Konfiguration von Amazon-ECS-Container-Instances für private Docker-Images

Der Amazon-ECS-Container-Agent kann sich unter Verwendung der Standardauthentifizierung bei privaten Registrys authentifizieren. Wenn Sie die Authentifizierung bei privaten Registrierungen aktivieren, können Sie private Docker-Images in Ihren Aufgabendefinitionen verwenden. Dieses Feature wird nur von Aufgaben unterstützt, die EC2 verwenden.

Eine andere Methode zur Aktivierung der privaten Registrierungsauthentifizierung verwendet AWS Secrets Manager, um Ihre privaten Registrierungsanmeldeinformationen sicher zu speichern und dann auf diese in Ihrer Containerdefinition zu verweisen. Auf diese Weise können Ihre Aufgaben Images aus privaten Repositorys verwenden. Diese Methode unterstützt Aufgaben, die entweder EC2 oder Fargate verwenden. Weitere Informationen finden Sie unter Verwenden von Nicht-AWS-Container-Images in Amazon ECS.

Der Amazon-ECS-Container-Agent sucht nach zwei Umgebungsvariablen, wenn er gestartet wird:

Das Amazon-ECS-optimierte AMI durchsucht die /etc/ecs/ecs.config-Datei nach diesen Variablen, wenn die Container-Instance gestartet wird, sowie jedes Mal, wenn der Service gestartet wird (mit dem Befehl sudo start ecs). AMIs, die nicht für Amazon ECS optimiert sind, sollten diese Umgebungsvariablen in einer Datei speichern und mit der --env-file path_to_env_file-Option an den docker run-Befehl, der den Container-Agenten startet, weitergeben.

Authentifizierungsformate

Es gibt zwei Formate der Authentifizierung bei privaten Registrierungen: dockercfg und docker.

dockercfg-Authentifizierungsformat

Das Format dockercfg verwendet die in der Konfigurationsdatei gespeicherten Authentifizierungsinformationen. Diese Konfigurationsdatei wird erstellt, wenn Sie den Befehl docker login ausführen. Sie können diese Datei durch die Ausführung von docker login auf Ihrem lokalen System erstellen, wobei Sie den registrierten Benutzernamen, das Passwort und die E-Mail-Adresse eingeben. Sie können sich auch bei einer Container-Instance anmelden und den Befehl dort ausführen. Je nachdem, welche Docker-Version Sie verwenden, wird diese Datei entweder als ~/.dockercfg oder ~/.docker/config.json gespeichert.

cat ~/.docker/config.json

Ausgabe:

{
  "auths": {
    "https://index.docker.io/v1/": {
      "auth": "zq212MzEXAMPLE7o6T25Dk0i"
    }
  }
}

cat ~/.docker/config.json | jq .auths

Ausgabe:

{
  "https://index.docker.io/v1/": {
    "auth": "zq212MzEXAMPLE7o6T25Dk0i",
    "email": "email@example.com"
  }
}

Im obigen Beispiel sollte die folgende Umgebungsvariable der Umgebungsvariablendatei (/etc/ecs/ecs.config für das Amazon-ECS-optimierte AMI), die der Amazon-ECS-Container-Agent während der Laufzeit lädt, hinzugefügt werden. Wenn Sie das Amazon-ECS-optimierte AMI nicht verwenden und den Agenten manuell mit dem Befehl docker run starten, müssen Sie die Umgebungsvariablendatei beim Starten des Agenten mit der Option --env-file path_to_env_file festlegen.

ECS_ENGINE_AUTH_TYPE=dockercfg
ECS_ENGINE_AUTH_DATA={"https://index.docker.io/v1/":{"auth":"zq212MzEXAMPLE7o6T25Dk0i","email":"email@example.com"}}

Sie können mehrere private Registrierungen mit der folgenden Syntax konfigurieren:

ECS_ENGINE_AUTH_TYPE=dockercfg
ECS_ENGINE_AUTH_DATA={"repo.example-01.com":{"auth":"zq212MzEXAMPLE7o6T25Dk0i","email":"email@example-01.com"},"repo.example-02.com":{"auth":"fQ172MzEXAMPLEoF7225DU0j","email":"email@example-02.com"}}

docker-Authentifizierungsformat

Das docker-Format verwendet eine JSON-Darstellung des Registrierungsservers, auf dem sich der Agent authentifizieren soll. Außerdem enthält es die Authentifizierungsparameter, die für diese Registrierung benötigt werden (z. B. Benutzername, Passwort und E-Mail-Adresse für dieses Konto). Für ein Docker Hub-Konto sieht die JSON-Darstellung wie folgt aus:

{
  "https://index.docker.io/v1/": {
    "username": "my_name",
    "password": "my_password",
    "email": "email@example.com"
  }
}

In diesem Beispiel sollte die folgende Umgebungsvariable der Umgebungsvariablendatei (/etc/ecs/ecs.config für das Amazon-ECS-optimierte AMI), die der Amazon-ECS-Container-Agent während der Laufzeit lädt, hinzugefügt werden. Wenn Sie das Amazon-ECS-optimierte AMI nicht verwenden und den Agenten manuell mit dem Befehl docker run starten, müssen Sie die Umgebungsvariablendatei beim Starten des Agenten mit der Option --env-file path_to_env_file festlegen.

ECS_ENGINE_AUTH_TYPE=docker
ECS_ENGINE_AUTH_DATA={"https://index.docker.io/v1/":{"username":"my_name","password":"my_password","email":"email@example.com"}}

Sie können mehrere private Registrierungen mit der folgenden Syntax konfigurieren:

ECS_ENGINE_AUTH_TYPE=docker
ECS_ENGINE_AUTH_DATA={"repo.example-01.com":{"username":"my_name","password":"my_password","email":"email@example-01.com"},"repo.example-02.com":{"username":"another_name","password":"another_password","email":"email@example-02.com"}}

Verfahren

Gehen Sie wie folgt vor, um private Registrierungen für Ihre Container-Instances zu aktivieren.