Часто задаваемые вопросы по Amazon Elastic Container Registry

Для скорейшего начала работы с сервисом Amazon ECR воспользуйтесь интерфейсом командной строки Docker, чтобы отправить и извлечь свой первый образ. Дополнительные сведения см. на странице Начало работы.

Да. Теперь есть возможность настроить адреса AWS PrivateLink, чтобы инстансы могли извлекать образы из частных репозиториев, не передавая их через публичный Интернет.

Сервис Amazon ECR предоставляет интерфейс командной строки и API для создания, мониторинга и удаления репозиториев, а также настройки разрешений на доступ к ним. Эти же действия можно выполнять в консоли Amazon ECR, доступ к которой можно получить в разделе «Repositories» консоли Amazon ECR. Кроме того, Amazon ECR интегрирован с интерфейсом командной строки Docker, что позволяет отправлять и извлекать образы, а также назначать им теги с машины, используемой для разработки.

Войдя в свой аккаунт AWS, вы можете опубликовать образ в общедоступной галерее Amazon ECR, отправив его в созданный вами общедоступный репозиторий. Каждому аккаунту присваивается уникальный псевдоним для использования в URL-адресах образов, чтобы идентифицировать все публикуемые вами общедоступные образы.

Да. Вы можете присвоить собственный псевдоним, например название организации или проекта, если только этот псевдоним не зарезервирован. Имена, которые идентифицируют сервисы AWS, зарезервированы. Имена, идентифицирующие продавцов AWS Marketplace, также могут быть зарезервированы. Если ваш псевдоним не нарушает Политику приемлемого использования AWS или другие политики AWS, мы рассмотрим и утвердим ваш запрос в течение нескольких дней.

Образ можно извлечь, используя знакомую команду «docker pull» с URL-адресом образа. URL-адрес легко найти, выполнив поиск по псевдониму издателя, имени образа или его описанию в общедоступной галерее Amazon ECR. URL-адреса образов имеют такой формат: public.ecr.aws/<alias>/<image>:<tag> (например, public.ecr.aws/eks/aws-alb-ingress-controller:v1.1.5)

Да. Сервис Amazon ECR обеспечивает гибкость при выборе места хранения и способа развертывания образов. Вы можете создать конвейеры развертывания, которые будут создавать образы и отправлять их в сервис Amazon ECR в одном регионе, а сервис Amazon ECR будет автоматически реплицировать их в другие регионы и отвечать за развертывание в других кластерах.

Да. Вы можете получить доступ к Amazon ECR из любого места, где работает Docker, в том числе с настольных компьютеров или из локальных сред.

Да. Такие сервисы, как Amazon EKS, Amazon SageMaker и AWS Lambda, публикуют свои официальные образы контейнеров и артефакты для открытого пользования в Amazon ECR.  

Да. Amazon ECR интегрирован с Amazon ECS, что позволяет легко хранить и запускать образы контейнеров для работающих в Amazon ECS приложений, а также управлять ими. Вам необходимо лишь указать репозиторий Amazon ECR в определении задания, а Amazon ECS будет извлекать подходящие образы для ваших приложений.

Да. В настоящее время AWS Elastic Beanstalk поддерживает Amazon ECR как в одноконтейнерных, так и во многоконтейнерных средах Docker, позволяя легко развертывать в AWS Elastic Beanstalk образы контейнеров, хранящиеся в Amazon ECR. Вам нужно только указать репозиторий Amazon ECR в конфигурации Dockerrun.aws.json и прикрепить политику AmazonEC2ContainerRegistryReadOnly к роли инстанса контейнера.

Amazon ECR в настоящее время поддерживает Docker версии 1.7.0 и выше.

Amazon ECR поддерживает спецификацию API Docker Registry V2.

Нет. Однако Amazon ECR интегрируется с рядом популярных решений интеграции и непрерывной доставки контента для обеспечения этой возможности. Дополнительную информацию см. на странице партнеров по Amazon ECR.

Да. Amazon ECR интегрирован с сервисом Управления идентификацией и доступом AWS (AWS IAM), который поддерживает федерацию удостоверений для делегированного доступа к Консоли управления AWS или API AWS.

Amazon ECR поддерживает формат Docker Image Manifest V2 Schema 2. В целях обеспечения обратной совместимости с образами Schema 1 Amazon ECR продолжает принимать образы, загруженные в формате Schema 1. Кроме того, Amazon ECR может преобразовывать образы из формата Schema 2 в Schema 1 при извлечении образов с помощью более старой версии Docker Engine (1.9 и ниже).

Да. Amazon ECR совместим со спецификацией образов Open Container Initiative (OCI), что позволяет отправлять и извлекать образы OCI и артефакты. Amazon ECR также может при отправке преобразовать образы между форматами Docker Image Manifest V2, Schema 2 и OCI.

Amazon ECR автоматически шифрует образы при хранении, используя шифрование на стороне сервера Amazon S3 или шифрование AWS KMS, а также передает образы контейнеров по HTTPS. Вместо того чтобы управлять данными доступа непосредственно на своих инстансах EC2, можно настроить политики для управления разрешениями и контроля доступа к вашим образам, используя пользователей и роли AWS Identity and Access Management (IAM).

Политики IAM на основе ресурсов можно использовать для управления разрешениями и мониторинга того, кто и что (например, инстансы EC2) может получать доступ к вашим образам контейнеров, а также как, когда и где они могут получать к ним доступ. Чтобы начать работу, воспользуйтесь Консолью управления AWS для создания политик на уровне ресурсов для своих репозиториев. Кроме того, вы можете использовать образцы политик и прикрепить их к своим репозиториям с помощью интерфейса командной строки Amazon ECR.

Можно включить Amazon ECR для автоматической проверки образов контейнеров на наличие разных уязвимостей операционной системы. Можно также проверять образы с помощью команды API, при этом Amazon ECR уведомит вас посредством API и консоли о завершении проверки. Чтобы улучшить проверку образа, можно включить Amazon Inspector.