frekele/aws-ecr-kubectl

frekele/aws-ecr-kubectl 镜像说明

镜像概述

该Docker镜像整合了aws-cli和kubectl工具，核心用途是在Kubernetes集群中定期更新AWS ECR（弹性容器 registry）的访问凭证，解决ECR凭证有效期短的问题，保障集群持续拉取ECR镜像的能力。

核心功能

1. 内置aws-cli：支持与AWS服务交互，获取ECR授权令牌
2. 内置kubectl：用于管理Kubernetes集群中的凭证资源
3. 定时任务支持：可配置周期性更新ECR凭证到指定K8s命名空间

使用场景

适用于依赖AWS ECR作为镜像仓库的Kubernetes集群，通过自动更新凭证避免因凭证过期导致的镜像拉取失败。

配置说明

1. 准备AWS凭证

修改aws-ecr-secrets.yml文件，填写Base64编码后的AWS凭证：

• aws-access-key-id: 你的AWS访问密钥ID（Base64编码）
• aws-secret-access-key: 你的AWS秘密访问密钥（Base64编码）
  编码示例：

bash
echo -n 'YOUR-AWS-ACCESS-KEY-ID' | base64
echo -n 'YOUR-AWS-SECRET-ACCESS-KEY' | base64

2. 配置环境变量

修改ecr-cron.yml文件中的环境变量：

• AWS_ACCOUNT: 你的AWS账号ID
• AWS_REGION: 你的AWS区域（如us-east-1）
• NAMESPACES: 需要更新凭证的K8s命名空间（多个用空格分隔，如infrastructure default）

3. 部署与验证

执行配置脚本：

bash
./config-aws.sh

查看定时任务状态：

bash
kubectl get cronjobs -n infrastructure

4. AWS IAM权限要求

确保AWS账号拥有以下权限：

json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecr:DescribeImages",
                "ecr:BatchGetImage"
            ],
            "Resource": ["*"]
        }
    ]
}

参考来源

基于博客文章：How to configure and use AWS ECR with Kubernetes (Rancher2.0)