Docker Engine daemon.json: ocolirea proxy-ului pentru ECR și S3 private

Ține cont de descărcările straturilor din S3 când ocolești un proxy HTTP pentru extragerea imaginilor ECR private prin endpoint-uri VPC.

O conexiune reușită la un registru ECR privat nu finalizează extragerea imaginii. ECR furnizează manifestul, iar Amazon S3 stochează straturile imaginii. Prin urmare, o ocolire care acoperă doar registrul poate lăsa descărcarea straturilor pe altă rută.

Pentru acces privat prin endpoint-uri VPC, verifică ambele căi:

  • Endpoint-ul de interfață ECR și configurația DNS privată a acestuia.
  • Endpoint-ul S3, tabelele de rute asociate și politica ce permite accesul la bucket-ul de straturi al ECR.

Apoi pune numele de ocolire relevante pe procesul care face extragerea. Pentru un Docker Engine nativ cu configurație de proxy existentă în daemon.json, o configurație ilustrativă pentru us-east-2 este:

{
  "proxies": {
    "http-proxy": "http://proxy.example:8080",
    "https-proxy": "http://proxy.example:8080",
    "no-proxy": "123456789012.dkr.ecr.us-east-2.amazonaws.com,prod-us-east-2-starport-layer-bucket.s3.us-east-2.amazonaws.com"
  }
}

Combină intrările dorite cu celelalte setări ale daemonului și cu lista de ocolire existentă. Dacă alte descărcări din registre publice pot folosi un intermediar public, lista de proxy-uri HTTP oferă candidați pentru URL-uri de proxy fără cont; păstrează ocolirile pentru ECR privat și S3. Înlocuiește contul, regiunea și hostname-ul de descărcare a straturilor cu numele folosite efectiv de extragere. Formele de denumire S3 și configurațiile de endpoint pot diferi; acest exemplu nu este o listă exhaustivă de endpoint-uri AWS. Aplicarea configurației daemonului necesită repornirea dorită a daemonului. Docker Desktop folosește propriile setări de proxy.

O ocolire alege o rută directă. Nu poate crea un endpoint S3 lipsă, nu poate atașa un tabel de rute, nu poate acorda acces la bucket și nu poate repara DNS-ul privat. Confirmă aceste dependențe înainte de a extinde ocolirea la domenii AWS largi.

Setările de proxy ale containerului din clientul Docker nu configurează descărcările de imagini ale daemonului. De asemenea, o comandă AWS CLI care obține credențiale de autentificare ECR are propria configurație de proxy; include destinația API dacă și acea cerere separată are nevoie de acces privat.

Articole similare