ECR-image-pulls: proxyomzeiling voor S3-laagdownloads
Volg image-pulls voorbij de registerhost wanneer een privé-ECR-route laagdownloads nog steeds naar een bedrijfsproxy stuurt.
ECR-login en manifestophaling kunnen werken terwijl een imagelaag vastloopt. Amazon ECR slaat lagen op in S3, en de VPC-endpointrichtlijnen behandelen de ECR-API, het register en het S3-ophaalpad apart.
- Zoek de hostnaam van de mislukte laag.Houd de hostnaam uit het daadwerkelijke verzoek aan in plaats van aan te nemen dat de registeromzeiling de hele pull dekt.
- Lokaliseer de afzender.Inspecteer bij een Docker-pull de proxyconfiguratie van de daemon. Een native Docker Engine daemon.json-voorbeeld houdt de privé-ECR- en S3-laagpaden bij elkaar. Omgevingsvariabelen die voor een nieuwe applicatiecontainer bedoeld zijn, kunnen een imagedownload die plaatsvindt voordat die container bestaat niet configureren.
- Controleer het beoogde S3-pad.Laat omzeilingsvermeldingen overeenkomen met de regionale endpointnamen en de grammatica die de client ondersteunt. Privé-DNS, routetabellen, endpointbeleid en machtigingen moeten dat pad ook ondersteunen.
| Waargenomen fout | Wat het je vertelt |
|---|---|
| Proxyweigering | Het laagverzoek bereikte een tussenpartij. |
| Time-out bij directe verbinding | De omzeiling heeft mogelijk directe routering gekozen, maar dat pad kan nog steeds onbruikbaar zijn. |
Vermijd het vervangen van één ontbrekende laaghost door een niet-beoordeelde uitzondering voor elke service in het domein van de provider. Een directe uitzondering kan geen ontbrekende gateway-route creëren.
Gebruik de verzoeken van de daadwerkelijke image en de huidige instructies van de provider. Bijzondere inhoud, waaronder buitenlandse Windows-lagen, kan andere bronnen introduceren; een historische allowlist met twee hosts hoeft die niet te dekken.