Docker Engine daemon.json: bypass del proxy per ECR e S3 privati

Tenete conto dei download dei layer S3 quando aggirate un proxy HTTP per estrazioni di immagini ECR private tramite endpoint VPC.

Una connessione riuscita a un registro ECR privato non completa un'estrazione di immagine. ECR fornisce il manifest, mentre Amazon S3 memorizza i layer dell'immagine. Un bypass del proxy che copre solo il registro può quindi lasciare il download dei layer su un percorso diverso.

Per l'accesso privato tramite endpoint VPC, controllate entrambi i percorsi:

  • L'endpoint di interfaccia ECR e la sua configurazione DNS privata.
  • L'endpoint S3, le relative tabelle di routing e la policy che consente l'accesso al bucket dei layer di ECR.

Poi inserite i nomi di bypass pertinenti nel processo che esegue l'estrazione. Per un Docker Engine nativo con una configurazione proxy esistente in daemon.json, una configurazione illustrativa per us-east-2 è:

{
  "proxies": {
    "http-proxy": "http://proxy.example:8080",
    "https-proxy": "http://proxy.example:8080",
    "no-proxy": "123456789012.dkr.ecr.us-east-2.amazonaws.com,prod-us-east-2-starport-layer-bucket.s3.us-east-2.amazonaws.com"
  }
}

Unite le voci previste con le altre impostazioni del daemon e con l'elenco di bypass esistente. Se altri download da registri pubblici possono usare un intermediario pubblico, la lista di proxy HTTP fornisce candidati per gli URL proxy senza account; conservate le eccezioni private per ECR e S3. Sostituite l'account, la regione e il nome host del download dei layer con i nomi realmente usati dall'estrazione. Le forme dei nomi S3 e le configurazioni degli endpoint possono variare; questo esempio non è un elenco esaustivo degli endpoint AWS. Applicare la configurazione del daemon richiede il previsto riavvio del daemon. Docker Desktop usa le proprie impostazioni proxy.

Un bypass sceglie un percorso diretto. Non può creare un endpoint S3 mancante, collegare una tabella di routing, concedere l'accesso al bucket o riparare il DNS privato. Confermate queste dipendenze prima di estendere il bypass a domini AWS ampi.

Le impostazioni proxy dei container nel client Docker non configurano i download delle immagini del daemon. Allo stesso modo, un comando AWS CLI che ottiene credenziali di accesso ECR ha una propria configurazione proxy; includete la sua destinazione API se anche quella richiesta separata necessita di accesso privato.

Articoli correlati