amazon-web-services - "no basic auth credentials"尝试从私有(private) ECR 中提取图像时

Question

我的 Dockerfile 中间某处有以下行，用于从我的私有(private) ECR 中检索图像。

FROM **********.dkr.ecr.ap-southeast-1.amazonaws.com/prod/*************:ff03401

这是我在尝试构建此代码时在 AWS Codebuild 中遇到的错误:

Step 21/36 : FROM **********.dkr.ecr.ap-southeast-1.amazonaws.com/prod/*************:ff03401 Get https://**********.dkr.ecr.ap-southeast-1.amazonaws.com/prod/*************/manifests/ff03401: no basic auth credentials

如何以最安全的方式提供这些凭据，并且还可以terraformed？

Answer 1

有多种方法可以做到这一点。

使用 aws 访问和 key 。您在其中设置 ec2 机器上的 aws 凭据并运行 ecr login 命令。 aws ecr get-login --no-include-email --registry-ids <some-id> --region eu-west-1然后 docker pull 应该可以工作。但这不是推荐的安全方式。

我更喜欢使用 aws iam roles .

假设您想在使用 terraform 启动的 ec2 机器上提取此图像。利用 iam 角色。

• 手动或使用 terraform 创建 iam 角色 iam resource .
• 有关 iam 政策的内容，请参阅 this .
• 使用 terraform 引入 ec2 时 instance resource使用iam_instance_profile属性，这个属性的值应该是你创建的iam角色的名字。

这应该足以以安全的方式自动从 ECR 拉取 docker 镜像。

希望这会有所帮助。