Docker Engine daemon.json: proxy-bypass för privat ECR och S3

Ta hänsyn till S3-lagnedsladdningar när du kringgår en HTTP-proxy för privata ECR-imagehämtningar via VPC-slutpunkter.

En lyckad anslutning till ett privat ECR-register slutför inte en imagehämtning. ECR levererar manifestet, medan Amazon S3 lagrar imagelagren. En bypass som bara täcker registret kan därför lämna lagnedsladdningen på en annan väg.

För privat åtkomst via VPC-slutpunkter, kontrollera båda vägarna:

  • ECR-gränssnittsslutpunkten och dess privata DNS-konfiguration.
  • S3-slutpunkten, tillhörande rutttabeller och policyn som tillåter åtkomst till ECR:s lagringskorg för lager.

Lägg sedan de relevanta bypass-namnen på processen som utför hämtningen. För en inbyggd Docker Engine med befintlig proxykonfiguration i daemon.json är en illustrativ konfiguration för us-east-2:

{
  "proxies": {
    "http-proxy": "http://proxy.example:8080",
    "https-proxy": "http://proxy.example:8080",
    "no-proxy": "123456789012.dkr.ecr.us-east-2.amazonaws.com,prod-us-east-2-starport-layer-bucket.s3.us-east-2.amazonaws.com"
  }
}

Slå ihop de avsedda posterna med daemonens övriga inställningar och den befintliga bypass-listan. Om andra nedladdningar från offentliga register kan använda en offentlig mellanhand, ger HTTP-proxylistan kandidater för proxy-URL:er utan konto; behåll bypassarna för privat ECR och S3. Ersätt konto, region och hostname för lagnedladdning med namnen som hämtningen faktiskt använder. S3-namnformer och slutpunktskonfigurationer kan variera; det här exemplet är inte en uttömmande lista över AWS-slutpunkter. Att tillämpa daemonkonfigurationen kräver den avsedda daemon-omstarten. Docker Desktop använder sina egna proxyinställningar.

En bypass väljer en direkt väg. Den kan inte skapa en saknad S3-slutpunkt, koppla en rutttabell, bevilja korgåtkomst eller reparera privat DNS. Bekräfta dessa beroenden innan du utökar bypassen till breda AWS-domäner.

Docker-klientens containerproxyinställningar konfigurerar inte daemonens imagenladdningar. På samma sätt har ett AWS CLI-kommando som hämtar ECR-inloggningsuppgifter sin egen proxykonfiguration; inkludera dess API-mål om den separata begäran också behöver privat åtkomst.

Relaterade artiklar