Extragerea imaginilor ECR: ocolirea proxy-ului pentru descărcarea straturilor S3
Urmăriți extragerile de imagini dincolo de gazda registrului atunci când o rută ECR privată trimite în continuare descărcările straturilor către un proxy corporativ.
Autentificarea în ECR și obținerea manifestului pot funcționa în timp ce un strat al imaginii se blochează. Amazon ECR stochează straturile în S3, iar îndrumările sale pentru endpointul VPC tratează separat API-ul ECR, registrul și calea de obținere din S3.
- Găsiți numele de gazdă al stratului eșuat.Păstrați numele de gazdă din cererea reală în loc să presupuneți că ocolirea registrului acoperă întreaga extragere.
- Localizați expeditorul.La o extragere Docker, inspectați configurația de proxy a daemonului. Un exemplu nativ de daemon.json pentru Docker Engine ține împreună căile private ale straturilor ECR și S3. Variabilele de mediu destinate unui container nou de aplicație nu pot configura o descărcare de imagine care are loc înainte ca acel container să existe.
- Verificați calea S3 dorită.Potriviți intrările de ocolire cu numele regionale ale endpointurilor și cu gramatica acceptată de client. DNS-ul privat, tabelele de rutare, politica endpointului și permisiunile trebuie să sprijine și ele acea rută.
| Eșec observat | Ce vă spune |
|---|---|
| Respingere din partea proxy-ului | Cererea pentru strat a ajuns la un intermediar. |
| Expirarea conexiunii directe | Ocolirea poate fi ales rutarea directă, dar acea rută poate fi în continuare inutilizabilă. |
Evitați înlocuirea unei singure gazde de strat lipsă cu o excepție nerevizuită pentru fiecare serviciu din domeniul furnizorului. O excepție directă nu poate crea o rută de gateway lipsă.
Folosiți cererile imaginii reale și instrucțiunile actuale ale furnizorului. Conținuturile speciale, inclusiv straturile Windows străine, pot introduce alte surse; o listă de permisiuni istorică cu două gazde nu trebuie să le acopere.