Récupérations d'images ECR : contournement du proxy pour les téléchargements de couches S3
Suivez les récupérations d'images au-delà de l'hôte du registre lorsqu'une route ECR privée envoie encore les téléchargements de couches vers un proxy d'entreprise.
La connexion à ECR et la récupération du manifeste peuvent fonctionner alors qu'une couche d'image bloque. Amazon ECR stocke les couches dans S3, et ses recommandations de point de terminaison VPC traitent séparément l'API ECR, le registre et le chemin de récupération S3.
- Identifiez le nom d'hôte de la couche en échec.Conservez le nom d'hôte de la requête réelle au lieu de supposer que le contournement du registre couvre toute la récupération.
- Localisez l'émetteur.Pour une récupération Docker, inspectez la configuration proxy du démon. Un exemple natif de daemon.json pour Docker Engine garde ensemble les chemins privés des couches ECR et S3. Les variables d'environnement destinées à un nouveau conteneur d'application ne peuvent pas configurer un téléchargement d'image qui se produit avant l'existence de ce conteneur.
- Vérifiez le chemin S3 prévu.Faites correspondre les entrées de contournement aux noms régionaux des points de terminaison et à la grammaire prise en charge par le client. Le DNS privé, les tables de routage, la politique du point de terminaison et les autorisations doivent aussi prendre en charge cette route.
| Échec observé | Ce qu'il vous indique |
|---|---|
| Rejet par le proxy | La requête de couche a atteint un intermédiaire. |
| Délai de connexion directe | Le contournement a peut-être choisi un routage direct, mais cette route peut rester inutilisable. |
Évitez de remplacer un seul hôte de couche manquant par une exception non vérifiée pour chaque service du domaine du fournisseur. Une exception directe ne peut pas créer une route de passerelle manquante.
Utilisez les requêtes de l'image réelle et les instructions actuelles du fournisseur. Des contenus particuliers, notamment des couches Windows étrangères, peuvent introduire d'autres sources ; une liste d'autorisation historique de deux hôtes n'a pas à les couvrir.