Docker Engine daemon.json: omisión do proxy para ECR e S3 privados

Teña en conta as descargas de capas de S3 ao omitir un proxy HTTP para extraccións de imaxes ECR privadas mediante puntos de conexión de VPC.

Unha conexión correcta a un rexistro ECR privado non completa unha extracción de imaxe. ECR fornece o manifesto, mentres que Amazon S3 almacena as capas da imaxe. Por iso, unha omisión de proxy que só cubra o rexistro pode deixar a descarga das capas por outra ruta.

Para o acceso privado mediante puntos de conexión de VPC, comprobe ambas as rutas:

  • O punto de conexión de interface de ECR e a súa configuración de DNS privado.
  • O punto de conexión de S3, as súas táboas de rutas asociadas e a política que permite o acceso ao bucket de capas de ECR.

Despois coloque os nomes de omisión correspondentes no proceso que realiza a extracción. Para un Docker Engine nativo cunha configuración de proxy existente en daemon.json, unha configuración ilustrativa para us-east-2 é:

{
  "proxies": {
    "http-proxy": "http://proxy.example:8080",
    "https-proxy": "http://proxy.example:8080",
    "no-proxy": "123456789012.dkr.ecr.us-east-2.amazonaws.com,prod-us-east-2-starport-layer-bucket.s3.us-east-2.amazonaws.com"
  }
}

Combine as entradas previstas co resto de axustes do daemon e coa lista de omisións existente. Se outras descargas de rexistros públicos poden usar un intermediario público, a lista de proxies HTTP ofrece candidatos para os URL de proxy sen conta; conserve as omisións privadas de ECR e S3. Substitúa a conta, a rexión e o nome de host de descarga de capas polos nomes que realmente usa a extracción. As formas de nomeado de S3 e as configuracións de puntos de conexión poden variar; este exemplo non é unha lista exhaustiva de puntos de conexión de AWS. Aplicar a configuración do daemon require o reinicio previsto do daemon. Docker Desktop usa os seus propios axustes de proxy.

Unha omisión escolle unha ruta directa. Non pode crear un punto de conexión de S3 que falte, anexar unha táboa de rutas, conceder acceso ao bucket nin reparar o DNS privado. Confirme esas dependencias antes de ampliar a omisión a dominios amplos de AWS.

Os axustes de proxy de contedores do cliente Docker non configuran as descargas de imaxes do daemon. Do mesmo xeito, un comando de AWS CLI que obtén credenciais de inicio de sesión de ECR ten a súa propia configuración de proxy; inclúa o seu destino de API se esa solicitude separada tamén necesita acceso privado.

Artigos relacionados