Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

亚马逊ECR接口VPC终端节点 (Amazon PrivateLink)

您可以VPC通过将 Amazon 配置为使用接口VPC终端节点ECR来改善您的安全状况。VPC终端节点由一项技术提供支持 Amazon PrivateLink，该技术使您能够ECRAPIs通过私有 IP 地址私密访问 Amazon。 Amazon PrivateLink 将您VPC和亚马逊之间的所有网络流量限制ECR到亚马逊网络。您不需要互联网网关、NAT设备或虚拟专用网关。

有关 Amazon PrivateLink 和VPC终端节点的更多信息，请参阅 Amazon VPC 用户指南中的VPC终端节点。

Amazon ECR VPC 终端节点的注意事项

在为 Amazon 配置VPC终端节点之前ECR，请注意以下注意事项。

Windows 镜像注意事项

基于 Windows 操作系统的镜像包括受许可证限制而无法分发的构件。默认情况下，当您将 Windows 映像推送到 Amazon ECR 存储库时，包含这些构件的层不会被推送，因为它们被视为外部层。当构件由 Microsoft 提供时，将从 Microsoft Azure 基础设施中检索外部层。因此，要使你的容器能够从 Azure 中提取这些外来层，除了创建VPC端点之外，还需要执行其他步骤。

在将 Windows 映像推送到亚马逊时，可以使用 Docker 守护程序中的--allow-nondistributable-artifacts标志ECR来覆盖此行为。启用后，此标志会将许可层推送到亚马逊ECR，这样就可以ECR通过VPC终端节点从亚马逊提取这些图像，而无需额外访问 Azure。

要在 Docker 安装中启用此标记，您必须修改 Docker 守护进程配置文件，根据您的 Docker 安装，该配置文件通常可以在 Docker Engine 部分下的设置或首选项菜单中配置，也可以通过直接编辑 C:\ProgramData\docker\config\daemon.json 文件配置。

以下是所需配置的示例。将该值替换为URI要将图像推送到的存储库。

{
    "allow-nondistributable-artifacts": [
        "111122223333.dkr.ecr.us-west-2.amazonaws.com"
    ]
}

修改 Docker 守护进程配置文件后，您必须在尝试推送镜像之前重新启动 Docker 守护进程。通过验证基础层是否推送到您的存储库，确认推送工作运转正常。

为 Amazon 创建VPC终端节点 ECR

要为亚马逊ECR服务创建VPC终端节点，请使用亚马逊VPC用户指南中的创建接口终端节点程序。

托管在亚马逊EC2实例上的亚马逊ECS任务需要亚马逊ECR终端节点和 Amazon S3 网关终端节点。

使用平台版本1.4.0或更高版本在 Fargate 上托管的亚马逊ECS任务需要亚马逊ECRVPC终端节点和 Amazon S3 网关终端节点。

在 Fargate 上托管的使用平台版本1.3.0或更早版本的亚马逊ECS任务只需要使用 cn.com.amazonaw s.cn-northwest-1.ecr.dkr 亚马逊终端节点和亚马逊 S3 网关终端节点。ECR VPC

创建 Amazon S3 网关端点

要ECS执行从亚马逊提取私有映像的亚马逊任务ECR，您必须为 Amazon S3 创建网关终端节点。网关终端节点是必需的，因为亚马逊ECR使用 Amazon S3 来存储您的图像层。当您的容器从亚马逊下载图像时ECR，它们必须访问亚马逊ECR以获取图像清单，然后访问 Amazon S3 才能下载实际的图像层。以下是 Amazon S3 存储桶的亚马逊资源名称 (ARN)，其中包含每个 Docker 镜像的图层。

arn:aws:s3:::prod-region-starport-layer-bucket/*

使用亚马逊VPC用户指南中的创建网关终端节点过程为亚马逊创建以下 Amazon S3 网关终端节点ECR。创建终端节点时，请务必为您选择路由表VPC。

亚马逊的最低亚马逊 S3 存储桶权限 ECR

Amazon S3 网关终端节点使用IAM策略文档来限制对服务的访问。要仅允许亚马逊获得最低的 Amazon S3 存储桶权限ECR，请限制对亚马逊在为终端节点创建IAM策略文档时ECR使用的 Amazon S3 存储桶的访问权限。

下表描述了亚马逊所需的 Amazon S3 存储桶策略权限ECR。

示例

以下示例说明如何提供对亚马逊ECR操作所需的 Amazon S3 存储桶的访问权限。

{
  "Statement": [
    {
      "Sid": "Access-to-specific-bucket-only",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:s3:::prod-region-starport-layer-bucket/*"]
    }
  ]
}

创建 CloudWatch 日志端点

使用 Fargate 启动类型的亚马逊ECS任务需要您创建 com.amazonaws，这些任务使用VPC不带互联网网关的，也使用awslogs CloudWatch 日志驱动程序向日志发送日志信息。region日志的.logs 接口VPC端点。 CloudWatch 有关更多信息，请参阅 Amazon Logs 用户指南中的将 CloudWatch CloudWatch 日志与接口VPC终端节点配合使用。

为您的 Amazon 终端节点创建ECRVPC终端节点策略

VPC终端节点策略是您在创建或修改终端节点时附加到终端节点的IAM资源策略。如果您在创建终端节点时未附加策略， Amazon 则会为您附加允许完全访问服务的默认策略。端点策略不会覆盖或替换用户策略或服务特定的策略。这是一个单独的策略，用于控制从端点中对指定服务进行的访问。端点策略必须以JSON格式编写。有关更多信息，请参阅 Amazon VPC 用户指南中的使用VPC终端节点控制对服务的访问。

我们建议创建单个IAM资源策略并将其附加到两个 Amazon ECR VPC 终端节点。

以下是 Amazon 终端节点策略的示例ECR。此策略允许特定IAM角色从 Amazon 提取图片ECR。

{
	"Statement": [{
		"Sid": "AllowPull",
		"Principal": {
			"AWS": "arn:aws:iam::1234567890:role/role_name"
		},
		"Action": [
			"ecr:BatchGetImage",
			"ecr:GetDownloadUrlForLayer",
                    "ecr:GetAuthorizationToken"
		],
		"Effect": "Allow",
		"Resource": "*"
	}]
}

下面的终端节点策略示例阻止删除指定的存储库。

{
	"Statement": [{
			"Sid": "AllowAll",
			"Principal": "*",
			"Action": "*",
			"Effect": "Allow",
			"Resource": "*"
		},
		{
			"Sid": "PreventDelete",
			"Principal": "*",
			"Action": "ecr:DeleteRepository",
			"Effect": "Deny",
			"Resource": "arn:aws:ecr:region:1234567890:repository/repository_name"
		}
	]
}

下面的终端节点策略示例将前面的两个示例组合到一个策略中。

{
	"Statement": [{
			"Sid": "AllowAll",
			"Effect": "Allow",
			"Principal": "*",
			"Action": "*",
			"Resource": "*"
		},
		{
			"Sid": "PreventDelete",
			"Effect": "Deny",
			"Principal": "*",
			"Action": "ecr:DeleteRepository",
			"Resource": "arn:aws:ecr:region:1234567890:repository/repository_name"
		},
		{
			"Sid": "AllowPull",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::1234567890:role/role_name"
			},
			"Action": [
				"ecr:BatchGetImage",
				"ecr:GetDownloadUrlForLayer",
                          "ecr:GetAuthorizationToken"
			],
			"Resource": "*"
		}
	]
}

共享子网

您无法在与您共享的子网中创建、描述、修改或删除VPC终端节点。但是，您可以在与您共享的子网中使用VPC终端节点。