Replique imagens filtradas de contêineres do Amazon ECR entre contas ou regiões

Crie uma função de CloudWatch eventos.

Na conta de origem da AWS, crie uma função do IAM para a Amazon CloudWatch Events assumir. A função deve ter permissões para iniciar um CodeBuild projeto da AWS.

Para criar a função usando a AWS CLI, siga as instruções na documentação do IAM.

Exemplo de política de confiança do trustpolicy.json. 

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"Service": "events.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }
}

Exemplo de política de permissões (permissionpolicy.json)

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "codebuild:StartBuild",
    "Resource": "<CodeBuild Project ARN>"
  }
}

Crie uma CodeBuild função.

Crie uma função do IAM para CodeBuild a AWS assumir, seguindo as instruções na documentação do IAM. O perfil também deve ter as seguintes permissões:

Exemplo de política de confiança do trustpolicy.json.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "codebuild.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Exemplo de política de permissões (permissionpolicy.json)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "codebuild:StartBuild",
                "codebuild:StopBuild",
                "codebuild:Get*",
                "codebuild:List*",
                "codebuild:BatchGet*"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "sts:AssumeRole",
            "Resource": "<ARN of destination role>",
            "Effect": "Allow",
            "Sid": "AssumeCrossAccountArn"
        }
    ]
}

Anexe a política gerenciada AmazonEC2ContainerRegistryReadOnly ao comando da CLI da seguinte forma:

~$ aws iam attach-role-policy \
--policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
--role-name <name of CodeBuild Role>

Criar uma função de conta cruzada.

Na conta da AWS de destino, crie uma função do IAM para a CodeBuild função da AWS a ser assumida pela conta de origem. A função entre contas deve permitir que imagens de contêiner criem um novo repositório e façam upload de imagens de contêiner para o Amazon ECR.

Para criar o perfil do IAM usando a AWS CLI, siga as instruções na documentação do IAM. 

Para permitir o CodeBuild projeto da AWS da etapa anterior, use a seguinte política de confiança:

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {
        "AWS": "<ARN of source codebuild role>"
     },
    "Action": "sts:AssumeRole"
  }
}

Para permitir que o CodeBuild projeto da AWS da etapa anterior salve imagens no registro de destino, use a seguinte política de permissão:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:GetAuthorizationToken",
                "ecr:CreateRepository"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Crie um CodeBuild projeto.

Crie um CodeBuild projeto da AWS na conta de origem seguindo as instruções na CodeBuild documentação da AWS. O projeto deve estar na mesma região que o registro de origem. 

Configure o projeto da seguinte forma:

Criar uma regra de evento.

Como o padrão usa o recurso de filtragem de conteúdo, você precisa criar o evento usando a Amazon EventBridge. Crie o evento e o alvo seguindo as instruções na EventBridge documentação, com algumas modificações:

Autenticar com o Amazon ECR

Autentique-se nos registros de origem e destino seguindo as etapas na documentação do Amazon ECR.

Replicação de imagem de teste.

Em sua conta de origem, envie uma imagem de contêiner para um repositório de origem novo ou existente do Amazon ECR com uma tag de imagem prefixada com release-. Para enviar a imagem, siga as etapas na documentação do Amazon ECR. 

Você pode monitorar o progresso do CodeBuild projeto no CodeBuild console. 

Depois que o CodeBuild projeto for concluído com sucesso, faça login na conta da AWS de destino, abra o console do Amazon ECR e confirme que a imagem existe no registro do Amazon ECR de destino.

Exclusão de imagem de teste.

Em sua conta de origem, envie uma imagem de contêiner para um repositório de origem novo ou existente do Amazon ECR com uma tag de imagem que não tenha o prefixo personalizado.  

Confirme se o CodeBuild projeto não foi iniciado e se nenhuma imagem de contêiner aparece no registro de destino.