ECR: хранение и извлечение образов контейнеров

Amazon Elastic Container Registry (ECR) — это полностью управляемый реестр образов контейнеров, совместимый с Docker. Он безопасно хранит, обрабатывает и развёртывает образы контейнеров в AWS. ECR избавляет от необходимости обслуживать собственную инфраструктуру реестра и изначально интегрируется с ECS, EKS, Lambda (образы контейнеров) и CodeBuild. Образы, хранящиеся в ECR, реплицируются для обеспечения высокой доступности и могут автоматически проверяться на наличие уязвимостей.

ECR поддерживает два типа репозиториев: частные репозитории в Amazon ECR требуют аутентификации AWS для получения образов и идеально подходят для проприетарных образов приложений. Доступ контролируется политиками IAM и политиками ресурсов репозитория. Публичные репозитории в ECR Public Gallery (public.ecr.aws) позволяют получать образы без аутентификации из любой точки интернета и идеально подходят для базовых образов с открытым исходным кодом, публичных инструментов и образов, предоставляемых AWS (базовые образы Lambda, оптимизированные для ECS образы AMI). Для публичных репозиториев предусмотрен бесплатный лимит загрузки с ограничениями частоты для запросов без аутентификации.

Чтобы отправлять частные образы ECR или получать их, Docker должен пройти аутентификацию с использованием учётных данных AWS. Используйте aws ecr get-login-password, чтобы получить временный токен аутентификации, и передайте его через конвейер в docker login. Токен действителен в течение 12 часов. В конвейерах CI/CD обновляйте токен перед каждой отправкой образа. Агенты задач ECS, Lambda и рабочие узлы EKS автоматически проходят аутентификацию в ECR с помощью своей роли IAM — при получении образов во время работы в средах AWS ручной вход не требуется.

Стандартный порядок отправки образа в ECR: (1) локально создайте образ Docker; (2) присвойте тег образу, указав URI репозитория ECR (формат: account.dkr.ecr.region.amazonaws.com/repo-name:tag); (3) отправьте образ с тегом. ECR хранит каждый слой образа отдельно и устраняет дублирование общих слоёв между образами, сокращая расходы на хранение. Использование неизменяемых тегов предотвращает перезапись тега, благодаря чему версии развёрнутых образов остаются стабильными и проверяемыми.

IMMUTABLE теги не позволяют заменить тег другим образом. Если изменяемость тегов установлена в значение IMMUTABLE, отправка нового образа с уже существующим тегом завершается ошибкой — необходимо использовать новый тег. Это рекомендуемый подход для рабочих сред: он гарантирует, что :v1.2.3 всегда обозначает один и тот же дайджест образа, обеспечивая надёжный откат и аудит. Используйте теги MUTABLE только для веток разработки или удобный тег :latest в средах, не предназначенных для эксплуатации.

Включите сканирование при отправке, чтобы автоматически проверять образы на наличие известных CVE при их отправке. ECR использует интеграцию с Amazon Inspector (расширенное сканирование) или встроенное базовое сканирование на основе сканера с открытым исходным кодом Clair. Расширенное сканирование выполняется непрерывно, а не только при отправке, и охватывает пакеты OS и пакеты для конкретных языков (Node.js, Python, Java). Просматривайте результаты сканирования в консоли ECR или через уведомления EventBridge, отправляемые команде безопасности.

ECR взимает плату за хранение в расчёте на GB в месяц. Без управления старые образы накапливаются бесконечно, увеличивая расходы. Политики жизненного цикла автоматически удаляют образы по истечении срока на основе правил: например, можно сохранять только последние 10 версий с тегами или удалять образы без тегов, которым больше 7 дней. Политики жизненного цикла выполняются ежедневно. Это особенно важно в конвейерах CI/CD, которые отправляют новый образ при каждом изменении кода и могут накапливать сотни образов в неделю.

Чтобы получать образы из репозитория ECR в аккаунте A в ECS/EKS/Lambda аккаунта B, настройте политику репозитория (политику на основе ресурсов) для репозитория ECR в аккаунте A и предоставьте субъекту IAM из аккаунта B разрешения на вызов ecr:GetDownloadUrlForLayer, ecr:BatchGetImage и ecr:BatchCheckLayerAvailability. Это избавляет от необходимости копировать образы между аккаунтами и позволяет централизованно управлять образами при распределённом использовании.

Репликация ECR автоматически копирует образы из основного реестра в реестры других регионов AWS (и, при необходимости, в другие аккаунты). Когда задачи ECS в другом регионе получают образ, они используют локальный региональный реестр, что снижает расходы на передачу данных и задержку получения образа. Настройте правила репликации на уровне реестра, указав репозитории для репликации, а также целевые регионы и аккаунты. Репликация выполняется асинхронно и почти в реальном времени.

ECR шифрует образы в состоянии покоя с помощью шифрования на стороне сервера. По умолчанию используется ключ, управляемый AWS (AWS_MANAGED_KEY). Для дополнительного контроля и возможности аудита настройте управляемый клиентом ключ KMS (CMK). При использовании CMK Вы контролируете ротацию ключа, можете отозвать доступ, отключив ключ, и проверять все операции расшифровки в CloudTrail. Включите шифрование KMS, если требования нормативного соответствия (PCI-DSS, HIPAA, FedRAMP) предусматривают использование ключей шифрования, контролируемых клиентом.

Полный конвейер CI/CD для ECS с ECR выглядит так: (1) разработчик отправляет код в Git; (2) CodeBuild создаёт образ Docker и отправляет его в ECR с тегом, содержащим SHA фиксации; (3) CodePipeline обновляет определение задачи ECS, указывая URI нового образа; (4) ECS выполняет поэтапное обновление сервиса, получая новый образ из ECR. Задачи ECS используют роль выполнения задачи для автоматической аутентификации в ECR — для получения образов во время работы конвейеру не нужно управлять учётными данными.

Проверьте, насколько хорошо Вы усвоили концепции AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что частные репозитории ECR хранят образы контейнеров с доступом под управлением IAM, неизменяемыми тегами для стабильности рабочих сред и автоматическим сканированием уязвимостей с помощью Inspector; политики жизненного цикла автоматически удаляют старые образы и образы без тегов, помогая контролировать расходы на хранение в активно работающих средах CI/CD; репликация ECR копирует образы в другие регионы и аккаунты, снижая задержку получения при развёртываниях в нескольких регионах. Далее Вы узнаете об автоматическом масштабировании сервисов ECS и интеграции с балансировкой нагрузки.