suspensa exibida, selecione o repositório privado que gostaria de acessar e escolha Add (Adicionar).

O Lightsail leva alguns minutos para ativar o perfil do IAM do extrator de imagem do Amazon ECR para seu serviço de contêiner, que inclui um nome do recurso da Amazon (ARN) da entidade principal. O Lightsail então adiciona automaticamente o ARN da entidade principal do perfil do IAM à política de permissões do repositório privado do Amazon ECR que você selecionou. Isso permite que o serviço de contêiner tenha acesso ao repositório privado e às imagens. Não feche a janela do navegador até que o modal exibido indique que o processo foi concluído e que você pode escolher Continue (Continuar).

Selecione Continue (Continuar) quando a ativação for concluída.

Após o repositório privado do Amazon ECR selecionado ser adicionado, ele será listado na seção Repositórios privados do Amazon ECR da página. A página inclui instruções sobre como implantar uma imagem do repositório privado no seu serviço de contêiner Lightsail. Para usar uma imagem do seu repositório privado, especifique o formato de URI exibido na página como o lavor Image ao criar sua implantação do serviço de contêiner. No URI especificado, substitua o exemplo de {image tag} pela etiqueta da imagem que você deseja implantar. Para obter mais informações, consulte Create and manage container service deployments.

Abra um prompt de comando ou uma janela de terminal.

Insira o comando a seguir para atualizar um serviço de contêiner e ativar ou desativar o perfil do IAM do extrator de imagem do Amazon ECR.

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

No comando, substitua o seguinte exemplo de texto pelo seu próprio:

Exemplos:

Se você:

Insira o seguinte comando para obter o ARN da entidade principal do perfil do IAM do extrator de imagem do Amazon ECR para seu serviço de contêiner.

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

No comando, substitua o seguinte exemplo de texto pelo seu próprio:

Exemplo:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

Procure o ARN da entidade principal do perfil do IAM do extrator de imagem do ECR na resposta. Se houver uma função listada, copie ou anote o nome da função. Você precisará desse nome para a próxima seção deste guia. Em seguida, é necessário determinar se há uma instrução de política existente no repositório privado do Amazon ECR que você deseja acessar com seu serviço de contêiner. Siga para a seção Determinar se o repositório privado do Amazon ECR tem uma instrução de política deste guia.

Abra um prompt de comando ou uma janela de terminal.

Insira o comando a seguir para obter a declaração de política de um repositório privado específico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

No comando, substitua o seguinte exemplo de texto pelo seu próprio:

Exemplo:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Você deverá ver uma das seguintes respostas:

Abra um editor de texto e cole a seguinte declaração de política em um novo arquivo de texto.

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

No texto, substitua IamRolePrincipalArn pelo ARN da entidade principal do perfil do IAM do extrator de imagem do Amazon ECR do serviço de contêiner que você obteve anteriormente neste guia.

Salve o arquivo como ecr-policy.json em um local acessível em seu computador (por exemplo, C:\Temp\ecr-policy.json no Windows ou /tmp/ecr-policy.json no macOS ou Linux).

Anote o local do caminho do arquivo do arquivo ecr-policy.json criado. Você o especificará em um comando posteriormente neste procedimento.

Abra um prompt de comando ou uma janela de terminal.

Insira o comando a seguir para definir a declaração de política do repositório privado que você deseja acessar com seu serviço de contêiner.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

No comando, substitua o seguinte exemplo de texto pelo seu próprio:

Exemplos:

Agora seu serviço de contêiner pode acessar o repositório privado e as imagens. Para usar uma imagem do seu repositório, especifique o seguinte URI como o valor Image (Imagem) para a implantação do serviço de contêiner. No URI, substitua o exemplo de etiqueta pela etiqueta da imagem que você deseja implantar. Para obter mais informações, consulte Create and manage container service deployments.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

No URI, substitua o seguinte exemplo de texto pelo seu próprio texto:

Exemplo:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

Abra um prompt de comando ou uma janela de terminal.

Insira o comando a seguir para obter a declaração de política de um repositório privado específico.

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

No comando, substitua o seguinte exemplo de texto pelo seu próprio:

Exemplo:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

Na resposta, copie a política existente e siga para a próxima etapa.

Você deve copiar apenas o conteúdo do policyText que aparece entre aspas duplas, conforme destacado no exemplo a seguir.

Abra um editor de texto e cole a política existente do seu repositório privado que você copiou na etapa anterior.

O resultado será algo semelhante a este exemplo:

No texto que você colou, substitua \n por quebras de linha e exclua o \ restante.

O resultado será algo semelhante a este exemplo:

Cole a seguinte declaração de política no final do arquivo de texto.

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

No texto, substitua IamRolePrincipalArn pelo ARN da entidade principal do perfil do IAM do extrator de imagem do Amazon ECR do serviço de contêiner que você obteve anteriormente neste guia.

O resultado será algo semelhante a este exemplo:

Salve o arquivo como ecr-policy.json em um local acessível em seu computador (por exemplo, C:\Temp\ecr-policy.json no Windows ou /tmp/ecr-policy.json no macOS ou Linux).

Anote o local do caminho do arquivo do arquivo ecr-policy.json. Você o especificará em um comando posteriormente neste procedimento.

Abra um prompt de comando ou uma janela de terminal.

Insira o comando a seguir para definir a declaração de política do repositório privado que você deseja acessar com seu serviço de contêiner.

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

No comando, substitua o seguinte exemplo de texto pelo seu próprio:

Exemplos:

Você verá um resultado semelhante ao seguinte exemplo.

Se executar o comando get-repository-policy novamente, você deverá ver a nova declaração adicional de política em seu repositório privado. Agora seu serviço de contêiner pode acessar o repositório privado e as imagens. Para usar uma imagem do seu repositório, especifique o seguinte URI como o valor Image (Imagem) para a implantação do serviço de contêiner. No URI, substitua o exemplo de etiqueta pela etiqueta da imagem que você deseja implantar. Para obter mais informações, consulte Create and manage container service deployments.

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

No URI, substitua o seguinte exemplo de texto pelo seu próprio texto:

Exemplo:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage