允许从ECR ECR.DKR VPC端点拉出，但不推动？

Question

在其附件策略中，可以允许从但不推入Docker API VPC端点（com.amazonaws。

除“*”之外，我找不到任何支持操作的参考，是否有一种方法可以指定拉力？还是通过条件的东西？

Answer 1

是的，您可以通过VPC端点策略实现这一目标。

这是文档）的示例。该政策使特定的IAM角色可以从Amazon ECR中汲取图像：

{
    "Statement": [{
        "Sid": "AllowPull",
        "Principal": {
            "AWS": "arn:aws:iam::1234567890:role/role_name"
        },
        "Action": [
            "ecr:BatchGetImage",
            "ecr:GetDownloadUrlForLayer",
            "ecr:GetAuthorizationToken"
        ],
        "Effect": "Allow",
        "Resource": "*"
    }]
}

Answer 2

在AWS控制台中，将您的实例（也许所有可能的安全组）使用的安全组添加到VPC端点。