ECR: Menyimpan dan Menarik Imej Bekas

Amazon Elastic Container Registry (ECR) ialah pendaftaran imej kontena serasi Docker yang diurus sepenuhnya. Ia menyimpan, mengurus dan menggunakan imej kontena dengan selamat dalam AWS. ECR menghapuskan keperluan untuk mengendalikan infrastruktur pendaftaran sendiri dan disepadukan secara natif dengan ECS, EKS, Lambda (imej kontena) dan CodeBuild. Imej yang disimpan dalam ECR direplikasi untuk ketersediaan tinggi dan boleh diimbas secara automatik bagi mengesan kerentanan keselamatan.

ECR menyokong dua jenis repositori: Repositori persendirian dalam Amazon ECR memerlukan pengesahan AWS untuk menarik imej—sesuai untuk imej aplikasi proprietari. Akses dikawal oleh dasar IAM dan dasar sumber repositori. Repositori awam dalam ECR Public Gallery (public.ecr.aws) membenarkan penarikan tanpa pengesahan dari mana-mana tempat di internet—sesuai untuk imej asas sumber terbuka, alat awam dan imej yang disediakan AWS (imej asas Lambda, imej AMI yang dioptimumkan untuk ECS). Repositori awam mempunyai peruntukan penarikan percuma dengan had kadar untuk permintaan tanpa pengesahan.

Untuk menolak atau menarik imej ECR persendirian, Docker mesti membuat pengesahan menggunakan kelayakan AWS. Gunakan aws ecr get-login-password untuk mendapatkan token pengesahan sementara dan salurkannya kepada docker login. Token tersebut sah selama 12 jam. Dalam saluran paip CI/CD, segarkan token sebelum setiap penolakan. Ejen tugas ECS, Lambda dan nod pekerja EKS membuat pengesahan kepada ECR secara automatik menggunakan peranan IAM masing-masing—tiada log masuk manual diperlukan untuk penarikan semasa masa jalan dalam persekitaran AWS.

Aliran kerja standard untuk menolak imej ke ECR: (1) Bina imej Docker secara setempat; (2) Tag imej dengan URI repositori ECR (format: account.dkr.ecr.region.amazonaws.com/repo-name:tag); (3) Tolak imej yang telah ditag. ECR menyimpan setiap lapisan imej secara berasingan dan menghapus duplikasi lapisan yang sama antara imej, sekali gus mengurangkan kos storan. Menggunakan tag tidak boleh ubah menghalang penggantian tag, memastikan versi imej yang digunakan kekal stabil dan boleh diaudit.

Tag IMMUTABLE menghalang tag daripada digantikan dengan imej yang berbeza. Apabila kebolehubahan tag ialah IMMUTABLE, penolakan imej baharu kepada tag sedia ada akan gagal—you mesti menggunakan tag baharu. Ini ialah amalan terbaik untuk pengeluaran: ia memastikan :v1.2.3 sentiasa merujuk kepada digest imej yang sama tepat, sekali gus membolehkan pemulihan versi terdahulu dan pengauditan yang boleh dipercayai. Gunakan tag MUTABLE hanya untuk cabang pembangunan atau tag kemudahan :latest dalam persekitaran bukan pengeluaran.

Dayakan pengimbasan semasa penolakan untuk mengimbas imej secara automatik bagi CVE yang diketahui apabila imej ditolak. ECR menggunakan penyepaduan Amazon Inspector (pengimbasan dipertingkat) atau Pengimbasan Asas terbina dalam yang dikuasakan oleh pengimbas sumber terbuka Clair. Pengimbasan dipertingkat menyediakan pengimbasan berterusan (bukan hanya semasa penolakan) dan meliputi pakej OS serta pakej khusus bahasa (Node.js, Python, Java). Semak penemuan imbasan dalam konsol ECR atau melalui pemberitahuan EventBridge kepada pasukan keselamatan anda.

ECR mengenakan caj storan bagi setiap GB sebulan. Tanpa pengurusan, imej lama akan terkumpul tanpa had dan meningkatkan kos. Dasar kitar hayat tamat tempoh dan memadam imej secara automatik berdasarkan peraturan: contohnya, simpan hanya 10 keluaran bertag yang terkini atau padam imej tanpa tag yang berusia lebih daripada 7 hari. Dasar kitar hayat dijalankan setiap hari. Ini amat penting dalam saluran paip CI/CD yang menolak imej baharu pada setiap serahan, kerana ratusan imej boleh terkumpul setiap minggu.

Untuk menarik imej daripada repositori ECR dalam Akaun A ke ECS/EKS/Lambda dalam Akaun B, konfigurasikan dasar repositori (dasar berasaskan sumber) pada repositori ECR dalam Akaun A supaya memberikan prinsipal IAM daripada Akaun B keizinan untuk memanggil ecr:GetDownloadUrlForLayer, ecr:BatchGetImage dan ecr:BatchCheckLayerAvailability. Ini menghapuskan keperluan menyalin imej antara akaun dan membolehkan pengurusan imej berpusat dengan penggunaan teragih.

Replikasi ECR menyalin imej secara automatik daripada pendaftaran utama anda kepada pendaftaran di Wilayah AWS yang lain (dan secara pilihan kepada akaun lain). Apabila tugas ECS di Wilayah lain menarik imej, imej tersebut ditarik daripada pendaftaran wilayah setempat—lalu mengurangkan kos pemindahan data dan kependaman penarikan imej. Konfigurasikan peraturan replikasi pada peringkat pendaftaran dengan menentukan repositori yang hendak direplikasi serta wilayah dan akaun destinasi. Replikasi berlaku secara tak segerak dan hampir masa nyata.

ECR menyulitkan imej semasa rehat menggunakan penyulitan sisi pelayan. Secara lalai, ia menggunakan kunci terurus AWS (AWS_MANAGED_KEY). Untuk kawalan dan kebolehauditan tambahan, konfigurasikan kunci KMS terurus pelanggan (CMK). Dengan CMK, anda mengawal putaran kunci, boleh membatalkan akses dengan menyahdayakan kunci dan boleh mengaudit semua operasi penyahsulitan dalam CloudTrail. Dayakan penyulitan KMS apabila pematuhan kawal selia (PCI-DSS, HIPAA, FedRAMP) memerlukan kunci penyulitan yang dikawal pelanggan.

Saluran paip CI/CD lengkap untuk ECS dengan ECR: (1) Pembangun menolak kod ke Git; (2) CodeBuild membina imej Docker dan menolaknya ke ECR dengan tag SHA serahan; (3) CodePipeline mengemas kini takrifan tugas ECS dengan URI imej baharu; (4) ECS melaksanakan kemas kini berperingkat bagi perkhidmatan dengan menarik imej baharu daripada ECR. Tugas ECS menggunakan Peranan Pelaksanaan Tugas untuk membuat pengesahan kepada ECR secara automatik—tiada kelayakan perlu diuruskan dalam saluran paip bagi penarikan semasa masa jalan.

Dalam pelajaran ini anda telah mempelajari bahawa: repositori persendirian ECR menyimpan imej kontena dengan akses yang dikawal IAM, tag tidak boleh ubah untuk kestabilan pengeluaran dan pengimbasan kerentanan automatik dengan Inspector; Dasar Kitar Hayat menamatkan tempoh imej lama dan tanpa tag secara automatik untuk mengawal kos storan dalam persekitaran CI/CD yang aktif; manakala Replikasi ECR menyalin imej ke wilayah dan akaun lain bagi penggunaan berbilang wilayah dengan kependaman penarikan yang lebih rendah. Seterusnya kita akan meneroka Penskalaan Auto Perkhidmatan ECS dan penyepaduan pengimbangan beban.