Replikasi gambar kontainer Amazon ECR yang difilter di seluruh akun atau Wilayah

Buat peran CloudWatch Acara.

Di akun AWS sumber, buat peran IAM untuk diasumsikan oleh Amazon CloudWatch Events. Peran tersebut harus memiliki izin untuk memulai CodeBuild proyek AWS.

Untuk membuat peran dengan menggunakan AWS CLI, ikuti petunjuk dalam dokumentasi IAM.

Contoh kebijakan kepercayaan (trustpolicy.json): 

{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Principal": {"Service": "events.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }
}

Contoh kebijakan izin (permissionpolicy.json):

{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Action": "codebuild:StartBuild",
    "Resource": "<CodeBuild Project ARN>"
  }
}

Buat CodeBuild peran.

Buat peran IAM untuk diasumsikan AWS CodeBuild , dengan mengikuti petunjuk dalam dokumentasi IAM. Peran harus memiliki izin berikut:

Contoh kebijakan kepercayaan (trustpolicy.json):

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "codebuild.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Contoh kebijakan izin (permissionpolicy.json):

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "codebuild:StartBuild",
                "codebuild:StopBuild",
                "codebuild:Get*",
                "codebuild:List*",
                "codebuild:BatchGet*"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "sts:AssumeRole",
            "Resource": "<ARN of destination role>",
            "Effect": "Allow",
            "Sid": "AssumeCrossAccountArn"
        }
    ]
}

Lampirkan kebijakan terkelola AmazonEC2ContainerRegistryReadOnly ke perintah CLI sebagai berikut:

~$ aws iam attach-role-policy \
--policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
--role-name <name of CodeBuild Role>

Buat peran lintas akun.

Di akun AWS tujuan, buat peran IAM untuk CodeBuild peran AWS untuk diasumsikan oleh akun sumber. Peran lintas akun harus memungkinkan gambar kontainer untuk membuat repositori baru dan mengunggah gambar kontainer ke Amazon ECR.

Untuk membuat peran IAM dengan menggunakan AWS CLI, ikuti petunjuk dalam dokumentasi IAM. 

Untuk mengizinkan CodeBuild proyek AWS dari langkah sebelumnya, gunakan kebijakan kepercayaan berikut:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Principal": {
        "AWS": "<ARN of source codebuild role>"
     },
    "Action": "sts:AssumeRole"
  }
}

Untuk mengizinkan CodeBuild proyek AWS dari langkah sebelumnya untuk menyimpan gambar di registri tujuan, gunakan kebijakan izin berikut:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:GetAuthorizationToken",
                "ecr:CreateRepository"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Buat CodeBuild proyek.

Buat CodeBuild proyek AWS di akun sumber dengan mengikuti petunjuk dalam CodeBuild dokumentasi AWS. Proyek harus berada di Wilayah yang sama dengan registri sumber. 

Konfigurasikan proyek sebagai berikut:

Buat aturan acara.

Karena pola menggunakan fitur pemfilteran konten, Anda perlu membuat acara dengan menggunakan Amazon EventBridge. Buat acara dan target dengan mengikuti petunjuk dalam EventBridge dokumentasi, dengan beberapa modifikasi:

Otentikasi dengan Amazon ECR.

Otentikasi ke pendaftar sumber dan tujuan dengan mengikuti langkah-langkah dalam dokumentasi Amazon ECR.

Uji replikasi gambar.

Di akun sumber Anda, dorong gambar kontainer ke repositori sumber Amazon ECR baru atau yang sudah ada dengan tag gambar yang diawali dengan. release- Untuk mendorong gambar, ikuti langkah-langkah dalam dokumentasi Amazon ECR. 

Anda dapat memantau kemajuan CodeBuild proyek di CodeBuild konsol. 

Setelah CodeBuild proyek berhasil diselesaikan, masuk ke akun AWS tujuan, buka konsol Amazon ECR, dan konfirmasikan bahwa gambar ada di registri ECR Amazon tujuan.

Uji pengecualian gambar.

Di akun sumber Anda, dorong gambar kontainer ke repositori sumber Amazon ECR baru atau yang sudah ada dengan tag gambar yang tidak memiliki awalan khusus. 

Konfirmasikan bahwa CodeBuild proyek belum dimulai, dan tidak ada gambar kontainer yang muncul di registri tujuan.