Kubernetes拉私有的外部亚马逊ECR图像

Question

我有一个带有K8S集群的Amazon账户，该账户能够从同一账户的ECR存储库中提取图像。

但是，我公司的另一个帐户具有另一个ECR存储库。 我如何从“外部” ECR存储库中提取图像？

我也是Rancher的用户，我曾经通过安装一个专门的容器（ https://github.com/rancher/rancher-ecr-credentials ）来完成此任务。

Kubernetes是否有等同的东西？

感谢您的宝贵帮助

Answer 1

由于您已经具有用于从同一帐户提取图像的此设置，因此可以使用IAM策略级别或ECR权限来执行此操作，在您的其他AWS帐户中设置一个策略，指定将能够拉图像

例如，“ ECR权限”选项卡中的授予拉权限

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "k8s-aws-permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::aws_account_number:root"
            },
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability"
            ]
        }
    ]
}