如何从EC2实例中提取ECS码头工人镜像？

Question

从EC2实例提取位于ECS中存储库中的Docker映像的最佳实践是什么？

• 我将Docker映像推送到ECS下的存储库中。
• 我想启动一个EC2实例并从中提取这些图像。

我习惯于利用ECS任务。 要仅运行Docker容器5分钟，我需要转到Auto-Scale ，将最小值设置为1 ，然后转到ECS页面，等待实例启动并运行我的任务。 太讨厌我个人使用了。 我想快速运行它并迅速停止它。

我只想简单地运行Docker容器，但是那不可能，然后，我正在考虑创建一个EC2模板，该模板将直接在EC2实例中运行我的Docker容器。

• 怎么做？
• 如何在EC2中处理密钥/用户和AWS CLI？ （访问/秘密访问密钥限制为30分钟，我无法在EC2实例/模板的User Data中清楚地写出它）

我认为我的需求是非常基本的，我找不到最佳的方法。 博客文章主要介绍了如何在Linux上运行Docker，而不是在AWS上运行Docker的最佳方法。

Answer 1

可以结合使用EC2实例角色和执行docker登录并随后为所推送映像执行docker pull的脚本来完成此操作。

前提条件：安装了AWS CLI和Docker的EC2实例。

首先，您必须将内置的AmazonEC2ContainerRegistryReadOnly IAM策略添加到EC2实例的IAM角色（这将授予对所有推送图像的读取访问权限）。 如果您希望限制更为严格，则可以改用以下策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GrantSingleImageReadOnlyAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:GetRepositoryPolicy",
        "ecr:DescribeRepositories",
        "ecr:ListImages",
        "ecr:DescribeImages",
        "ecr:BatchGetImage"
      ],
      "Resource": "<aws-account-id>.dkr.ecr.<region>.amazonaws.com/<image-name>"
    },
    {
      "Sid": "GrantECRAuthAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

接下来，您必须创建一个脚本来为您执行登录和图像提取。 典型的脚本如下所示：

$(aws ecr get-login --no-include-email --region <region>);
docker pull <aws-account-id>.dkr.ecr.<region>.amazonaws.com/<image-name>:<optional-tag>;

请注意，此脚本将必须以root用户身份运行才能正确访问Docker守护程序。

共同解决所有问题的另一种方法是研究ECS任务的自动化选项。