As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Uso de funções vinculadas ao serviço para o Amazon ECR O Amazon Elastic Container Registry (Amazon ECR) AWS Identity and Access Management usa funções [vinculadas ao serviço (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) para fornecer as permissões necessárias para usar a replicação e aproveitar os recursos de cache. A função vinculada ao serviço é um tipo especial de função do IAM vinculada diretamente ao Amazon ECR. A função vinculada ao serviço é predefinida pelo Amazon ECR. Ele inclui todas as permissões que o serviço requer para oferecer suporte à replicação e recursos de cache para o seu registro privado. Após você configurar a replicação ou o cache de pull-through para o registro, uma função vinculada ao serviço é criada automaticamente em seu nome. Para obter mais informações, consulte [Configurações de registro privado no Amazon ECR](registry-settings.md). Uma função vinculada ao serviço facilita a configuração da replicação e do cache de pull-through com o Amazon ECR. Isso porque, assim, você não precisa adicionar manualmente todas as permissões necessárias. O Amazon ECR define as permissões de suas funções vinculadas ao serviço e, a não ser que definido de outra forma, somente o Amazon ECR pode assumir suas funções. As permissões definidas incluem a política de confiança e a política de permissões. A política de permissões não pode ser anexada a nenhuma outra entidade do IAM. Você só poderá excluir a função vinculada ao serviço após desabilitar a replicação ou o cache de pull-through no seu registro. Isso garante que você não remova inadvertidamente as permissões que o Amazon ECR requer para esses recursos. Para obter informações sobre outros produtos que oferecem suporte a funções vinculadas a serviços, consulte [Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Nessa página para vinculação, procure os serviços que têm **Yes (Sim) ** na coluna **Service-linked role (Função vinculada ao serviço)**. Escolha um **Yes (Sim)** com um link para ver a documentação da função vinculada a serviço para esse serviço. **Topics** + [Regiões suportadas para a funções vinculadas a serviço do Amazon ECR](#slr-regions) + [Função vinculada ao serviço do Amazon ECR para replicação](slr-replication.md) + [Função vinculada ao serviço do Amazon ECR para cache de pull-through](slr-pullthroughcache.md) + [Perfil vinculado ao serviço do Amazon ECR para modelos de criação de repositório](slr-rct.md) ## Regiões suportadas para a funções vinculadas a serviço do Amazon ECR O Amazon ECR oferece suporte a funções vinculadas a serviços em todas as regiões em que o serviço do Amazon ECR está disponível. Para obter mais informações sobre a disponibilidade regional do Amazon ECR, consulte [Regiões e endpoints da AWS](https://docs.aws.amazon.com/general/latest/gr/rande.html). # Função vinculada ao serviço do Amazon ECR para replicação O Amazon ECR usa uma função vinculada ao serviço chamada **AWSServiceRoleForECRReplication**que permite que o Amazon ECR replique imagens em várias contas. ## Permissões de função vinculada ao serviço para o Amazon ECR A função AWSService RoleFor ECRReplication vinculada ao serviço confia nos seguintes serviços para assumir a função: + `replication.ecr.amazonaws.com` A política de permissões da função do `ECRReplicationServiceRolePolicy` a seguir permite que o Amazon ECR use as seguintes ações em todos os recursos: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ecr:CreateRepository", "ecr:ReplicateImage" ], "Resource": "*" } ] } ``` ------ **nota** `ReplicateImage` é uma API interna que o Amazon ECR usa para replicação e não pode ser chamada diretamente. Você deve configurar permissões para que uma entidade do IAM (por exemplo, um usuário, grupo ou função) crie, edite ou exclua uma função vinculada ao serviço. Para obter mais informações, consulte [Permissões de função vinculada ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) no *Manual do usuário do IAM*. ## Criar uma função vinculada ao serviço para o Amazon ECR Você não precisa criar manualmente a função vinculada ao serviço Amazon ECR. Quando você define as configurações de replicação do seu registro na Console de gerenciamento da AWS, na ou na AWS API AWS CLI, o Amazon ECR cria a função vinculada ao serviço para você. Se você excluir essa função vinculada ao serviço e precisar criá-la novamente, poderá usar esse mesmo processo para recriar a função em sua conta. Quando você define as configurações de replicação para o registro, o Amazon ECR cria a função vinculada ao serviço para você novamente. ## Editar uma função vinculada ao serviço do Amazon ECR O Amazon ECR não permite a edição manual da função vinculada ao AWSService RoleFor ECRReplication serviço. Depois que você criar um perfil vinculado ao serviço, não poderá alterar o nome do perfil, pois várias entidades podem fazer referência ao perfil. No entanto, você poderá editar a descrição do perfil usando o IAM. Para saber mais, consulte [Editar um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) no *Guia do usuário do IAM*. ## Exclusão de função vinculada ao serviço para o Amazon ECR Se você não precisar mais usar um atributo ou serviço que requer um perfil vinculado ao serviço, é recomendável excluí-lo. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ou mantida ativamente. Contudo, você deve remover a configuração de replicação do seu registro em todas as regiões para poder excluir manualmente a função vinculada ao serviço. **nota** Se você tentar excluir recursos enquanto o serviço Amazon ECR ainda está usando as funções, sua ação de exclusão pode falhar. Se isso acontecer, aguarde alguns minutos e tente novamente. **Para excluir os recursos do Amazon ECR usados pelo AWSService RoleFor ECRReplication** 1. Abra o console do Amazon ECR em [https://console.aws.amazon.com/ecr/](https://console.aws.amazon.com/ecr/). 1. Na barra de navegação, selecione a região na qual a configuração de replicação está definida. 1. No painel de navegação, escolha **Private registry (Registro privado)**. 1. Na página **Private registry** (Registro privado), na seção **Replicação configuration** (Configuração de replicação), selecione **Edit** (Editar). 1. Para excluir todas as suas regras de replicação, escolha **Delete all** (Excluir tudo). Essa etapa requer confirmação. **Como excluir manualmente o perfil vinculado ao serviço usando o IAM** Use o console do IAM AWS CLI, o ou a AWS API para excluir a função **AWSServiceRoleForECRReplication**vinculada ao serviço. Para saber mais, consulte [Excluir um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) no *Guia do usuário do IAM*. # Função vinculada ao serviço do Amazon ECR para cache de pull-through O Amazon ECR usa uma função vinculada ao serviço chamada **AWSServiceRoleForECRPullThroughCache**que dá permissão para o Amazon ECR realizar ações em seu nome para concluir ações de pull through cache. Para obter mais informações sobre o cache de pull-through, consulte [Modelos para controlar repositórios criados durante uma ação de extração por cache, criação por push ou replicação](repository-creation-templates.md). ## Permissões de função vinculada ao serviço para o Amazon ECR A função **AWSServiceRoleForECRPullThroughCache**vinculada ao serviço confia no serviço a seguir para assumir a função. + `pullthroughcache.ecr.amazonaws.com` **Detalhes das permissões** A política de permissões da `AWSECRPullThroughCache_ServiceRolePolicy` está vinculada à função vinculada ao serviço. Essa política gerenciada concede permissão ao Amazon ECR para realizar as seguintes ações. Para obter mais informações, consulte [`AWSECRPullThroughCache_ServiceRolePolicy`](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSECRPullThroughCache_ServiceRolePolicy). + `ecr` – Permite que o serviço Amazon ECR extraia e envie imagens para um repositório privado. + `secretsmanager:GetSecretValue`— Permite que o serviço Amazon ECR recupere o conteúdo criptografado de um AWS Secrets Manager segredo. Isso é necessário ao usar uma regra de cache de pull-through para armazenar em cache imagens de um registro upstream que requer autenticação em seu registro privado. Essa permissão se aplica apenas a segredos com o prefixo de nome `ecr-pullthroughcache/`. A política da `AWSECRPullThroughCache_ServiceRolePolicy` contém os elementos a seguir: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ECR", "Effect": "Allow", "Action": [ "ecr:GetAuthorizationToken", "ecr:BatchCheckLayerAvailability", "ecr:InitiateLayerUpload", "ecr:UploadLayerPart", "ecr:CompleteLayerUpload", "ecr:PutImage", "ecr:BatchGetImage", "ecr:BatchImportUpstreamImage", "ecr:GetDownloadUrlForLayer", "ecr:GetImageCopyStatus" ], "Resource": "*" }, { "Sid": "SecretsManager", "Effect": "Allow", "Action": [ "secretsmanager:GetSecretValue" ], "Resource": "arn:aws:secretsmanager:*:*:secret:ecr-pullthroughcache/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" } } } ] } ``` ------ Você deve configurar permissões para que uma entidade do IAM (por exemplo, um usuário, grupo ou função) crie, edite ou exclua uma função vinculada ao serviço. Para obter mais informações, consulte [Permissões do perfil vinculado a serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) no *Guia do usuário do IAM*. ## Criar uma função vinculada ao serviço para o Amazon ECR Você não precisa criar manualmente a função vinculada ao serviço do Amazon ECR para cache de pull-through. Quando você cria uma regra de cache pull through para seu registro privado na Console de gerenciamento da AWS, na ou na AWS API AWS CLI, o Amazon ECR cria a função vinculada ao serviço para você. Se você excluir essa função vinculada ao serviço e precisar criá-la novamente, poderá usar esse mesmo processo para recriar a função em sua conta. Quando você cria uma regra de cache de pull-through para seu registro privado, o Amazon ECR cria a função vinculada ao serviço para você novamente, caso ela ainda não exista. ## Editar uma função vinculada ao serviço do Amazon ECR O Amazon ECR não permite a edição manual da função vinculada ao **AWSServiceRoleForECRPullThroughCache**serviço. Após a criação da função vinculada ao serviço, você não poderá alterar o nome da função, pois várias entidades podem fazer referência à função. No entanto, você poderá editar a descrição do perfil usando o IAM. Para saber mais, consulte [Editar um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) no *Guia do usuário do IAM*. ## Exclusão de função vinculada ao serviço para o Amazon ECR Se você não precisar mais usar um atributo ou serviço que requer um perfil vinculado ao serviço, é recomendável excluí-lo. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ou mantida ativamente. Contudo, você deve remover as regras de cache de pull-through do seu registro em todas as regiões para poder excluir manualmente a função vinculada ao serviço. **nota** Se você tentar excluir recursos enquanto o serviço Amazon ECR ainda estiver usando as funções, sua ação de exclusão poderá falhar. Se isso acontecer, aguarde alguns minutos e tente novamente. **Para excluir os recursos do Amazon ECR usados pela função vinculada ao serviço **AWSServiceRoleForECRPullThroughCache**** 1. Abra o console do Amazon ECR em [https://console.aws.amazon.com/ecr/](https://console.aws.amazon.com/ecr/). 1. Na barra de navegação, selecione a região na qual suas regras de cache de pull-through são criadas. 1. No painel de navegação, escolha **Private registry (Registro privado)**. 1. Na página **Private registry** (Registro privado), na seção **Pull through cache configuration** (Configuração de cache de pull-through), escolha **Edit** (Editar). 1. Para cada regra de cache de pull-through que você criou, selecione a regra e escolha **Delete rule** (Excluir regra). **Como excluir manualmente o perfil vinculado ao serviço usando o IAM** Use o console do IAM AWS CLI, o ou a AWS API para excluir a função **AWSServiceRoleForECRPullThroughCache**vinculada ao serviço. Para saber mais, consulte [Excluir um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) no *Guia do usuário do IAM*. # Perfil vinculado ao serviço do Amazon ECR para modelos de criação de repositório O Amazon ECR usa uma função vinculada ao serviço chamada **AWSServiceRoleForECRTemplate**que dá permissão para o Amazon ECR realizar ações em seu nome para concluir ações de modelo de criação de repositórios. ## Permissões de função vinculada ao serviço para o Amazon ECR A função **AWSServiceRoleForECRTemplate**vinculada ao serviço confia no serviço a seguir para assumir a função. + `ecr.amazonaws.com` **Detalhes das permissões** A política de permissões da ``ECRTemplateServiceRolePolicy`` está vinculada à função vinculada ao serviço. Essa política gerenciada concede permissão ao Amazon ECR para realizar ações de criação de repositórios em seu nome. A política da `ECRTemplateServiceRolePolicy` contém os elementos a seguir: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateRepositoryWithTemplate", "Effect": "Allow", "Action": [ "ecr:CreateRepository" ], "Resource": "*" } ] } ``` ------ Você deve configurar permissões para que uma entidade do IAM (por exemplo, um usuário, grupo ou função) crie, edite ou exclua uma função vinculada ao serviço. Para obter mais informações, consulte [Permissões do perfil vinculado a serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) no *Guia do usuário do IAM*. ## Criar uma função vinculada ao serviço para o Amazon ECR Você não precisa criar manualmente o perfil vinculado ao serviço do Amazon ECR para o modelo de criação de repositório. Quando você cria uma regra de modelo de criação de repositório para seu registro privado na Console de gerenciamento da AWS, na ou na AWS API AWS CLI, o Amazon ECR cria a função vinculada ao serviço para você. Se você excluir essa função vinculada ao serviço e precisar criá-la novamente, poderá usar esse mesmo processo para recriar a função em sua conta. Quando você cria uma regra de modelo de criação de repositório para seu registro privado, o Amazon ECR cria o perfil vinculado ao serviço para você novamente, caso ele já não exista. ## Editar uma função vinculada ao serviço do Amazon ECR O Amazon ECR não permite a edição manual da função vinculada ao **AWSServiceRoleForECRTemplate**serviço. Após a criação da função vinculada ao serviço, você não poderá alterar o nome da função, pois várias entidades podem fazer referência à função. No entanto, você poderá editar a descrição do perfil usando o IAM. Para saber mais, consulte [Editar um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) no *Guia do usuário do IAM*. ## Exclusão de função vinculada ao serviço para o Amazon ECR Se você não precisar mais usar um atributo ou serviço que requer um perfil vinculado ao serviço, é recomendável excluí-lo. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ou mantida ativamente. Contudo, você deve excluir as regras de criação de repositório do registro em todas as regiões antes de poder excluir manualmente o perfil vinculado ao serviço. **nota** Se você tentar excluir recursos enquanto o serviço Amazon ECR ainda estiver usando as funções, sua ação de exclusão poderá falhar. Se isso acontecer, aguarde alguns minutos e tente novamente. **Para excluir os recursos do Amazon ECR usados pela função vinculada ao serviço **AWSServiceRoleForECRTemplate**** 1. Abra o console do Amazon ECR em [https://console.aws.amazon.com/ecr/](https://console.aws.amazon.com/ecr/). 1. Na barra de navegação, escolha a região em que as regras de criação de repositórrio foram criadas. 1. No painel de navegação, escolha **Private registry (Registro privado)**. 1. Na página **Registro privado**, na seção **Modelos de criação de repositório**, escolha **Editar**. 1. Para cada regra de criação de repositório que você criou, selecione a regra e escolha **Excluir regra**. **Como excluir manualmente o perfil vinculado ao serviço usando o IAM** Use o console do IAM AWS CLI, o ou a AWS API para excluir a função **AWSServiceRoleForECRTemplate**vinculada ao serviço. Para saber mais, consulte [Excluir um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) no *Guia do usuário do IAM*.