aws-ecr-http-proxy

镜像概述和主要用途

一个基于nginx的简单推拉代理，用于将请求转发至AWS ECR（Amazon Elastic Container Registry）并在本地缓存响应。通过本地缓存可减少重复请求，提升镜像拉取速度并降低带宽消耗。

核心功能和特性

• 请求转发：支持镜像的推拉（push/pull）操作，将请求转发至AWS ECR
• 本地缓存：缓存AWS ECR的响应，减少重复访问
• 令牌刷新：自动处理AWS ECR的认证令牌刷新
• 灵活配置：通过环境变量自定义代理参数
• 安全支持：可启用SSL/TLS加密传输
• 认证方式：支持AWS访问密钥认证或EC2角色认证

使用场景和适用范围

• 需要提升AWS ECR访问速度的环境
• 多节点共享镜像拉取需求，减少重复带宽消耗
• 需要本地缓存镜像以应对网络不稳定的场景
• 需统一管理AWS ECR访问入口的企业环境

配置说明

代理通过Docker容器部署，可通过以下环境变量进行配置：

使用方法和部署示例

Docker Run示例

sh
docker run -d --name docker-registry-proxy --net=host \
  -v /registry/local-storage/cache:/cache \
  -v /registry/certificate.pem:/opt/ssl/certificate.pem \
  -v /registry/key.pem:/opt/ssl/key.pem \
  -e PORT=5000 \
  -e RESOLVER=8.8.8.8 \
  -e UPSTREAM=[***] \
  -e AWS_ACCESS_KEY_ID=${AWS_ACCESS_KEY_ID} \
  -e AWS_SECRET_ACCESS_KEY=${AWS_SECRET_ACCESS_KEY} \
  -e AWS_REGION=${AWS_DEFAULT_REGION} \
  -e CACHE_MAX_SIZE=100g \
  -e ENABLE_SSL=true \
  -e REGISTRY_HTTP_TLS_KEY=/opt/ssl/key.pem \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/opt/ssl/certificate.pem \
  esailors/aws-ecr-http-proxy:latest

若在"registry-proxy.example.com"上运行此命令，可通过docker pull registry-proxy.example.com:5000/repo/image拉取镜像。

Ansible部署

根据需求修改ansible角色变量，然后运行playbook：

sh
ansible-playbook -i hosts playbook-docker-registry-proxy.yaml

如需启用SSL/TLS，请将有效证书替换为roles/docker-registry-proxy/files/*.pem中的文件。

SSL/TLS注意事项

代理默认使用HTTP协议。为避免Docker客户端报错，可选择以下方式：

• （推荐）使用ENABLE_SSL配置启用SSL/TLS。需将有效证书/密钥挂载到容器中，并通过REGISTRY_HTTP_TLS_*变量指定路径。
• 在客户端守护进程配置中将注册表主机标记为不安全。