Lightsail の Amazon ECR プライベートリポジトリへのアクセスを管理する

Lightsail コンソールにサインインします。

Lightsail コンソールのホームページで、[Containers] (コンテナ) タブを選択します。

Amazon ECR プライベートリポジトリへのアクセスを設定したいコンテナサービスの名前を選択します。

[Images] (イメージ) タブを選択します。

[リポジトリの追加] を選択すると、コンテナサービスの Amazon ECR プライベートリポジトリへのアクセス権が付与されます。

表示されるドロップダウンから、アクセスするプライベートリポジトリを選択し、[Add] (追加) を選択します。

Lightsail プリンシパル Amazon リソースネーム (ARN) を含むコンテナサービスの Amazon ECR イメージプーラー IAM ロールを有効にするまでに時間がかかります。Lightsail は選択した Amazon ECR プライベートリポジトリのアクセス権限ポリシーに IAM ロールプリンシパル ARN を自動的に追加します。これにより、コンテナサービスはプライベートリポジトリとそのイメージにアクセスできるようになります。プロセスが完了し、[Continue] (続行) を選択できることを示すモーダルが表示されるまで、ブラウザウィンドウは閉じないでください。

アクティベーションが完了したら、[Continue] (続行) を選択します。

選択した Amazon ECR プライベートリポジトリが追加されると、このページの [Amazon ECR プライベートリポジトリ] セクションに表示されます。このページには、プライベートリポジトリから Lightsail コンテナサービスにイメージをデプロイする方法の手順が含まれています。リポジトリにあるイメージを使用するには、コンテナサービスのデプロイの作成時に、ページに [Image] (イメージ) の値として表示される URI 形式を指定します。指定する URI では、イメージタグの例を、デプロイしたいイメージのタグに置き換えます。詳細については、「コンテナサービスのデプロイの作成と管理」を参照してください。

ターミナルまたはコマンドプロントウィンドウを開きます。

次のコマンドを入力して、コンテナサービスを更新し、Amazon ECR イメージプーラー IAM ロールを有効または無効にします。

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

オプション:

次のコマンドを入力して、コンテナサービスの Amazon ECR イメージプーラー IAM ロールのプリンシパル ARN を取得します。

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

aws lightsail get-container-services --service-name my-container-service --region us-east-1

レスポンスに ECR イメージプーラー IAM ロールのプリンシパル ARN がないか探します。ロールがリストにある場合は、コピーして書き留めます。本ガイドの次のセクションで必要になります。次に、コンテナサービスでアクセスしたい Amazon ECR プライベートリポジトリに、既存のポリシーステートメントがあるかどうかを見極める必要があります。本ガイドの「Amazon ECR プライベートリポジトリにポリシーステートメントがあるかどうかを見極める」のセクションに進んでください。

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、特定のプライベートリポジトリのポリシーステートメントを取得します。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

以下のレスポンスのいずれかが表示されます。

テキストエディタを開き、次のポリシーステートメントを新しいテキストファイルに貼り付けます。

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

テキストファイル内では、IamRolePrincipalArn を、本ガイドの前半で取得したコンテナサービスの Amazon ECR イメージプーラー IAM ロールのプリンシパル ARN に置き換えてください。

ファイルを ecr-policy.json という名前で、コンピュータ上のアクセス可能な場所 (例: Windows では C:\Temp\ecr-policy.json、macOS や Linux では /tmp/ecr-policy.json) に保存します。

作成された ecr-policy.json ファイルのファイルパスの場所を書き留めます。この手順の後半に出てくるコマンドで、これを指定します。

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、コンテナサービスを使ってアクセスしたいプライベートリポジトリのポリシーステートメントを設定します。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

これで、コンテナサービスはプライベートリポジトリとそのイメージにアクセスできるようになります。リポジトリにあるイメージを使用するには、コンテナサービスのデプロイのイメージ値として以下の URI を指定します。URI 内のタグ例を、デプロイしたいイメージのタグに置き換えます。詳細については、「コンテナサービスのデプロイの作成と管理」を参照してください。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

URI 内の次のサンプルテキストを自身が使用するテキストに置き換えます。

例:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、特定のプライベートリポジトリのポリシーステートメントを取得します。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

レスポンスに、既存のポリシーをコピーし、次のステップに進みます。

次の例でハイライトされている部分のように、二重引用符で囲まれた policyText の内容のみをコピーする必要があります。

テキストエディタを開き、前の手順でコピーしたプライベートリポジトリの既存のポリシーを貼り付けます。

結果は次の例のようになります。

貼り付けたテキスト内の \n を改行に置き換え、残りの \ は削除します。

結果は次の例のようになります。

テキストファイルの末尾に、次のポリシーステートメントを貼り付けます。

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

テキストファイル内では、IamRolePrincipalArn を、本ガイドの前半で取得したコンテナサービスの Amazon ECR イメージプーラー IAM ロールのプリンシパル ARN に置き換えてください。

結果は次の例のようになります。

ファイルを ecr-policy.json という名前で、コンピュータ上のアクセス可能な場所 (例: Windows では C:\Temp\ecr-policy.json、macOS や Linux では /tmp/ecr-policy.json) に保存します。

ecr-policy.json ファイルのファイルパスの場所を書き留めます。この手順の後半に出てくるコマンドで、これを指定します。

ターミナルまたはコマンドプロントウィンドウを開きます。

以下のコマンドを入力して、コンテナサービスを使ってアクセスしたいプライベートリポジトリのポリシーステートメントを設定します。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

コマンドで、次のサンプルテキストを独自のテキストに置き換えます。

例:

次の例に示すようなレスポンスが表示されます。

get-repository-policy コマンドをもう一度実行すると、プライベートリポジトリに新しく追加されたポリシーステートメントが表示されます。これで、コンテナサービスはプライベートリポジトリとそのイメージにアクセスできるようになります。リポジトリにあるイメージを使用するには、コンテナサービスのデプロイのイメージ値として以下の URI を指定します。URI 内のタグ例を、デプロイしたいイメージのタグに置き換えます。詳細については、「コンテナサービスのデプロイの作成と管理」を参照してください。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

URI 内の次のサンプルテキストを自身が使用するテキストに置き換えます。

例:

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage