ECR 镜像拉取：绕过代理下载 S3 层
当私有 ECR 路由仍将层下载发往企业代理时，沿镜像拉取追踪注册表主机之外的部分。
ECR 登录和清单获取可能正常，而镜像层却卡住。Amazon ECR 将层存储在 S3 中，其 VPC 终端节点指南将 ECR API、注册表和 S3 获取路径分开处理。
- 找出失败层的主机名。从实际请求中保留主机名，而不是假设注册表绕过覆盖了整次拉取。
- 定位发送方。对于 Docker 拉取，检查守护进程的代理配置。一个 原生 Docker Engine daemon.json 示例 将私有 ECR 和 S3 层路径放在一起。为新的应用容器准备的环境变量无法配置在该容器存在之前发生的镜像下载。
- 检查预期的 S3 路径。将绕过条目与区域端点名称以及客户端支持的语法相匹配。私有 DNS、路由表、终端节点策略和权限也必须支持该路径。
| 观察到的故障 | 它说明了什么 |
|---|---|
| 代理拒绝 | 层请求到达了中间环节。 |
| 直连超时 | 绕过可能选择了直接路由，但该路径仍可能不可用。 |
避免用一个未经审查的例外替换缺失的层主机，从而覆盖提供商域名中的每项服务。直接例外无法创建缺失的网关路由。
使用实际镜像的请求和提供商当前的说明。特殊内容（包括外部 Windows 层）可能引入其他来源；历史上的双主机允许列表不必覆盖它们。