ECR: Armazenamento e extração de imagens de contêiner

O Amazon Elastic Container Registry (ECR) é um registro de imagens de contêineres totalmente gerenciado e compatível com Docker. Ele armazena, gerencia e implanta imagens de contêineres com segurança na AWS. O ECR elimina a necessidade de operar sua própria infraestrutura de registro e integra-se nativamente ao ECS, EKS, Lambda (imagens de contêiner) e CodeBuild. As imagens armazenadas no ECR são replicadas para alta disponibilidade e podem ser verificadas automaticamente em busca de vulnerabilidades de segurança.

O ECR oferece suporte a dois tipos de repositório: os repositórios privados no Amazon ECR exigem autenticação da AWS para obter imagens, sendo ideais para imagens de aplicações proprietárias. O acesso é controlado por políticas do IAM e políticas de recursos do repositório. Os repositórios públicos na ECR Public Gallery (public.ecr.aws) permitem obter imagens sem autenticação de qualquer lugar da internet, sendo ideais para imagens base de código aberto, ferramentas públicas e imagens fornecidas pela AWS (imagens base do Lambda e imagens AMI otimizadas para ECS). Os repositórios públicos têm uma cota gratuita de obtenção de imagens, com limites de taxa para solicitações não autenticadas.

Para enviar ou obter imagens privadas do ECR, o Docker deve se autenticar usando credenciais da AWS. Use aws ecr get-login-password para obter um token temporário de autenticação e encaminhe-o para docker login. O token é válido por 12 horas. Em pipelines de CI/CD, atualize o token antes de cada envio. Os agentes de tarefas do ECS, o Lambda e os nós de trabalho do EKS autenticam-se automaticamente no ECR usando sua função do IAM; não é necessário fazer login manual para obter imagens durante a execução em ambientes da AWS.

O fluxo de trabalho padrão para enviar uma imagem ao ECR é: (1) Build da imagem Docker localmente; (2) marcar a imagem com o URI do repositório do ECR (formato: account.dkr.ecr.region.amazonaws.com/repo-name:tag); (3) enviar a imagem marcada. O ECR armazena cada camada da imagem separadamente e elimina duplicidades de camadas comuns entre imagens, reduzindo os custos de armazenamento. Usar etiquetas imutáveis impede que uma etiqueta seja substituída, garantindo que as versões implantadas das imagens sejam estáveis e auditáveis.

As etiquetas IMMUTABLE impedem que uma etiqueta seja substituída por uma imagem diferente. Quando a mutabilidade das etiquetas é IMMUTABLE, o envio de uma nova imagem para uma etiqueta existente falha; é necessário usar uma nova etiqueta. Essa é uma prática recomendada para produção: ela garante que :v1.2.3 sempre se refira exatamente ao mesmo resumo da imagem, permitindo reversões e auditorias confiáveis. Use etiquetas MUTABLE somente para ramificações de desenvolvimento ou a etiqueta de conveniência :latest em ambientes que não sejam de produção.

Habilite a verificação ao enviar para verificar automaticamente as imagens em busca de CVEs conhecidos quando elas forem enviadas. O ECR usa a integração com o Amazon Inspector (verificação aprimorada) ou a Verificação básica integrada, alimentada pelo verificador de código aberto Clair. A verificação aprimorada oferece verificação contínua, e não apenas durante o envio, e abrange pacotes do sistema operacional e pacotes específicos de linguagens (Node.js, Python, Java). Analise os resultados da verificação no console do ECR ou por meio de notificações do EventBridge para sua equipe de segurança.

O ECR cobra pelo armazenamento por GB por mês. Sem gerenciamento, imagens antigas se acumulam indefinidamente, aumentando os custos. As políticas de ciclo de vida expiram e excluem imagens automaticamente com base em regras: por exemplo, manter apenas as 10 versões marcadas mais recentes ou excluir imagens sem etiquetas com mais de 7 dias. As políticas de ciclo de vida são executadas diariamente. Isso é especialmente importante em pipelines de CI/CD que enviam novas imagens a cada confirmação, pois elas podem acumular centenas de imagens por semana.

Para obter imagens de um repositório do ECR na Conta A a partir do ECS/EKS/Lambda na Conta B, configure uma política do repositório (política baseada em recursos) no repositório do ECR na Conta A, concedendo ao principal do IAM da Conta B permissão para chamar ecr:GetDownloadUrlForLayer, ecr:BatchGetImage e ecr:BatchCheckLayerAvailability. Isso elimina a necessidade de copiar imagens entre contas e permite o gerenciamento centralizado de imagens com consumo distribuído.

A replicação do ECR copia automaticamente imagens do seu registro principal para registros em outras regiões da AWS e, opcionalmente, para outras contas. Quando as tarefas do ECS em outra região obtêm uma imagem, elas a obtêm do registro regional local, reduzindo os custos de transferência de dados e a latência de obtenção da imagem. Configure as regras de replicação no nível do registro, especificando quais repositórios replicar e quais regiões e contas de destino usar. A replicação é assíncrona e ocorre quase em tempo real.

O ECR criptografa as imagens em repouso usando criptografia no lado do servidor. Por padrão, ele usa uma chave gerenciada pela AWS (AWS_MANAGED_KEY). Para obter controle e capacidade de auditoria adicionais, configure uma chave KMS gerenciada pelo cliente (CMK). Com uma CMK, o senhor controla a rotação da chave, pode revogar o acesso desabilitando-a e pode auditar todas as operações de descriptografia no CloudTrail. Habilite a criptografia KMS quando a conformidade regulatória (PCI-DSS, HIPAA, FedRAMP) exigir chaves de criptografia controladas pelo cliente.

Um pipeline completo de CI/CD para ECS com ECR: (1) o desenvolvedor envia o código para o Git; (2) o CodeBuild cria a imagem Docker e a envia para o ECR com uma etiqueta de SHA da confirmação; (3) o CodePipeline atualiza a definição da tarefa do ECS com o novo URI da imagem; (4) o ECS realiza uma atualização gradual do serviço, obtendo a nova imagem do ECR. As tarefas do ECS usam a função de execução da tarefa para se autenticar automaticamente no ECR; não é necessário gerenciar credenciais no pipeline para obter imagens durante a execução.

Teste sua compreensão dos conceitos do AWS Solutions Architect (SAA-C03) apresentados nesta lição.

Nesta lição, o senhor aprendeu que os repositórios privados do ECR armazenam imagens de contêineres com acesso controlado pelo IAM, etiquetas imutáveis para estabilidade em produção e verificação automática de vulnerabilidades com o Inspector; as Políticas de ciclo de vida expiram automaticamente imagens antigas e sem etiquetas para controlar os custos de armazenamento em ambientes ativos de CI/CD; e a Replicação do ECR copia imagens para outras regiões e contas em implantações multi-regionais, reduzindo a latência de obtenção. Em seguida, exploraremos o Auto Scaling de serviços do ECS e a integração com balanceamento de carga.