Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS kebijakan terkelola untuk Amazon Elastic Container Registry

Kebijakan AWS terkelola adalah kebijakan mandiri yang dibuat dan dikelola oleh AWS. AWS Kebijakan terkelola dirancang untuk memberikan izin bagi banyak kasus penggunaan umum sehingga Anda dapat mulai menetapkan izin kepada pengguna, grup, dan peran.

Perlu diingat bahwa kebijakan AWS terkelola mungkin tidak memberikan izin hak istimewa paling sedikit untuk kasus penggunaan spesifik Anda karena tersedia untuk digunakan semua pelanggan. AWS Kami menyarankan Anda untuk mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola pelanggan yang khusus untuk kasus penggunaan Anda.

Anda tidak dapat mengubah izin yang ditentukan dalam kebijakan AWS terkelola. Jika AWS memperbarui izin yang ditentukan dalam kebijakan AWS terkelola, pembaruan akan memengaruhi semua identitas utama (pengguna, grup, dan peran) yang dilampirkan kebijakan tersebut. AWS kemungkinan besar akan memperbarui kebijakan AWS terkelola saat baru Layanan AWS diluncurkan atau operasi API baru tersedia untuk layanan yang ada.

Untuk informasi selengkapnya, lihat Kebijakan terkelola AWS dalam Panduan Pengguna IAM.

Amazon ECR menyediakan beberapa kebijakan terkelola yang dapat Anda lampirkan ke identitas IAM atau ke instans Amazon. EC2 Kebijakan terkelola ini memungkinkan tingkat kontrol yang berbeda atas akses ke sumber daya Amazon ECR dan operasi API. Untuk informasi lebih lanjut tentang setiap operasi API yang disebutkan dalam kebijakan ini, lihat Tindakan di Referensi Amazon Elastic Container Registry.

AmazonEC2ContainerRegistryFullAccess

Anda dapat melampirkan kebijakan AmazonEC2ContainerRegistryFullAccess ke identitas IAM.

Anda dapat menggunakan kebijakan terkelola ini sebagai titik awal untuk membuat kebijakan IAM Anda sendiri berdasarkan kebutuhan khusus Anda. Misalnya, Anda dapat membuat kebijakan khusus untuk menyediakan pengguna atau peran dengan akses administrator penuh untuk mengelola penggunaan Amazon ECR. Dengan fitur Kebijakan Siklus Hidup Amazon ECR, Anda dapat menentukan manajemen siklus hidup citra dalam repositori. Peristiwa kebijakan siklus hidup dilaporkan sebagai CloudTrail peristiwa. Amazon ECR terintegrasi AWS CloudTrail sehingga dapat menampilkan peristiwa kebijakan siklus hidup Anda secara langsung di konsol Amazon ECR. kebijakan IAM terkelola AmazonEC2ContainerRegistryFullAccess mencakup izin cloudtrail:LookupEvents untuk memfasilitasi perilaku ini.

Detail izin

Kebijakan ini mencakup izin berikut:

Kebijakan AmazonEC2ContainerRegistryFullAccess adalah sebagai berikut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:*",
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": [
                        "replication.ecr.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

AmazonEC2ContainerRegistryPowerUser

Anda dapat melampirkan kebijakan AmazonEC2ContainerRegistryPowerUser ke identitas IAM.

Kebijakan ini memberikan izin administratif yang mengizinkan pengguna IAM membaca dan menulis ke repositori, namun tidak mengizinkan mereka menghapus repositori atau mengubah dokumen kebijakan yang diterapkan di dalamnya.

Detail izin

Kebijakan ini mencakup izin berikut:

Kebijakan AmazonEC2ContainerRegistryPowerUser adalah sebagai berikut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecr:DescribeImages",
                "ecr:BatchGetImage",
                "ecr:GetLifecyclePolicy",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:ListTagsForResource",
                "ecr:DescribeImageScanFindings",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:PutImage"
            ],
            "Resource": "*"
        }
    ]
}

AmazonEC2ContainerRegistryPullOnly

Anda dapat melampirkan kebijakan AmazonEC2ContainerRegistryPullOnly ke identitas IAM.

Kebijakan ini memberikan izin untuk menarik gambar kontainer dari Amazon ECR. Jika registri diaktifkan untuk cache pull-through, itu juga akan memungkinkan penarikan untuk mengimpor gambar dari registri hulu.

Detail izin

Kebijakan ini memberikan izin berikut:

Kebijakan AmazonEC2ContainerRegistryPullOnly adalah sebagai berikut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchGetImage",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchImportUpstreamImage"
            ],
            "Resource": "*"
        }
    ]
}

AmazonEC2ContainerRegistryReadOnly

Anda dapat melampirkan kebijakan AmazonEC2ContainerRegistryReadOnly ke identitas IAM.

Kebijakan ini memberikan izin baca saja untuk Amazon ECR. Ini termasuk kemampuan untuk membuat daftar repositori dan citra dalam repositori. Ini juga mencakup kemampuan untuk menarik citra dari Amazon ECR dengan Docker CLI.

Detail izin

Kebijakan ini memberikan izin berikut:

Kebijakan AmazonEC2ContainerRegistryReadOnly adalah sebagai berikut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecr:DescribeImages",
                "ecr:BatchGetImage",
                "ecr:GetLifecyclePolicy",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:ListTagsForResource",
                "ecr:DescribeImageScanFindings"
            ],
            "Resource": "*"
        }
    ]
}

AWSECRPullThroughCache_ServiceRolePolicy

Anda tidak dapat melampirkan kebijakan IAM AWSECRPullThroughCache_ServiceRolePolicy terkelola ke entitas IAM Anda. Kebijakan ini dilampirkan ke peran terkait layanan yang memungkinkan Amazon ECR untuk mendorong gambar ke repositori Anda melalui alur kerja pull through cache. Untuk informasi selengkapnya, lihat Peran terkait layanan Amazon ECR untuk menarik cache.

ECRReplicationServiceRolePolicy

Anda tidak dapat melampirkan kebijakan IAM ECRReplicationServiceRolePolicy terkelola ke entitas IAM Anda. Kebijakan ini dilampirkan ke peran terkait layanan yang mengizinkan Amazon ECR melakukan tindakan atas nama Anda. Untuk informasi selengkapnya, lihat Menggunakan Peran Terkait Layanan untuk Amazon ECR.

ECRTemplateServiceRolePolicy

Anda tidak dapat melampirkan kebijakan IAM ECRTemplateServiceRolePolicy terkelola ke entitas IAM Anda. Kebijakan ini dilampirkan ke peran terkait layanan yang mengizinkan Amazon ECR melakukan tindakan atas nama Anda. Untuk informasi selengkapnya, lihat Menggunakan Peran Terkait Layanan untuk Amazon ECR.

Amazon ECR memperbarui kebijakan AWS terkelola

Lihat detail tentang pembaruan kebijakan AWS terkelola untuk Amazon ECR sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, silakan berlangganan RSS feed pada halaman riwayat Dokumen Amazon ECR.