ECS可以在单独的帐户中访问ECR

Question

我正在将 AWS/Terraform 与 ECS 结合使用，并且我有一个设置，其中有多个 AWS 帐户，这些帐户都需要访问单独 AWS 帐户中的 ECR 中包含的 Docker 映像。

在单独的 AWS 帐户（ECR 中包含 Docker 映像的帐户）中，我创建了一个具有访问密钥（ID 和密钥）的用户。

在我的其他 AWS 帐户中，我有 ECS 任务定义，可以在其中指定 Docker 映像的位置，但是，当我运行该任务时，它需要访问其他帐户才能拉取映像。

如何在 Terraform ECS 任务定义中指定从其他帐户提取 Docker 映像，该映像需要使用该其他帐户中用户的访问密钥进行身份验证？

Answer 1

在单独的 AWS 帐户（ECR 中包含 Docker 映像的帐户）中，我创建了一个具有访问密钥（ID 和密钥）的用户。

应使用存储库策略而不是 IAM 用户设置对 ECR 存储库的跨账户访问。此类政策的示例如下。

在 terraform 中，您可以使用aws_ecr_repository_policy设置 ECR 策略。此外，您aws_ecs_task_definition需要指定具有访问其他帐户中的 ECR 存储库的权限的task_role_arn 。