ECR : stockage et récupération d’images de conteneurs

Amazon Elastic Container Registry (ECR) est un registre d’images de conteneurs entièrement géré et compatible avec Docker. Il stocke, gère et déploie en toute sécurité des images de conteneurs dans AWS. ECR évite d’avoir à exploiter votre propre infrastructure de registre et s’intègre nativement à ECS, EKS, Lambda (images de conteneurs) et CodeBuild. Les images stockées dans ECR sont répliquées pour assurer une haute disponibilité et peuvent être analysées automatiquement afin de détecter les vulnérabilités de sécurité.

ECR prend en charge deux types de dépôts : les dépôts privés d’Amazon ECR exigent une authentification AWS pour extraire les images ; ils conviennent parfaitement aux images d’applications propriétaires. L’accès est contrôlé par des politiques IAM et des politiques de ressources du dépôt. Les dépôts publics de la galerie publique ECR (public.ecr.aws) autorisent l’extraction sans authentification depuis n’importe quel emplacement sur Internet ; ils conviennent aux images de base libres, aux outils publics et aux images fournies par AWS (images de base Lambda, images AMI optimisées pour ECS). Les dépôts publics bénéficient d’un quota gratuit d’extractions, avec des limites de débit pour les requêtes non authentifiées.

Pour envoyer ou extraire des images ECR privées, Docker doit s’authentifier à l’aide d’informations d’identification AWS. Utilisez aws ecr get-login-password pour obtenir un jeton d’authentification temporaire, puis transmettez-le à docker login. Le jeton est valide pendant 12 heures. Dans les pipelines CI/CD, actualisez le jeton avant chaque envoi. Les agents de tâches ECS, Lambda et les nœuds de travail EKS s’authentifient automatiquement auprès d’ECR à l’aide de leur rôle IAM : aucune connexion manuelle n’est nécessaire pour les extractions effectuées lors de l’exécution dans les environnements AWS.

Flux standard pour envoyer une image vers ECR : (1) Build de l’image Docker en local ; (2) étiquetage de l’image avec l’URI du dépôt ECR (format : account.dkr.ecr.region.amazonaws.com/repo-name:tag) ; (3) envoi de l’image étiquetée. ECR stocke séparément chaque couche d’image et déduplique les couches communes entre les images, ce qui réduit les coûts de stockage. L’utilisation d’étiquettes immuables empêche leur remplacement et garantit ainsi que les versions d’images déployées sont stables et auditables.

Les étiquettes IMMUTABLE empêchent le remplacement d’une étiquette par une autre image. Lorsque la mutabilité des étiquettes est définie sur IMMUTABLE, l’envoi d’une nouvelle image vers une étiquette existante échoue : vous devez utiliser une nouvelle étiquette. Il s’agit d’une bonne pratique en production : elle garantit que :v1.2.3 désigne toujours exactement le même condensat d’image, ce qui permet des restaurations fiables et une bonne traçabilité. Utilisez des étiquettes MUTABLE uniquement pour les branches de développement ou l’étiquette pratique :latest dans les environnements hors production.

Activez l’analyse lors de l’envoi pour analyser automatiquement les images à la recherche de CVE connus lorsqu’elles sont envoyées. ECR utilise l’intégration avec Amazon Inspector (analyse améliorée) ou l’analyse de base intégrée, qui repose sur l’analyseur libre Clair. L’analyse améliorée fournit une analyse continue, et pas seulement lors de l’envoi, et couvre les paquets du système d’exploitation ainsi que ceux propres aux langages (Node.js, Python, Java). Consultez les résultats de l’analyse dans la console ECR ou via les notifications EventBridge destinées à votre équipe de sécurité.

ECR facture le stockage par GB et par mois. Sans gestion, les anciennes images s’accumulent indéfiniment, ce qui augmente les coûts. Les politiques de cycle de vie font automatiquement expirer et suppriment les images selon des règles : par exemple, conserver uniquement les 10 dernières versions étiquetées ou supprimer les images non étiquetées âgées de plus de 7 jours. Les politiques de cycle de vie s’exécutent quotidiennement. Cela est particulièrement important dans les pipelines CI/CD qui envoient de nouvelles images à chaque validation et peuvent ainsi accumuler des centaines d’images par semaine.

Pour extraire des images d’un dépôt ECR du compte A vers ECS/EKS/Lambda dans le compte B, configurez une politique de dépôt (politique fondée sur les ressources) sur le dépôt ECR du compte A, en accordant au principal IAM du compte B l’autorisation d’appeler ecr:GetDownloadUrlForLayer, ecr:BatchGetImage et ecr:BatchCheckLayerAvailability. Cela évite de devoir copier les images entre les comptes et permet une gestion centralisée des images avec une consommation distribuée.

La réplication ECR copie automatiquement les images de votre registre principal vers des registres situés dans d’autres régions AWS, et éventuellement dans d’autres comptes. Lorsque des tâches ECS d’une autre région extraient une image, elles l’extraient du registre régional local, ce qui réduit les coûts de transfert de données et la latence d’extraction. Configurez les règles de réplication au niveau du registre en indiquant les dépôts à répliquer ainsi que les régions et comptes de destination. La réplication est asynchrone et s’effectue presque en temps réel.

ECR chiffre les images au repos à l’aide du chiffrement côté serveur. Par défaut, il utilise une clé gérée par AWS (AWS_MANAGED_KEY). Pour bénéficier d’un contrôle et d’une traçabilité supplémentaires, configurez une clé KMS gérée par le client (CMK). Avec une CMK, vous contrôlez la rotation de la clé, pouvez révoquer l’accès en la désactivant et auditer toutes les opérations de déchiffrement dans CloudTrail. Activez le chiffrement KMS lorsque la conformité réglementaire (PCI-DSS, HIPAA, FedRAMP) exige des clés de chiffrement contrôlées par le client.

Pipeline CI/CD complet pour ECS avec ECR : (1) le développeur envoie le code vers Git ; (2) CodeBuild construit l’image Docker et l’envoie vers ECR avec une étiquette contenant le SHA de la validation ; (3) CodePipeline met à jour la définition de tâche ECS avec le nouvel URI d’image ; (4) ECS effectue une mise à jour progressive du service en extrayant la nouvelle image depuis ECR. Les tâches ECS utilisent le rôle d’exécution de tâche pour s’authentifier automatiquement auprès d’ECR : aucun identifiant n’a besoin d’être géré dans le pipeline pour les extractions lors de l’exécution.

Vérifiez votre compréhension des concepts AWS Solutions Architect (SAA-C03) présentés dans cette leçon.

Dans cette leçon, vous avez appris que les dépôts privés ECR stockent des images de conteneurs avec un accès contrôlé par IAM, des étiquettes immuables pour assurer la stabilité en production et une analyse automatique des vulnérabilités avec Inspector. Les politiques de cycle de vie font automatiquement expirer les anciennes images et les images non étiquetées afin de maîtriser les coûts de stockage dans les environnements CI/CD actifs. Enfin, la réplication ECR copie les images vers d’autres régions et comptes pour les déploiements multirégions, avec une latence d’extraction réduite. Nous allons maintenant découvrir la mise à l’échelle automatique des services ECS et l’intégration de l’équilibrage de charge.