Docker Engine daemon.json: exempció del proxy per a ECR i S3 privats

Tingueu en compte les baixades de capes d'S3 quan excepcioneu un proxy HTTP per a extraccions d'imatges ECR privades mitjançant punts finals de VPC.

Una connexió correcta a un registre ECR privat no completa una extracció d'imatge. ECR subministra el manifest, mentre que Amazon S3 emmagatzema les capes de la imatge. Per tant, una exempció de proxy que només cobreixi el registre pot deixar la baixada de capes per una altra ruta.

Per a l'accés privat mitjançant punts finals de VPC, comproveu tots dos camins:

  • El punt final d'interfície d'ECR i la seva configuració de DNS privat.
  • El punt final d'S3, les seves taules de rutes associades i la política que permet accedir al bucket de capes d'ECR.

Després poseu els noms d'exempció corresponents al procés que fa l'extracció. Per a un Docker Engine natiu amb una configuració de proxy existent a daemon.json, una configuració il·lustrativa per a us-east-2 és:

{
  "proxies": {
    "http-proxy": "http://proxy.example:8080",
    "https-proxy": "http://proxy.example:8080",
    "no-proxy": "123456789012.dkr.ecr.us-east-2.amazonaws.com,prod-us-east-2-starport-layer-bucket.s3.us-east-2.amazonaws.com"
  }
}

Combineu les entrades previstes amb la resta d'ajustos del daemon i la llista d'exempcions existent. Si altres baixades de registres públics poden utilitzar un intermediari públic, la llista de proxys HTTP ofereix candidats per als URL de proxy sense compte; conserveu les exempcions privades d'ECR i S3. Substituïu el compte, la regió i el nom d'amfitrió de baixada de capes pels noms que realment utilitza l'extracció. Les formes de nomenclatura d'S3 i les configuracions de punts finals poden variar; aquest exemple no és una llista exhaustiva de punts finals d'AWS. Aplicar la configuració del daemon requereix el reinici previst del daemon. Docker Desktop utilitza les seves pròpies opcions de proxy.

Una exempció tria una ruta directa. No pot crear un punt final d'S3 que falta, adjuntar una taula de rutes, concedir accés al bucket ni reparar el DNS privat. Confirmeu aquestes dependències abans d'ampliar l'exempció a dominis amplis d'AWS.

La configuració de proxy de contenidors del client Docker no configura les baixades d'imatges del daemon. De la mateixa manera, una ordre d'AWS CLI que obté credencials d'inici de sessió d'ECR té la seva pròpia configuració de proxy; incloeu la seva destinació d'API si aquesta petició separada també necessita accés privat.

Articles relacionats