授予 Lightsail 容器服务访问 Amazon ECR 私有存储库的权限

登录 Lightsail 控制台。

在左侧导航窗格中，选择容器。

选择您想要为其配置对 Amazon ECR 私有存储库的访问权限的容器服务的名称。

选择映像选项卡。

选择添加存储库以授予您的容器服务访问 Amazon ECR 私有存储库的权限。

在出现的下拉菜单中，选择要访问的私有存储库，然后选择 Add（添加）。

Lightsail 需要一些时间才能为容器服务激活 Amazon ECR 映像拉取器 IAM 角色，其中包含主体 Amazon 资源名称（ARN）。然后，Lightsail 会自动将 IAM 角色主体 ARN 添加到您选择的 Amazon ECR 私有存储库的权限策略。这将授予容器服务对私有存储库及其映像的访问权限。在出现的模式表明该过程已完成之前，不要关闭浏览器窗口，您可以选择 Continue（继续）。

在激活完成时选择 Continue（继续）。

添加选择的 Amazon ECR 私有存储库后，它将列在页面的 Amazon ECR 私有存储库部分。该页面包含有关如何将映像从私有存储库部署到 Lightsail 容器服务的说明。要使用私有存储库中的映像，请在创建容器服务部署时将页面上显示的 URI 格式指定为 Image（映像）值。在您指定的 URI 中，将示例 {image tag} 替换为您想要部署的映像的标签。有关更多信息，请参阅创建和管理容器服务的部署。

打开命令提示符或终端窗口。

输入以下命令以更新容器服务并激活或停用 Amazon ECR 映像拉取器 IAM 角色。

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

在该命令中，将以下示例文本替换为自己的文本：

示例：

如果您：

输入以下命令以获取您的容器服务的 Amazon ECR 映像拉取器 IAM 角色的主体 ARN。

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

在该命令中，将以下示例文本替换为自己的文本：

例如：

aws lightsail get-container-services --service-name my-container-service --region us-east-1

在响应中寻找 ECR 映像拉取器 IAM 角色主体 ARN。如果列出了角色，请将其复制或记下来。在本指南的下一部分，您将需要它。接下来，您需要确定您想要使用容器服务访问的 Amazon ECR 私有存储库上是否有现有的策略语句。继续浏览本指南的确定 Amazon ECR 私有存储库是否具有策略语句一节。

打开命令提示符或终端窗口。

输入以下命令以获取特定私有存储库的策略语句。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

在该命令中，将以下示例文本替换为自己的文本：

例如：

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

您应看到以下响应之一：

打开文本编辑器，然后将以下策略语句粘贴到新的文本文件中。

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

在文本中，将 IamRolePrincipalArn 替换为您在本指南前面获取的容器服务的 Amazon ECR 映像拉取器 IAM 角色主体 ARN。

在计算机上的可访问位置将文件另存为 ecr-policy.json（例如，Windows 上的 C:\Temp\ecr-policy.json 或 macOS 或 Linux 上的 /tmp/ecr-policy.json）。

记下所创建的 ecr-policy.json 文件的文件路径位置。您将在此过程后面部分的命令中指定它。

打开命令提示符或终端窗口。

输入以下命令，为要使用容器服务访问的私有存储库设置策略语句。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

在该命令中，将以下示例文本替换为自己的文本：

示例：

您的容器服务现在能够访问您的私有存储库及其映像。要使用存储库中的映像，请将以下 URI 指定为您的容器服务部署的 Image（映像）值。在 URI 中，将示例 tag 替换为您想要部署的映像的标签。有关更多信息，请参阅创建和管理容器服务的部署。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

在 URI 中，将以下示例文本替换为自己的文本：

例如：

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

打开命令提示符或终端窗口。

输入以下命令以获取特定私有存储库的策略语句。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

在该命令中，将以下示例文本替换为自己的文本：

例如：

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

在响应中，复制现有策略并继续下一个步骤。

您应该仅复制显示在双引号之间的 policyText 的内容，见下面示例中突出显示的内容。

打开文本编辑器，将在上一步中复制的私有存储库的现有策略粘贴在其中。

结果应该类似以下示例。

在粘贴的文本中，将 \n 替换为换行符并删除剩余的 \。

结果应该类似以下示例。

将以下策略语句粘贴在文本文件末尾。

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

在文本中，将 IamRolePrincipalArn 替换为您在本指南前面获取的容器服务的 Amazon ECR 映像拉取器 IAM 角色主体 ARN。

结果应该类似以下示例。

在计算机上的可访问位置将文件另存为 ecr-policy.json（例如，Windows 上的 C:\Temp\ecr-policy.json 或 macOS 或 Linux 上的 /tmp/ecr-policy.json）。

记下 ecr-policy.json 文件的文件路径位置。您将在此过程后面部分的命令中指定它。

打开命令提示符或终端窗口。

输入以下命令，为要使用容器服务访问的私有存储库设置策略语句。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

在该命令中，将以下示例文本替换为自己的文本：

示例：

您应看到类似于以下示例的响应。

如果您再次运行 get-repository-policy 命令，您应该会看到私有存储库上新的附加策略语句。您的容器服务现在能够访问您的私有存储库及其映像。要使用存储库中的映像，请将以下 URI 指定为您的容器服务部署的 Image（映像）值。在 URI 中，将示例 tag 替换为您想要部署的映像的标签。有关更多信息，请参阅创建和管理容器服务的部署。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

在 URI 中，将以下示例文本替换为自己的文本：

例如：

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage