如何匿名从 AWS ECR docker 镜像中提取？

Question

我知道我们需要登录 ECR 才能从 AWS ECR 中提取 docker 镜像。 我怎样才能让它匿名？ 由于我们将代码、数据和基础设施（都是开源的）分开，我们认为基础设施部分不需要是私有的。

我能够找到使用 * 创建权限的方法，但不确定如何使其匿名，以便任何想要下载的人都不需要 IAM 用户访问权限。

下面是政策，

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "AllowPublic",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability"
            ]
        }
    ]
}

不确定如何创建匿名 IAM 用户。

Answer 1

如果您阅读常见问题解答

问：Amazon ECR 可以托管公共容器映像吗？

Amazon ECR 目前支持私有镜像。 但是，使用基于 IAM 资源的权限，您可以为每个存储库配置策略以允许访问 IAM 用户、角色或其他 AWS 账户。

我能想到的唯一解决方法可能是放置一台 EC2 机器并使用 NGINX 将proxy_pass传递到 ECR url 并使用 EC2 IP 进行 docker repo

Answer 2

自 2020 年 12 月 1 日起，您可以使用 ECR public 匿名拉取容器镜像。

如何和发布公告的链接

任何匿名拉取图像的人每个月都会获得 500 GB 的免费数据带宽，之后他们可以注册或登录 AWS 账户。 从 Internet 提取图像时，只需使用 AWS 帐户进行身份验证即可将免费数据带宽增加到每月 5 TB。 最后，当从 ECR Public 中提取时，在 AWS 中运行的工作负载将从任何区域获得无限的数据带宽。