允許從 ECR ecr.dkr VPC 端點拉取，但不允許推送？

Question

是否可以在其附加策略中允許從 Docker API VPC 端點 ( com.amazonaws.<region>.ecr.dkr ) 拉取但不推送？

除了"*"之外，我找不到任何支持的操作的參考，有沒有辦法指定只拉？ 還是通過條件？

Answer 1

是的，您可以使用 VPC 終端節點策略來實現這一點。

這是文檔中的一個示例。 此策略允許特定 IAM 角色從 Amazon ECR 中提取圖像：

{
    "Statement": [{
        "Sid": "AllowPull",
        "Principal": {
            "AWS": "arn:aws:iam::1234567890:role/role_name"
        },
        "Action": [
            "ecr:BatchGetImage",
            "ecr:GetDownloadUrlForLayer",
            "ecr:GetAuthorizationToken"
        ],
        "Effect": "Allow",
        "Resource": "*"
    }]
}

Answer 2

在 AWS 控制台中，將您的實例（可能是所有可能的安全組）正在使用的安全組添加到 VPC 端點。