기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

관리형 서명

Amazon ECR 관리형 서명은 이미지가 Amazon ECR로 푸시될 때 AWS Signer를 사용하여 암호화 서명을 생성하여 컨테이너 이미지에 자동으로 서명합니다. 따라서 클라이언트 측 도구를 설치하고 구성할 필요가 없으며 레지스트리 구성으로 서명을 중앙에서 관리할 수 있습니다.

사전 조건

관리형 서명을 구성하려면 Amazon ECR을 사용하여 하나 이상의 서명자 서명 프로필을 참조하는 서명 구성을 생성하고, 선택적으로 이미지를 서명해야 하는 리포지토리를 제한하는 리포지토리 필터를 생성합니다. 구성되면 Amazon ECR 관리형 서명은 이미지를 푸시하는 개체의 자격 증명을 사용하여 푸시될 때 자동으로 이미지에 서명합니다.

관리형 서명을 구성하려면 먼저 다음이 있어야 합니다.

{
   "Version": "2012-10-17",		 	 	 
   "Statement": [
   {
       "Sid":"UploadSignaturePermissions",
       "Effect":"Allow",
       "Action":[
           "ecr:CompleteLayerUpload",
           "ecr:UploadLayerPart",
           "ecr:InitiateLayerUpload",
           "ecr:BatchCheckLayerAvailability",
           "ecr:PutImage"
       ],
       "Resource":"arn:aws:ecr:region:account-id:repository/repository-name"
   },
   {
       "Sid": "SignPermissions",
       "Effect": "Allow",
       "Action": [
           "signer:SignPayload"
       ],
       "Resource": "arn:aws:signer:region:account-id:/signing-profiles/signing-profile-name"
   }
   ]
}

Amazon ECR 관리형 서명을 사용하면 여러 서명 규칙(레지스터당 최대 10개)을 생성하여 보안 경계를 강화할 수 있습니다. 예를 들어 여러 빌드 파이프라인을 실행하고 각 파이프라인이 서명할 수 있는 리포지토리를 제한할 수 있습니다. 각 규칙 내에서 서명 프로파일을 구성하고 리포지토리 이름 필터를 지정합니다. 새 이미지가 푸시되면 Amazon ECR은 이미지에 서명할 수 있는 서명 규칙 및 서명 프로필과 일치합니다. 일치 항목이 여러 개 있는 경우 Amazon ECR은 여러 서명을 생성합니다.

시작하기

다음 단계에 따라 관리형 서명을 구성합니다. Amazon ECR에 서명자 서명 프로필에 대한 참조를 제공하고 선택적으로 이미지가 서명되어야 하는 리포지토리를 제한하는 필터를 제공합니다.

AWS Management 콘솔

다음 단계에 따라를 사용하여 관리형 서명을 구성합니다 AWS Management 콘솔.

1. Amazon ECR 콘솔을 엽니다. 왼쪽 탐색 창에서 프라이빗 레지스트리, 기능 및 설정, 관리형 서명을 선택합니다.

2. 규칙 서명 페이지에서 규칙 생성을 선택합니다.

3. 서명 프로필 페이지의 서명자 프로필 선택 AWS 에서 새 AWS 서명자 프로필 생성을 선택하고 프로필 이름을 입력한 다음 선택적으로 서명 유효 기간을 변경합니다. 그런 후 다음을 선택합니다.

4. 필터 페이지의 리포지토리 선택에서 리포지토리 이름 필터를 입력합니다. 그런 후 다음을 선택합니다.

5. 검토 및 생성 페이지에서 입력한 AWS 서명자 프로필 및 리포지토리 이름 필터를 확인합니다. 모든 것이 정확해 보이면 저장을 선택합니다.

AWS CLI

다음 AWS CLI 명령을 사용하여 관리형 서명을 구성합니다.

• 서명 규칙 생성

  서명 프로필 ARN을 사용하여 서명 구성을 생성합니다. 다음 내용의 JSON 파일을 생성합니다.

  {
      "rules": [ 
          { 
              "signingProfileArn": "arn:aws:signer:region:account-id:/signing-profiles/profile-name",
              "repositoryFilters": [ 
                  { 
                      "filter": "test*",
                      "filterType": "WILDCARD_MATCH"
                  }
              ]
          }
      ]
  }

  그런 다음, 다음 명령을 실행합니다.

  aws ecr --region region \
      put-signing-configuration \
      --signing-configuration file://signing-config.json

  서명 구성이 포함된 API 응답이 표시됩니다.

• 서명 구성 보기

  서명 구성을 검색합니다.

  aws ecr --region region \
      get-signing-configuration

  서명 구성이 포함된 API 응답이 표시됩니다.

• 이미지 서명 상태 확인

  이미지를 리포지토리에 푸시합니다. 예:

  docker pull ubuntu
  
  IMAGE_NAME="account-id.dkr.ecr.region.amazonaws.com/repository-name"
  IMAGE_TAG="${IMAGE_NAME}:test-1"
  
  docker tag ubuntu $IMAGE_TAG
  docker push $IMAGE_TAG

  푸시한 후 이미지 태그를 사용하여 서명 상태를 확인합니다.

  aws ecr --region region \
      describe-image-signing-status \
      --repository-name repository-name \
      --image-id imageTag=test-1

  리포지토리 이름이 서명 구성에 정의된 리포지토리 필터와 일치하는 경우 API 응답에 서명 상태가 표시됩니다. 상태가 성공하면 리포지토리에 서명이 푸시되는 것을 볼 수 있습니다.

• 서명 구성 삭제

  서명 구성을 삭제합니다.

  aws ecr --region region \
      delete-signing-configuration

  삭제된 서명 구성이 포함된 API 응답이 표시됩니다.

고려 사항

관리형 서명에는 다음과 같은 제한 및 기능이 적용됩니다.