本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Amazon 弹性容器注册表的托管策略

AWS 托管策略是由创建和管理的独立策略 AWS。 AWS 托管策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。

请记住， AWS 托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于您的使用场景的客户管理型策略来进一步减少权限。

您无法更改 AWS 托管策略中定义的权限。如果 AWS 更新 AWS 托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、组和角色）。 AWS 当新服务启动或现有服务 AWS 服务 有新API操作可用时，最有可能更新 AWS 托管策略。

有关更多信息，请参阅 IAM IAM 用户指南中的 AWS 托管式策略。

Amazon ECR 提供了多个托管策略，您可以将这些策略附加到IAM身份或亚马逊EC2实例。这些托管策略允许对访问 Amazon ECR 资源和API运营进行不同级别的控制。有关这些政策中提及的每项API操作的更多信息，请参阅 Amazon 弹性容器注册表API参考中的操作。

AmazonEC2ContainerRegistryFullAccess

您可以将 AmazonEC2ContainerRegistryFullAccess 策略附加到 IAM 身份。

您可以使用此托管策略作为起点，根据您的具体要求创建自己的 IAM policy。例如，您可以创建一项策略，专门为用户或角色提供完全管理员访问权限，以管理 Amazon 的使用ECR。借助 Amazon ECR 生命周期策略功能，您可以指定存储库中图像的生命周期管理。生命周期策略事件作为 CloudTrail 事件报告。亚马逊与ECR之集成 AWS CloudTrail ，因此可以直接在亚马逊ECR控制台中显示您的生命周期策略事件。AmazonEC2ContainerRegistryFullAccess托管IAM策略包括为这种行为提供便利的cloudtrail:LookupEvents权限。

权限详细信息

该策略包含以下权限：

AmazonEC2ContainerRegistryFullAccess 策略如下所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:*",
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": [
                        "replication.ecr.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

AmazonEC2ContainerRegistryPowerUser

您可以将 AmazonEC2ContainerRegistryPowerUser 策略附加到 IAM 身份。

此策略授予管理权限，以允许 IAM 用户读写存储库，但不允许他们删除存储库或更改应用于存储库的策略文档。

权限详细信息

该策略包含以下权限：

AmazonEC2ContainerRegistryPowerUser 策略如下所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecr:DescribeImages",
                "ecr:BatchGetImage",
                "ecr:GetLifecyclePolicy",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:ListTagsForResource",
                "ecr:DescribeImageScanFindings",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:PutImage"
            ],
            "Resource": "*"
        }
    ]
}

AmazonEC2ContainerRegistryPullOnly

您可以将 AmazonEC2ContainerRegistryPullOnly 策略附加到 IAM 身份。

此政策授予从 Amazon 提取容器图像的权限ECR。如果注册表启用了缓存提取，则它还将允许从上游注册表导入映像的提取。

权限详细信息

此策略包含以下权限：

AmazonEC2ContainerRegistryPullOnly 策略如下所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchGetImage",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchImportUpstreamImage"
            ],
            "Resource": "*"
        }
    ]
}

AmazonEC2ContainerRegistryReadOnly

您可以将 AmazonEC2ContainerRegistryReadOnly 策略附加到 IAM 身份。

此政策向 Amazon 授予只读权限ECR。这包括列出存储库及其中镜像的功能。它还包括使用Docker CLI 从亚马逊提取图像ECR的功能。

权限详细信息

此策略包含以下权限：

AmazonEC2ContainerRegistryReadOnly 策略如下所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecr:DescribeImages",
                "ecr:BatchGetImage",
                "ecr:GetLifecyclePolicy",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:ListTagsForResource",
                "ecr:DescribeImageScanFindings"
            ],
            "Resource": "*"
        }
    ]
}

AWSECRPullThroughCache_ServiceRolePolicy

您不能将 AWSECRPullThroughCache_ServiceRolePolicy 托管的 IAM policy 附加到您的 IAM 实体。此策略附加到服务相关角色，该角色允许 Amazon 通过拉取缓存工作流程将图像推送ECR到您的存储库。有关更多信息，请参阅 用于提取缓存的 Amazon ECR 服务相关角色。

ECRReplicationServiceRolePolicy

您不能将 ECRReplicationServiceRolePolicy 托管的 IAM policy 附加到您的 IAM 实体。该政策附属于服务相关角色，ECR允许亚马逊代表您执行操作。有关更多信息，请参阅 使用适用于 Amazon 的服务相关角色 ECR。

ECRTemplateServiceRolePolicy

您不能将 ECRTemplateServiceRolePolicy 托管的 IAM policy 附加到您的 IAM 实体。该政策附属于服务相关角色，ECR允许亚马逊代表您执行操作。有关更多信息，请参阅 使用适用于 Amazon 的服务相关角色 ECR。

亚马逊ECR更新了托 AWS 管政策

查看自该服务开始跟踪这些变更ECR以来亚马逊 AWS 托管政策更新的详细信息。要获取有关此页面变更的自动提醒，请在 Amazon ECR 文档历史记录页面上订阅 RSS Feed。