本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

靜態加密

Amazon 在 Amazon ECR 管理的 Amazon S3 ECR 存儲桶中存儲圖像。根據預設，Amazon ECR 會使用伺服器端加密搭配 Amazon S3 受管加密金鑰，這些加密金鑰會使用 AES -256 加密演算法加密靜態資料。這不需要您採取任何動作，並且免費提供。如需詳細資訊，請參閱 Amazon 簡單儲存服務使用者指南中的使用伺服器端加密搭配 Amazon SSE S3 受管加密金鑰 (-S3) 保護資料。

若要進一步控制 Amazon 儲存ECR庫的加密，您可以使用存放在 AWS Key Management Service (AWS KMS) 中的KMS金鑰的伺服器端加密。使用 AWS KMS 加密資料時，您可以使用由 Amazon ECR 管理的預設值 AWS 受管金鑰，也可以指定您自己的KMS金鑰 (稱為客戶受管金鑰)。如需詳細資訊，請參閱 Amazon 簡單儲存服務使用者指南中的 AWS KMS (SSE-KMS) 中存放的KMS金鑰使用伺服器端加密來保護資料。

每個 Amazon ECR 儲存庫都有一個加密組態，這是在建立儲存庫時設定的。您可以在每個儲存庫上使用不同的加密組態。如需詳細資訊，請參閱建立 Amazon ECR 私有儲存庫來存放映像檔。

在啟用 AWS KMS 加密的情況下建立儲存庫時，會使用KMS金鑰來加密儲存庫的內容。此外，Amazon ECR 將 AWS KMS 授權添加到具有 Amazon ECR 存儲庫作為受授權人主要的KMS密鑰。

以下內容提供 Amazon ECR 如何整合以加密和解密儲存庫的高階理解： AWS KMS

考量事項

在 Amazon 使用 AWS KMS 加密時，應考慮以下幾點ECR。

必要的IAM權限

使用伺服器端加密建立或刪除 Amazon ECR 儲存庫時 AWS KMS，所需的許可取決於您使用的特定KMS金鑰。

使用 Amazon 時所需 AWS 受管金鑰 的IAM許可 ECR

預設情況下，當 Amazon ECR 儲存庫已啟用 AWS KMS 加密但未指定KMS金鑰時，會使用 AWS 受管金鑰 適用ECR於 Amazon 的。使用 Amazon ECR 的 AWS受管KMS金鑰加密儲存庫時，任何具有建立存放庫權限的主體也可以在存放庫上啟用 AWS KMS 加密。但是，刪除存放庫的IAM主參與者必須具有kms:RetireGrant權限。如此可在建立儲存庫時淘汰新增至 AWS KMS 索引鍵的授權。

下列範例IAM原則可以作為內嵌原則新增至使用者，以確保他們具有刪除啟用加密的存放庫所需的最低權限。您可以使用 resource 參數來指定用來加密儲存庫的KMS金鑰。

{
    "Version": "2012-10-17",
    "Id": "ecr-kms-permissions",
    "Statement": [
        {
            "Sid": "AllowAccessToRetireTheGrantsAssociatedWithTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:RetireGrant"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/b8d9ae76-080c-4043-92EXAMPLE"
        }
    ]
}

使用客戶管理的金鑰時所需的IAM權限

使用客戶管理的金鑰建立啟用 AWS KMS 加密的儲存庫時，金KMS鑰原則和建立存放庫之使用者或角色的IAM原則都必須具備所需的權限。

建立自己的KMS金鑰時，您可以使用 AWS KMS 建立的預設金鑰原則，也可以指定自己的金鑰原則。為了確保客戶管理的金鑰仍可由帳戶擁有者管理，金鑰的KMS金鑰原則應允許帳號 root 使用者的所有 AWS KMS 動作。可以將其他範圍的權限新增至金鑰原則，但至少應賦予 root 使用者管理金鑰的權限。KMS若要允許金KMS鑰僅用於源自 Amazon 的請求ECR，您可以使用 kms: ViaService 條件金鑰與ecr.<region>.amazonaws.com值。

下列範例金鑰原則會提供擁有KMS金鑰完整存取權的 AWS 帳號 (root 使用者)。KMS如需此範例金鑰原則的詳細資訊，請參閱AWS Key Management Service 開發人員指南中的允許存取 AWS 帳戶並啟用政IAM策。

{
    "Version": "2012-10-17",
    "Id": "ecr-key-policy",
    "Statement": [
        {
            "Sid": "EnableIAMUserPermissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}

建立儲存庫的IAM使用者、IAM角色或 AWS 帳戶除了必要的 Amazon kms:DescribeKey ECR 許可外 kms:CreateGrantkms:RetireGrant，還必須擁有、和許可。

下列範例IAM原則可以作為內嵌原則新增至使用者，以確保他們具有建立啟用加密的存放庫所需的最低權限，並在完成存放庫時刪除存放庫。使用資源參數可指定用於加密儲存庫的 AWS KMS key 。

{
    "Version": "2012-10-17",
    "Id": "ecr-kms-permissions",
    "Statement": [
        {
            "Sid": "AllowAccessToCreateAndRetireTheGrantsAssociatedWithTheKeyAsWellAsDescribeTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:RetireGrant",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/b8d9ae76-080c-4043-92EXAMPLE"
        }
    ]
}

允許使用者在建立儲存庫時在主控台中列出KMS金鑰

使用 Amazon ECR 主控台建立儲存庫時，您可以授與許可，讓使用者在啟用儲存庫的加密時，列出區域中的客戶受管KMS金鑰。下列IAM原則範例顯示使用主控台時列出KMS金鑰和別名所需的權限。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "kms:ListKeys",
      "kms:ListAliases",
      "kms:DescribeKey"
    ],
    "Resource": "*"
  }
}

監控 Amazon ECR 互動 AWS KMS

您可以使用 AWS CloudTrail 來追蹤 Amazon 代表您ECR傳送 AWS KMS 的請求。記錄檔中的記 CloudTrail 錄項目包含加密內容金鑰，可讓它們更容易識別。

Amazon ECR 加密環境

加密內容是一組鍵/值組，其中包含任意非私密資料。當您在加密資料的要求中包含加密內容時， AWS KMS 密碼編譯會將加密內容繫結至加密的資料。若要解密資料，您必須傳遞相同的加密內容。

在其GenerateDataKey和解密請求中 AWS KMS，Amazon ECR 使用具有兩個名稱的加密內容-值對，用於識別正在使用的存儲庫和 Amazon S3 存儲桶。如以下範例所示。名稱不會改變，但組合的加密內容值對於每個值都是不同的。

"encryptionContext": {
    "aws:s3:arn": "arn:aws:s3:::us-west-2-starport-manifest-bucket/EXAMPLE1-90ab-cdef-fedc-ba987BUCKET1/sha256:a7766145a775d39e53a713c75b6fd6d318740e70327aaa3ed5d09e0ef33fc3df",
    "aws:ecr:arn": "arn:aws:ecr:us-west-2:111122223333:repository/repository-name"
}

您可以使用加密內容在稽核記錄和日誌 (例如和 Amazon CloudWatch Logs) 中識別這些加密操作，並做為政策和授權中授權的條件。AWS CloudTrail

Amazon 加ECR密上下文由兩個名稱-值對組成。

故障診斷

使用主控台刪除 Amazon ECR 儲存庫時，如果儲存庫已成功刪除，但 Amazon ECR 無法淘汰新增至儲存庫KMS金鑰的授權，您將收到以下錯誤訊息。

The repository [{repository-name}] has been deleted successfully but the grants created by the kmsKey [{kms_key}] failed to be retired

發生這種情況時，您可以自行淘汰存放庫的 AWS KMS 授權。