从外部帐户访问 ECS 存储库

Question

我正在为两个帐户使用 ECS 存储库，一个用于 non_prod，另一个用于 prod。回购是 non_prod 帐户的一部分

我发现的问题是，即使将 non_prod 帐户存储库的访问权限授予 prod 帐户，prod 帐户也无法拉取 docker 映像。并抱怨docker镜像不存在。

我仍然可以访问存储库，但无法提取图像，因为产品帐户认为不存在

显然该图像存在，因为它在 non_prod 环境中使用。 我还比较了 ~/.docker/config.json 凭据，并且与我在 non_prod 帐户上的 ECS 存储库连接时相同。

我什至尝试暂时危险地在 repo 中授予所有访问权限，但仍然没有。知道这里有什么问题吗？

问候。

Answer 1

我们在我们的环境中使用相同的设置，它对我们来说效果很好。确保您正在执行以下操作：

1) 在访问容器时，您在登录命令中传递了 --registryid 参数，本质上，

aws ecr get-login --region us-east-1 --registry-ids <value here> | /bin/sh

2) 您已授予 prod 帐户在 ECR 存储库中的访问权限，主要是在 ECR 存储库的权限部分中，Prinicipal 中有一个条目用于 arn:aws:iam:::root 并且存在正确的权限推拉操作。

如果您正在执行这两项操作但仍无法访问容器，请告诉我。