Загрузка образов из ECR: обход прокси при скачивании слоёв S3
Отслеживайте загрузку образов за пределами хоста реестра, когда приватный маршрут ECR всё ещё направляет скачивание слоёв в корпоративный прокси.
Вход в ECR и получение манифеста могут работать, пока слой образа застревает. Amazon ECR хранит слои в S3, и его рекомендации для конечной точки VPC рассматривают ECR API, реестр и путь получения из S3 по отдельности.
- Найдите имя хоста отказавшего слоя.Берите имя хоста из фактического запроса, а не предполагайте, что обход реестра охватывает всю загрузку.
- Определите отправителя.При загрузке Docker проверьте конфигурацию прокси демона. Пример собственного daemon.json Docker Engine держит приватные пути слоёв ECR и S3 вместе. Переменные окружения, предназначенные для нового контейнера приложения, не могут настроить скачивание образа, которое происходит до появления этого контейнера.
- Проверьте предполагаемый путь S3.Сопоставьте записи обхода с региональными именами конечных точек и грамматикой, поддерживаемой клиентом. Приватный DNS, таблицы маршрутизации, политика конечной точки и разрешения также должны поддерживать этот маршрут.
| Наблюдаемый сбой | Что это говорит |
|---|---|
| Отказ прокси | Запрос слоя дошёл до посредника. |
| Тайм-аут прямого подключения | Обход, возможно, выбрал прямое маршрутизирование, но этот маршрут всё ещё может быть непригоден. |
Избегайте замены одного отсутствующего хоста слоя непроверенным исключением для каждой службы в домене провайдера. Прямое исключение не может создать отсутствующий маршрут шлюза.
Используйте запросы фактического образа и текущие инструкции провайдера. Особое содержимое, включая посторонние слои Windows, может добавить другие источники; исторический список разрешённых из двух хостов не обязан их покрывать.