catalinpan/aws-ecr-proxy

AWS ECR***代理镜像

镜像概述

该镜像基于官方Nginx Alpine构建，用于实现AWS ECR（弹性容器Registry）的***代理功能，支持自动每6小时更新AWS访问令牌，帮助用户无需直接暴露AWS凭证即可安全访问ECR Registry。

核心功能

1. 自动令牌更新：默认每6小时（可通过RENEW_TOKEN变量调整）刷新AWS ECR访问令牌
2. 多凭证获取方式：支持环境变量、挂载AWS配置文件、IAM角色三种凭证来源
3. 健康检查：提供FQDN/ping端点获取Registry健康状态及状态码
4. SSL支持：可使用自定义证书或通过负载均衡器配置SSL

使用场景

• ***访问AWS ECR Registry的场景
• 跨账户访问ECR（通过REGISTRY_ID变量配置）
• Kubernetes集群中简化ECR镜像拉取流程
• AWS实例利用IAM角色安全访问ECR，无需手动配置凭证

配置说明

环境变量

AWS_KEY：AWS访问密钥（可选，IAM角色/配置文件模式无需填写）
AWS_SECRET：AWS秘密密钥（可选）
REGION：AWS区域（可选，IAM角色模式可自动发现）
RENEW_TOKEN：令牌更新间隔，默认6h
REGISTRY_ID：可选，跨账户访问ECR的Registry ID

健康检查

访问FQDN/ping端点可获取Registry健康状态及正确状态码。

凭证优先级

容器按以下顺序检查凭证：

1. 挂载的秘密文件
2. 运行时环境变量
3. IAM角色（AWS实例环境） 无凭证时容器无法启动，可通过docker logs CONTAINER_ID查看日志。

Docker部署示例

无SSL配置

需添加不安全Registry URL或使用带SSL的负载均衡器：

bash
docker run -e AWS_SECRET='YOUR_AWS_SECRET' \
-e AWS_KEY='YOUR_AWS_KEY' \
-e REGION='YOUR_AWS_REGION' \
-d docker.xuanyuan.run/catalinpan/aws-ecr-proxy

带自定义SSL证书

bash
docker run -e AWS_SECRET='YOUR_AWS_SECRET' \
-e AWS_KEY='YOUR_AWS_KEY' \
-e REGION='YOUR_AWS_REGION' \
-v `pwd`/YOUR_CERTIFICATE.key:/etc/nginx/ssl/default.key:ro \
-v `pwd`/YOUR_CERTIFICATE.crt:/etc/nginx/ssl/default.crt:ro \
-d docker.xuanyuan.run/catalinpan/aws-ecr-proxy

使用AWS配置文件

挂载本地AWS配置文件：

bash
docker run -v ~/.aws:/root/.aws:ro \
-v `pwd`/YOUR_CERTIFICATE.key:/etc/nginx/ssl/default.key:ro \
-v `pwd`/YOUR_CERTIFICATE.crt:/etc/nginx/ssl/default.crt\:ro \
-d docker.xuanyuan.run/catalinpan/aws-ecr-proxy

使用IAM角色

AWS实例上利用IAM角色访问：

bash
# 自动发现区域和凭证
docker run -d docker.xuanyuan.run/catalinpan/aws-ecr-proxy

# 指定区域，凭证来自IAM角色
docker run -e REGION='YOUR_AWS_REGION' -d docker.xuanyuan.run/catalinpan/aws-ecr-proxy

SSL说明

镜像默认证书仅用于启动Nginx，请生成自定义证书、使用有效证书或通过负载均衡器配置SSL。

生成自签名证书

bash
openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout default.key -out default.crt

Kubernetes示例

Kubernetes配置含健康检查，可将AWS配置和SSL证书作为Secret挂载：

• Deployment和Service：需配置有效SSL或置于带SSL的负载均衡器后
• DaemonSet：所有节点部署，Pod可通过127.0.0.1:5000/容器名:标签访问ECR镜像