Amazon ECR 프라이빗 레지스트리 정책 예제

다음 예는 사용자가 Amazon ECR 레지스트리에 대해 갖는 권한을 제어하는 데 사용할 수 있는 레지스트리 권한 정책 문을 보여줍니다.

참고

각 예에서 레지스트리 정책에서 ecr:CreateRepository 작업을 제거해도 복제는 계속 발생할 수 있습니다. 그러나 복제가 성공하려면 계정 내에서 같은 이름의 리포지토리를 생성해야 합니다.

출처: 문서

본문

예제: 소스 계정의 모든 IAM 보안 주체가 모든 리포지토리를 복제하도록 허용

다음 레지스트리 권한 정책은 소스 계정의 모든 IAM 보안 주체(사용자 및 역할)가 모든 리포지토리를 복제할 수 있도록 허용합니다.

다음 사항을 참고하세요.

중요

정책에서 AWS 계정 ID를 보안 주체로 지정하면 루트 사용자뿐만 아니라 해당 계정의 모든 IAM 사용자와 역할에 접근 권한을 부여합니다. 이는 전체 계정에 걸쳐 광범위한 접근을 제공합니다.

보안 고려 사항

계정 수준 권한은 지정된 계정의 모든 IAM 엔터티에 대한 접근을 부여합니다. 더 제한적인 접근을 원한다면 개별 IAM 사용자, 역할을 지정하거나 조건 문을 사용해 접근을 더 제한하세요.

JSON

{
    "Version":"2012-10-17",
    "Statement":[
        {
            "Sid":"ReplicationAccessCrossAccount",
            "Effect":"Allow",
            "Principal":{
                "AWS":"arn:aws:iam::111122223333:root"
            },
            "Action":[
                "ecr:CreateRepository",
                "ecr:ReplicateImage"
            ],
            "Resource": [
                "arn:aws:ecr:us-west-2:444455556666:repository/*"
            ]
        }
    ]
}

예제: 여러 계정의 IAM 보안 주체 허용

다음 레지스트리 권한 정책은 두 개의 문을 갖습니다. 각 문은 소스 계정의 모든 IAM 보안 주체(사용자 및 역할)가 모든 리포지토리를 복제할 수 있도록 허용합니다.

JSON

{
    "Version":"2012-10-17",
    "Statement":[
        {
            "Sid":"ReplicationAccessCrossAccount1",
            "Effect":"Allow",
            "Principal":{
                "AWS":"arn:aws:iam::111122223333:root"
            },
            "Action":[
                "ecr:CreateRepository",
                "ecr:ReplicateImage"
            ],
            "Resource": [
                "arn:aws:ecr:us-west-2:123456789012:repository/*"
            ]
        },
        {
            "Sid":"ReplicationAccessCrossAccount2",
            "Effect":"Allow",
            "Principal":{
                "AWS":"arn:aws:iam::444455556666:root"
            },
            "Action":[
                "ecr:CreateRepository",
                "ecr:ReplicateImage"
            ],
            "Resource": [
                "arn:aws:ecr:us-west-2:123456789012:repository/*"
            ]
        }
    ]
}

예제: 소스 계정의 모든 IAM 보안 주체가 prod- 접두사로 시작하는 모든 리포지토리를 복제하도록 허용

다음 레지스트리 권한 정책은 소스 계정의 모든 IAM 보안 주체(사용자 및 역할)가 prod-로 시작하는 모든 리포지토리를 복제할 수 있도록 허용합니다.

JSON

{
    "Version":"2012-10-17",
    "Statement":[
        {
            "Sid":"ReplicationAccessCrossAccount",
            "Effect":"Allow",
            "Principal":{
                "AWS":"arn:aws:iam::111122223333:root"
            },
            "Action":[
                "ecr:CreateRepository",
                "ecr:ReplicateImage"
            ],
            "Resource": [
                "arn:aws:ecr:us-west-2:444455556666:repository/prod-*"
            ]
        }
    ]
}

더 알아보기 (Learn more)

Amazon ECR 프라이빗 레지스트리 권한
Amazon ECR 프라이빗 이미지 복제
Amazon ECR 보안