在 Amazon ECR 中设置私有存储库策略声明
您可以通过以下步骤在 Amazon Web Services Management Console 中向存储库添加访问策略声明。您可以为每个存储库添加多个策略声明。有关示例策略,请参阅 Amazon ECR 中的私有存储库策略示例。
重要
Amazon ECR 要求用户有权通过 IAM policy 调用 ecr:GetAuthorizationToken
API,然后才能对注册表进行身份验证并从任意 Amazon ECR 存储库推送或提取任意镜像。Amazon ECR 提供多个托管 IAM 策略,用于控制不同级别下的用户访问;有关更多信息,请参阅 Amazon Elastic Container Registry 基于身份的策略示例。
设置存储库策略声明
从 https://console.aws.amazon.com/ecr/repositories
打开 Amazon ECR 控制台。 -
从导航栏中,选择包含要对其设置策略声明的存储库的区域。
-
在导航窗格中,选择存储库。
-
在存储库页面上,选择要对其设置策略声明的存储库,以查看存储库的内容。
-
从存储库镜像列表视图的导航窗格中,选择权限、编辑。
注意
如果您未看到权限选项,请确保您处于存储库镜像列表视图中。
-
在编辑权限页面上,选择添加声明。
-
对于声明名称,输入声明的名称。
-
对于效果,选择策略语句产生的结果是允许还是明确拒绝。
-
对于委托人,选择策略声明应用到的范围。有关更多信息,请参阅 IAM 用户指南中的 Amazon JSON 策略元素:委托人。
-
您可以将该声明应用于所有经过身份验证的 Amazon 用户,方法是选择每个人 (*) 复选框。
-
对于服务委托人,指定服务委托人名称 (例如
ecs.amazonaws.com
) 以将声明应用到特定的服务。 -
对于 Amazon 账户 ID,指定一个 Amazon 账号 (例如,
111122223333
) 以将声明应用到特定 Amazon 账户。可以使用逗号分隔的列表指定多个账户。重要
您授予权限的账户必须启用所创建存储库策略的区域,否则将发生错误。
-
对于 IAM 实体,选择 Amazon 账户下将应用声明的角色或用户。
注意
对于 Amazon Web Services Management Console 中当前不支持的较复杂的存储库策略,您可以使用 set-repository-policy Amazon CLI 命令应用此策略。
-
-
对于操作,从各个 API 操作的列表中选择应当应用策略声明的 Amazon ECR API 操作的范围。
-
完成后,选择保存设置策略。
-
对要添加的每个存储库策略重复以上步骤。