crusherd/aws-ecr-proxy-rootless

aws-ecr-proxy-rootless

https://github.com/CrusheRDevourer/aws-ecr-proxy-rootless

镜像概述

这是一个简单的Nginx推送/拉取代理镜像，用于转发请求到AWS ECR并在本地缓存响应。本镜像为原仓库的分支，新增了以下特性：

• 支持以非root用户运行（兼容OpenShift、ROSA等平台）
• 迁移至企业级Linux基础镜像（AlmaLinux 9）
• 包含用于Kubernetes集群部署的Helm Chart（基于evryfs的ecr-proxy Chart）

核心功能

1. 转发Docker镜像推送/拉取请求到AWS ECR
2. 本地缓存镜像响应，提升访问速度
3. 无root运行，适配严格权限控制的环境
4. 提供Helm Chart，简化Kubernetes部署

使用场景

• 需要加速AWS ECR镜像拉取速度的场景
• 在要求非root运行的平台（如OpenShift）中部署ECR代理
• 企业内部需要统一管理ECR镜像访问的场景

配置说明

镜像可通过以下环境变量配置：

部署示例

Docker运行示例

sh
docker run -d --name docker-registry-proxy --net=host \
  -v /registry/local-storage/cache:/cache \
  -v /registry/certificate.pem:/opt/ssl/certificate.pem \
  -v /registry/key.pem:/opt/ssl/key.pem \
  -e PORT=5005 \
  -e RESOLVER=8.8.8.8 \
  -e UPSTREAM=https://XXXXXXXXXX.dkr.ecr.eu-central-1.amazonaws.com \
  -e AWS_ACCESS_KEY_ID=${AWS_ACCESS_KEY_ID} \
  -e AWS_SECRET_ACCESS_KEY=${AWS_SECRET_ACCESS_KEY} \
  -e AWS_REGION=${AWS_DEFAULT_REGION} \
  -e CACHE_MAX_SIZE=100g \
  -e ENABLE_SSL=true \
  -e REGISTRY_HTTP_TLS_KEY=/opt/ssl/key.pem \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/opt/ssl/certificate.pem \
  crusherd/aws-ecr-proxy-rootless:latest

若在registry-proxy.example.com上运行该命令，可通过docker pull registry-proxy.example.com:5005/repo/image拉取镜像。

Kubernetes Helm部署

使用社区维护的Helm Chart部署：

shell
helm repo add evryfs-oss https://evryfs.github.io/helm-charts/
helm install ecr-proxy evryfs-oss/ecr-proxy --namespace ecr-proxy --create-namespace

配置参数可参考https://github.com/evryfs/helm-charts/blob/master/charts/ecr-proxy/values.yaml%E3%80%82

SSL/TLS注意事项

代理默认使用HTTP协议。为避免Docker客户端报错，可选择以下方式：

• 推荐：通过ENABLE_SSL启用SSL/TLS，需将有效证书和密钥挂载到容器，并通过REGISTRY_HTTP_TLS_*变量指定路径。
• 在Docker客户端的https://docs.docker.com/registry/insecure/%E4%B8%AD%E6%A0%87%E8%AE%B0%E8%AF%A5 registry 为不安全。