如何匿名从 AWS ECR docker 镜像中提取？答案

【问题标题】：How to pull from AWS ECR docker image anonymously?如何匿名从 AWS ECR docker 镜像中提取？
【发布时间】：2018-04-02 04:44:43
【问题描述】：

我知道我们需要登录 ECR 才能从 AWS ECR 中提取 docker 映像。我怎样才能让它匿名？由于我们将代码、数据和基础设施（都是开源的）分开，我们发现基础设施部分不需要私有。

我能够找到使用 * 创建权限的方法，但不确定如何使其匿名，以便任何想要下载的人都不需要 IAM 用户访问权限。

以下是政策，

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "AllowPublic",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability"
            ]
        }
    ]
}

我也不确定如何创建匿名 IAM 用户。

【问题讨论】：

标签： amazon-web-services docker

【解决方案1】：

如果您阅读FAQ

问：Amazon ECR 可以托管公共容器映像吗？

Amazon ECR 目前支持私有图像。但是，使用基于 IAM 资源的权限，您可以为每个存储库配置策略以允许访问 IAM 用户、角色或其他 AWS 账户。

我能想到的唯一解决方法可能是将一台 EC2 机器和使用 NGINX 到 proxy_pass 到 ECR url 并将 EC2 IP 用于 docker repo

【讨论】：

【解决方案2】：

从 2020 年 12 月 1 日起，您可以使用 ECR public 匿名拉取容器镜像。

链接到How To & Launch Announcement

任何匿名拉取图像的人都可以获得 500 GB 的免费数据带宽每个月，他们都可以注册或登录 AWS 帐户。只需使用 AWS 账户进行身份验证即可增加免费数据从互联网上提取图像时，每月带宽为 5 TB。最后，在 AWS 中运行的工作负载将获得无限数据从 ECR Public 拉取任何区域的带宽。

【讨论】：