Docker Engine daemon.json: obcházení proxy pro privátní ECR a S3

Počítejte se stahováním vrstev z S3, když obcházíte HTTP proxy pro stahování privátních imagí z ECR přes koncové body VPC.

Úspěšné připojení k privátnímu registru ECR ještě nedokončí stažení image. Manifest dodává ECR, zatímco vrstvy image uchovává Amazon S3. Obcházení proxy, které pokrývá jen registr, proto může nechat stahování vrstev jinou cestou.

Pro privátní přístup přes koncové body VPC zkontrolujte obě cesty:

  • Koncový bod rozhraní ECR a jeho konfiguraci privátního DNS.
  • Koncový bod S3, k němu přidružené směrovací tabulky a zásadu, která povoluje přístup k bucketu vrstev ECR.

Poté zadejte příslušné názvy pro obcházení procesu, který stahování provádí. Pro nativní Docker Engine s existující konfigurací proxy v daemon.json vypadá ilustrativní konfigurace pro us-east-2 takto:

{
  "proxies": {
    "http-proxy": "http://proxy.example:8080",
    "https-proxy": "http://proxy.example:8080",
    "no-proxy": "123456789012.dkr.ecr.us-east-2.amazonaws.com,prod-us-east-2-starport-layer-bucket.s3.us-east-2.amazonaws.com"
  }
}

Sloučte zamýšlené položky s ostatními nastaveními daemonu a stávajícím seznamem obcházení. Pokud mohou jiná stahování z veřejných registrů používat veřejného prostředníka, seznam HTTP proxy nabízí kandidáty pro proxy URL bez účtu; privátní výjimky pro ECR a S3 zachovejte. Nahraďte účet, region a název hostitele pro stahování vrstev názvy, které stahování skutečně používá. Formy názvů S3 a konfigurace koncových bodů se mohou lišit; tento příklad není vyčerpávajícím seznamem koncových bodů AWS. Použití konfigurace daemonu vyžaduje zamýšlený restart daemonu. Docker Desktop používá vlastní nastavení proxy.

Obcházení volí přímou cestu. Nemůže vytvořit chybějící koncový bod S3, připojit směrovací tabulku, udělit přístup k bucketu ani opravit privátní DNS. Tyto závislosti ověřte, než obcházení rozšíříte na široké domény AWS.

Nastavení proxy kontejnerů v klientu Docker nenastavuje stahování imagí daemonem. Stejně tak příkaz AWS CLI, který získává přihlašovací údaje k ECR, má vlastní konfiguraci proxy; zahrňte jeho cílové API, pokud tento samostatný požadavek také potřebuje privátní přístup.

Související články