Как получить доступ к AWS ECR из инстанса EC2 другого аккаунта?

Я посмотрел https://serverfault.com/questions/897392/ecr-cross-account-pull-permissions, где решение, по-видимому, заключается в создании ролей для нескольких учетных записей. Хотя я мог бы создать такую ​​роль a2.cross-acc-r, я не могу понять, как я могу принять эту роль для aws ecr команд CLI. Я не хочу, чтобы экземпляр EC2 взял на себя эту роль, поскольку он находится в другой учетной записи (даже не уверен, возможно ли это вообще).

Вы можете сделать это, выполнив следующие действия:

1. В учетной записи A я создал роль (например, RoleForB), чтобы доверять учетной записи B, и прикрепил к ранее созданной роли IAM policy, чтобы позволить ему выполнять некоторые операции чтения в учетной записи A. e.g ReadOnlyAccess
2. В учетной записи B я создал роль (например, AssumeRoleInA) и прикрепил политику, позволяющую ей взять на себя роль, созданную в аккаунт A.
3. В учетной записи B свяжите с вашим экземпляром EC2 ec2-profile роль IAM (AssumeRoleInA), созданную на шаге 2.
4. В учетной записи B войдите в этот экземпляр EC2, чтобы взять на себя роль в учетной записи A, используя команду aws sts assume-role --role-arn "arn:aws:iam::Account_A_ID:role/RoleForB" --role-session-name "EC2FromB".
5. В терминале EC2 учетной записи B, когда команда завершена на шаге 4, вы можете увидеть идентификатор ключа доступа, секретный ключ доступа и токен сеанса. откуда бы вы его ни направили, в нашем случае stdout вручную или с помощью сценария. Затем вы можете присвоить эти значения переменным среды (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN)

Итак, давайте проверим конфигурации, упомянутые выше, шаг за шагом, но с некоторыми деталями режима:

1. Как и прежде, представленное в учетной записи A, она создает доверие к учетной записи B, создавая роль с именем RoleForB и прикрепляя к ней ReadOnlyAccess разрешение.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"AWS": "arn:aws:iam::Account_B_ID:root"},
        "Action": "sts:AssumeRole"
    }
}

2. В учетной записи B создайте роль с именем AssumeRoleInA, затем прикрепите соответствующий policy, чтобы позволить ей взять на себя роль с именем RoleForB в учетной записи A.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": [
        "arn:aws:iam::Account_A_ID:role/RoleForB"
      ]
    }
  ]
}

3. В учетной записи B создайте новый экземпляр EC2 (если он еще не существует) и свяжите его профиль ec2 с Роль IAM с именем AssumeRoleInA.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"Service": "ec2.amazonaws.com"},
        "Action": "sts:AssumeRole"
    }
}

4. В учетной записи B войдите в этот экземпляр EC2, чтобы взять на себя роль в учетной записи A, используя команду:

aws sts assume-role --role-arn "arn:aws:iam::Account_A_ID:role/RoleForB" --role-session-name "EC2FromB"`

Если вы хотите извлекать и отправлять образы из экземпляра EC2 одной учетной записи в ECR другой учетной записи и не нуждаетесь в полной функциональности aws ecr CLI, вы можете сделать это через докер. Например, если вы хотите, чтобы ваш Jenkins отправлял встроенные образы в ECR на основе целевой среды (производственной, промежуточной), находящейся в разных учетных записях AWS.

Выполнение этого через докер описано на странице https://aws.amazon.com/premiumsupport/knowledge-center/secondary-account-access-ecr/

Проще говоря, в репозитории ECR вы предоставляете другой учетной записи необходимые разрешения.

Затем вы получаете временный токен аутентификации для авторизации докера для ECR через:

$(aws ecr get-login --registry-ids <account ID> --region <your region> --no-include-email)

После этого вы можете использовать docker pull и docker push для доступа к нему.

Вам необходимо установить доверительные отношения между вашей учетной записью a1 и a2.

Из консоли a2 перейдите в службу IAM, создайте новую роль:

1) Доверенная организация: другая учетная запись AWS (введите идентификатор учетной записи a1)

2) Политика: AmazonEC2ContainerRegistryPowerUser (или другие, соответствующие вашим требованиям)

Из консоли a2 перейдите в службу ECR, вам необходимо изменить свое разрешение:

{
      "Sid": "new statement",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<id of a1>:root"
      },
      "Action": "*"
    },
    {
      "Sid": "new statement",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<id of a2>:role/a2.r"
      },
      "Action": "*"
    }
}