仅允许 ECR 请求的安全组出口规则

Question

当使用 ECR 存储用于 ECS 的容器映像时，EC2 实例（或 Fargate 服务）必须有一个安全组，允许（通过公共互联网）访问特定于帐户的存储库 URI。

许多组织都有严格的 IP 白名单规则，通常不允许为所有 IP 启用出站端口 443。

没有可用于 ECR 的 VPC 端点接口/网关，并且大概像大多数 AWS 服务一样，它的 IP 地址是弹性的并且可以随时更改。

那么如何将出口规则添加到允许通过端口 443 出站访问 ECR URI 的安全组，而不将其开放给所有 IP 地址？

Answer 1

尽管端点的 IP 地址可以更改，但它只会更改为相当大的 CIDR 块中的另一个 IP 地址。亚马逊在 .json 文件中发布了所有 IP 地址范围，可在此处获取：

您可以将其范围缩小到您部署到的区域中 EC2 和 AMAZON 服务的 IP 地址范围。虽然范围相当大。