如何将不安全的docker注册表与Amazon EC2 Container Service（ECS）一起使用？

Question

我们在AWS VPC中使用了一个无法从外部访问的Docker注册表。 我们希望能够从此注册表启动ECS中的任务，但是我们发现该服务只处于PENDING状态，因为Docker守护程序无法访问注册表。

我通过更改启动配置的用户数据找到了一种解决方法，但我觉得这样做不是最好的方法：

#!/bin/bash
echo ECS_CLUSTER=MY_CLUSTER_NAME >> /etc/ecs/ecs.config
echo OPTIONS=--insecure-registry=insecure.registry.hostname:5000 > /etc/sysconfig/docker
service docker restart
docker start ecs-agent

这很好用，我可以看到我的任务正在按预期运行。 我认为这不一定是最好的方法。

AWS指着我对这个物品，其讨论了与私人注册认证，但我不希望进行身份验证，只需要有泊坞忽略我使用的是不安全的（即不是HTTPS）注册表中的事实。

有没有人有更好的解决方案？

谢谢

Answer 1

我已经与AWS进一步讨论并提供以下解决方案：

您可以使用在引导时执行的用户数据脚本来设置--insecure-registry选项（包括--insecure-registry ）。 例如，可以使用如下脚本设置--insecure-registry ：

#cloud-config
bootcmd:
 - cloud-init-per instance $(echo "OPTIONS=\"--insecure-registry=hostname:5000\"" > /etc/sysconfig/docker)

通过不重启docker，这种方式避免了以前的解决方案。

关于不安全的方法，如果我们使用自签名证书，我们可以通过将证书添加到系统CA信任库或Docker的特殊信任库来利用它。

在Amazon Linux AMI和ECS优化的AMI上，系统CA信任存储位于/usr/share/pki/ca-trust-source或/usr/share/pki/ca-trust-source/anchors （取决于格式，请参阅/usr/share/pki/ca-trust-source/README以获取详细信息），您需要在添加证书后运行update-ca-trust命令。 Docker关于不安全注册表的文档提供了更多有关此内容的详细信息：

https://docs.docker.com/reference/commandline/cli/#insecure-registries https://github.com/docker/docker/blob/master/docs/sources/articles/certificates.md

我希望这也有助于其他人