Docker Engine daemon.json: omisión del proxy para ECR y S3 privados

Una conexión correcta a un registro ECR privado no completa la extracción de una imagen. ECR proporciona el manifiesto, mientras que Amazon S3 almacena las capas de la imagen. Por eso, una omisión de proxy que solo cubra el registro puede dejar la descarga de capas por una ruta distinta.

Para el acceso privado mediante puntos de enlace de VPC, compruebe ambas rutas:

• El punto de enlace de interfaz de ECR y su configuración de DNS privado.
• El punto de enlace de S3, sus tablas de rutas asociadas y la política que permite el acceso al bucket de capas de ECR.

Después, coloque los nombres de omisión correspondientes en el proceso que realiza la extracción. Para un Docker Engine nativo con una configuración de proxy existente en daemon.json, una configuración ilustrativa para us-east-2 es:

{
  "proxies": {
    "http-proxy": "http://proxy.example:8080",
    "https-proxy": "http://proxy.example:8080",
    "no-proxy": "123456789012.dkr.ecr.us-east-2.amazonaws.com,prod-us-east-2-starport-layer-bucket.s3.us-east-2.amazonaws.com"
  }
}

Combine las entradas previstas con los demás ajustes del daemon y la lista de omisiones existente. Si otras descargas de registros públicos pueden usar un intermediario público, la lista de proxies HTTP ofrece candidatos para las URL de proxy sin cuenta; conserve las omisiones privadas de ECR y S3. Sustituya la cuenta, la región y el nombre de host de descarga de capas por los nombres que realmente use la extracción. Las formas de nombres de S3 y las configuraciones de puntos de enlace pueden variar; este ejemplo no es una lista exhaustiva de puntos de enlace de AWS. Aplicar la configuración del daemon requiere el reinicio previsto del daemon. Docker Desktop usa sus propios ajustes de proxy.

Una omisión elige una ruta directa. No puede crear un punto de enlace de S3 que falte, adjuntar una tabla de rutas, conceder acceso al bucket ni reparar el DNS privado. Confirme esas dependencias antes de ampliar la omisión a dominios amplios de AWS.

Los ajustes de proxy de contenedores del cliente Docker no configuran las descargas de imágenes del daemon. Del mismo modo, un comando de AWS CLI que obtiene credenciales de inicio de sesión de ECR tiene su propia configuración de proxy; incluya su destino de API si esa solicitud separada también necesita acceso privado.