Fazer solicitações aos registros do Amazon ECR

Você pode enviar, extrair, excluir, visualizar e gerenciar imagens OCI, imagens Docker e artefatos compatíveis com OCI nos registros privados do Amazon ECR usando IPv4 apenas endpoints ou endpoints de pilha dupla (e). IPv4 IPv6 Para fazer solicitações de IPv4 redes, você pode usar pilha dupla ou endpoints. IPv4 Para fazer solicitações de uma IPv6 rede, use um endpoint de pilha dupla. Para obter mais informações sobre como fazer solicitações aos registros públicos do Amazon ECR usando IPv4 endpoints de pilha dupla, consulte Fazer solicitações aos registros públicos do Amazon ECR. Não há cobranças adicionais para acessar o Amazon ECR. IPv6 Para obter mais informações sobre preços, consulte os preços do Amazon Elastic Container Registry.

Os endpoints do Amazon ECR são designados por atributos além do suporte IPv4 exclusivo para endpoints ou endpoints de pilha dupla. Esses atributos podem incluir:

Para obter mais informações sobre endpoints de serviço suportados pelo cliente dual-stack IPv4, Docker e OCI, que processa chamadas de API do Amazon ECR a partir da CLI AWS , consulte Service endpoints. AWS SDKs

Começando a fazer solicitações sobre IPv6

Para fazer uma solicitação para um registro do Amazon ECR IPv6, você precisa usar um endpoint de pilha dupla. Antes de acessar um registro do Amazon ECR IPv6, verifique os seguintes requisitos:

Testar a compatibilidade com endereços IP

Se você estiver usando Linux/Unix ou Mac OS X, poderá testar se é possível acessar um endpoint de pilha dupla IPv6 usando o comando, conforme mostrado no exemplo a curl seguir:

curl --verbose https://ecr.us-west-2.api.aws

* About to connect() to ecr.us-west-2.api.aws port 443 (#0)
* Trying IPv6 address... connected
* Connected to ecr.us-west-2.api.aws (IPv6 address) port 443 (#0)
> Host: ecr.us-west-2.api.aws
* Request completely sent off

Se você estiver usando o Microsoft Windows 7 ou o Windows 10, poderá testar se é possível acessar um endpoint de pilha dupla usando IPv4 ou IPv6 usando o ping comando, conforme mostrado no exemplo a seguir.

ping ecr.us-west-2.api.aws

Fazer solicitações IPv6 usando endpoints de pilha dupla

Você pode fazer chamadas de API do Amazon ECR IPv6 usando endpoints de pilha dupla. A funcionalidade e o desempenho das operações da API do Amazon ECR permanecem consistentes, independentemente de você usar IPv4 ou IPv6.

Ao usar o AWS Command Line Interface (AWS CLI) e AWS SDKs, você pode habilitar IPv6 usando um parâmetro ou sinalizador para alternar para um endpoint de pilha dupla ou especificando diretamente o endpoint de pilha dupla em seu arquivo de configuração para substituir o endpoint padrão do Amazon ECR. Você também pode fazer alterações na configuração usando um comando, que é definido use_dualstack_endpoint como verdadeiro no perfil padrão. Para obter mais informações sobreuse_dualstack_endpoint, consulte Endpoints de pilha dupla e FIPS.

Usando endpoints do Amazon ECR a partir da docker CLI

Depois de entrar no repositório do Amazon ECR e marcar sua imagem, você pode enviar e extrair imagens OCI e imagens do Docker de e para os registros do Amazon ECR. Os exemplos a seguir demonstram os comandos docker push e docker pull com os dois endpoints de pilha dupla.

Usando IPv6 endereços nas políticas do IAM

Antes de acessar um registro usando IPv6, certifique-se de que seu usuário do IAM e as políticas de registro do Amazon ECR que usam a filtragem de endereços IP incluam intervalos de IPv6 endereços. Se as políticas de filtragem de endereços IP não forem atualizadas para lidar com IPv6 endereços, os clientes poderão perder ou obter acesso incorretamente ao registro quando começarem a usar. IPv6 Para obter mais informações sobre como gerenciar permissões de acesso com o IAM, consulte Gerenciamento de Identidade e Acesso para o Amazon Elastic Container Registry.

As políticas do IAM que filtram endereços IP usam Operadores de condição de endereço IP. O exemplo de política de registro a seguir mostra como identificar o 54.240.143.* intervalo de IPv4 endereços permitidos usando operadores de condição de endereço IP. Qualquer endereço IP fora desse intervalo tem acesso negado ao registro (exampleregistry). Como todos os IPv6 endereços estão fora do intervalo permitido, essa política impede que IPv6 os endereços sejam acessadosexampleregistry.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "IPAllow",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "ecr:*",
      "Resource": "arn:aws:ecr:::exampleregistry/*",
      "Condition": {
         "IpAddress": {"aws:SourceIp": "54.240.143.0/24"}
      } 
    } 
  ]
}

Para permitir intervalos de endereços IPv4 (54.240.143.0/24) e IPv6 (2001:DB8:1234:5678::/64), modifique o elemento Condição da política de registro conforme mostrado no exemplo a seguir. Você pode usar esse formato de Condition bloco para atualizar suas políticas de usuário e de registro do IAM.

       "Condition": {
         "IpAddress": {
            "aws:SourceIp": [
              "54.240.143.0/24",
               "2001:DB8:1234:5678::/64"
             ]
          }
        }

Você pode revisar suas políticas de usuário do IAM usando o console do IAM em https://console.aws.amazon.com/iam/. Para obter mais informações sobre o IAM, consulte o Guia do usuário do IAM.