允许从 ECR ecr.dkr VPC 端点拉取，但不允许推送？

Question

是否可以在其附加策略中允许从 Docker API VPC 端点 ( com.amazonaws.<region>.ecr.dkr ) 拉取但不推送？

除了"*"之外，我找不到任何支持的操作的参考，有没有办法指定只拉？ 还是通过条件？

Answer 1

是的，您可以使用 VPC 终端节点策略来实现这一点。

这是文档中的一个示例。 此策略允许特定 IAM 角色从 Amazon ECR 中提取图像：

{
    "Statement": [{
        "Sid": "AllowPull",
        "Principal": {
            "AWS": "arn:aws:iam::1234567890:role/role_name"
        },
        "Action": [
            "ecr:BatchGetImage",
            "ecr:GetDownloadUrlForLayer",
            "ecr:GetAuthorizationToken"
        ],
        "Effect": "Allow",
        "Resource": "*"
    }]
}

Answer 2

在 AWS 控制台中，将您的实例（可能是所有可能的安全组）正在使用的安全组添加到 VPC 端点。