Extraccions d'imatges d'ECR: bypass del proxy per a baixades de capes d'S3
Segueix les extraccions d'imatges més enllà de l'amfitrió del registre quan una ruta privada d'ECR encara envia les baixades de capes cap a un proxy corporatiu.
L'inici de sessió a ECR i l'obtenció del manifest poden funcionar mentre una capa d'imatge s'encalla. Amazon ECR desa les capes a S3, i la seva guia de punts de connexió de VPC tracta per separat l'API d'ECR, el registre i la ruta d'obtenció d'S3.
- Troba el nom d'amfitrió de la capa fallida.Conserva el nom d'amfitrió de la petició real en lloc de suposar que el bypass del registre cobreix tota l'extracció.
- Localitza l'emissor.En una extracció de Docker, inspecciona la configuració de proxy del dimoni. Un exemple natiu de daemon.json de Docker Engine manté juntes les rutes privades de capes d'ECR i d'S3. Les variables d'entorn pensades per a un contenidor d'aplicació nou no poden configurar una baixada d'imatge que passa abans que existeixi aquest contenidor.
- Comprova la ruta d'S3 prevista.Fes coincidir les entrades de bypass amb els noms regionals dels punts de connexió i la gramàtica que admet el client. El DNS privat, les taules d'encaminament, la política del punt de connexió i els permisos també han de donar suport a aquesta ruta.
| Fallada observada | Què t'indica |
|---|---|
| Rebuig del proxy | La petició de la capa va arribar a un intermediari. |
| Temps d'espera de connexió directa | El bypass pot haver triat encaminament directe, però aquesta ruta encara pot ser inutilitzable. |
Evita substituir un sol amfitrió de capa desaparegut per una excepció no revisada per a cada servei del domini del proveïdor. Una excepció directa no pot crear una ruta de passarel·la que falta.
Utilitza les peticions de la imatge real i les instruccions actuals del proveïdor. Els continguts especials, incloent-hi capes de Windows estrangeres, poden introduir altres fonts; una llista d'autorització històrica de dos amfitrions no cal que les cobreixi.