amazon-web-services - ECS 可以在单独的帐户中访问 ECR

Question

我正在将 AWS/Terraform 与 ECS 一起使用，并且我有一个设置，其中我有多个 AWS 帐户，这些帐户都需要访问单独 AWS 帐户中包含在 ECR 中的 Docker 镜像。
在单独的 AWS 账户(ECR 中带有 Docker 镜像的账户)中，我创建了一个具有访问 key (ID 和 key )的用户。
在我的其他 AWS 账户中，我有 ECS 任务定义，我可以在其中指定 Docker 镜像的位置，但是，当我运行任务时，它需要访问其他账户才能拉取镜像。
如何在我的 Terraform ECS 任务定义中指定从另一个帐户中提取 Docker 镜像，该帐户需要使用该帐户中的用户的访问 key 进行身份验证？

Answer 1

In the separate AWS account (the one with the Docker images in ECR) I have created a user with an Access Key (ID & secret).

应使用 repository policies 设置对 ECR 存储库的跨账户访问权限。 ，不是 IAM 用户。此类策略的示例是 here .
在 terraform 中，您可以使用 aws_ecr_repository_policy 设置 ECR 策略。 .此外，您的 aws_ecs_task_definition将需要指定 task_role_arn有权访问另一个帐户中的 ECR 存储库。