Domande generali
Un repository privato non offre funzionalità di ricerca dei contenuti e richiede l'autenticazione basata su Amazon IAM utilizzando le credenziali dell'account AWS per permettere il caricamento delle immagini. Un repository pubblico, invece, ha dei contenuti descrittivi e permette a chiunque di caricare le immagini senza un account AWS e senza utilizzare le credenziali IAM. Le immagini del repository pubblico sono disponibili anche nella galleria pubblica di Amazon ECR.
Utilizzo di Amazon ECR
D: Come si inizia a usare Amazon ECR?
ll modo migliore per iniziare a usare Amazon ECR è inoltrare e caricare la prima immagine impiegando l'interfaccia a riga di comando di Docker. Visita la pagina sulle Nozioni di base per ulteriori informazioni.
D: È possibile accedere ad Amazon ECR da un cloud privato virtuale?
Sì. Puoi configurare endpoint di AWS PrivateLink per consentire alle tue istanze di caricare immagini dai repository privati senza la necessità di dover passare attraverso la rete Internet pubblica.
D: Qual è il modo migliore per gestire repository e immagini?
Amazon ECR offre un'interfaccia a riga di comando e API che consentono di creare, monitorare ed eliminare repository e set di autorizzazioni di repository. Le stesse azioni possono essere eseguite dalla console di Amazon ECR, a cui si accede nella sezione "Repository" della console di Amazon ECR. Amazon ECR integra inoltre l'interfaccia a riga di comando di Docker, che consente di inoltrare, caricare e applicare tag alle immagini da un computer di sviluppo.
D: È possibile usare Amazon ECR on-premise?
Sì. Per accedere ad Amazon ECR è sufficiente che nell'ambiente, sia esso desktop o locale, sia in esecuzione Docker.
D: La galleria pubblica di Amazon ECR fornisce immagini pubblicate da AWS?
Sì. Servizi come Amazon EKS, Amazon SageMaker e AWS Lambda pubblicano le loro immagini di container e i loro artefatti di uso pubblico ufficiali in Amazon ECR.
D: Amazon ECR è compatibile con Amazon ECS?
Sì. Amazon ECR è integrato con Amazon ECS e consente di memorizzare, eseguire e gestire immagini di container per applicazioni in esecuzione in Amazon ECS. Specificando il repository di Amazon ECR nella definizione di attività, Amazon ECS recupererà le immagini appropriate per le applicazioni.
D: Amazon ECR è compatibile con AWS Elastic Beanstalk?
Sì. AWS Elastic Beanstalk al momento supporta Amazon ECR per ambienti Docker a container singolo e multi-container, perciò semplifica l'implementazione in AWS Elastic Beanstalk di immagini di container archiviate in Amazon ECR. È sufficiente specificare il repository Amazon ECR nel file di configurazione Dockerrun.aws.json e allegare la policy AmazonEC2ContainerRegistryReadOnly al ruolo dell'istanza del contenitore.
D: Quale versione di Docker Engine supporta Amazon ECR?
Amazon ECR attualmente supporta Docker Engine 1.7.0 e versioni successive.
D: Quale versione dell'API di Docker Engine supporta Amazon ECR?
Amazon ECR supporta la specifica dell'API Docker Registry V2.
D: Amazon ECR crea automaticamente immagini da un Dockerfile?
Amazon ECR integra tuttavia un'ampia gamma di soluzioni CI/CD comuni compatibili con questa funzionalità. Consulta la Pagina dei partner di Amazon ECR per ulteriori informazioni.
D: Amazon ECR supporta l'accesso federato?
Sì. Amazon ECR si integra con AWS Identity and Access Management (IAM), che supporta la federazione delle identità per l'accesso delegato alla Console di gestione AWS o alle API di AWS.
D: Quale versione della specifica di Docker Image Manifest supporta Amazon ECR?
Amazon ECR supporta Docker Image Manifest V2, formato Schema 2. Per mantenere la compatibilità con le versioni precedenti delle immagini Schema 1, Amazon ECR continuerà ad accettare immagini caricate nel formato Schema 1. Inoltre Amazon ECR è in grado di effettuare la conversione di un'immagine da Schema 2 a Schema 1 in caso di estrazione con una versione precedente di Docker Engine (versione 1.9 e inferiore).
D: Amazon ECR supporta il formato OCI (Open Container Initiative)?
Sì. Amazon ECR è compatibile con la specifica di immagine OCI (Open Container Initiative) e perciò consente il caricamento e l'estrazione di immagini e artefatti. Amazon ECR è in grado di effettuare la conversione di immagini fra Docker Image Manifest V2, formato Schema 2 e immagini OCI in estrazione.
Sicurezza
D: In che modo Amazon ECR garantisce la sicurezza delle immagini dei container?
Amazon ECR procede automaticamente alla crittografia delle immagini inattive tramite la crittografia lato server di Amazon S3 o la crittografia AWS KMS e trasferisce le immagini dei container utilizzando il protocollo HTTPS. È quindi possibile configurare policy che gestiscano le autorizzazioni e controllino gli accessi alle immagini tramite utenti e ruoli di AWS Identity and Access Management (IAM), senza dover gestire le credenziali direttamente nelle istanze EC2.
D: Come si usa AWS Identity and Access Management (IAM) per le autorizzazioni?
Puoi usare le policy basate su risorse di IAM per controllare e monitorare chi e cosa (ad esempio le istanze EC2) può accedere alle immagini di container e come, quando e da dove vi accedono. Per iniziare, usa la console di gestione AWS per creare policy basate su risorse per i repository. In alternativa, è possibile usare policy di esempio e collegarle ai repository tramite l'interfaccia a riga di comando di Amazon ECR.
D: È possibile condividere le immagini tra più account AWS?
Sì. Questo è un esempio di come creare e configurare una policy per la condivisione di un'immagine su più account.
D: Amazon ECR scansiona le immagini dei container per rilevare le vulnerabilità?
Puoi abilitare Amazon ECR per scansionare automaticamente le immagini dei container per rilevare un'ampia gamma di vulnerabilità dei sistemi operativi. Puoi inoltre scansionare immagini tramite un comando API e Amazon ECR ti invierà una notifica sull'API e nella console al completamento di una scansione. Per una scansione delle immagini ancora più avanzata, puoi attivare Amazon Inspector.
Ulteriori informazioni sui prezzi di Amazon ECR