nabsul/k8s-ecr-login-renew

k8s-ecr-login-renew 镜像文档

镜像概述和主要用途

本镜像提供的工具用于解决AWS ECR（Elastic Container Registry）Docker登录凭证每12小时自动过期的问题。通过自动化流程定期从AWS ECR获取最新登录凭证，并将其存储到Kubernetes Secret中，确保Kubernetes集群持续有权限拉取ECR中的容器镜像，避免因凭证过期导致的服务部署中断。

核心功能和特性

• 凭证自动续期：通过AWS访问密钥从AWS ECR获取最新的Docker登录凭证，解决每12小时过期问题
• Kubernetes集成：将获取的Docker凭证自动保存到指定的Kubernetes Secret，供集群内Pod拉取镜像时使用
• 定时任务支持：设计为可作为Kubernetes CronJob运行，支持按周期（如每12小时）自动执行，实现无人值守的凭证刷新

使用场景和适用范围

• 适用环境：使用AWS ECR作为容器镜像仓库的Kubernetes集群
• 核心场景：生产环境、测试环境中依赖ECR镜像的Kubernetes部署，需长期稳定拉取镜像的场景
• 用户对象：Kubernetes集群管理员、DevOps工程师、云原生应用运维人员

使用方法和配置说明

前提条件

1. 已配置具有ECR访问权限的AWS访问密钥（AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY），需包含ecr:GetAuthorizationToken权限
2. Kubernetes集群已运行，且当前用户具有创建/更新Secret和CronJob资源的权限

部署为Kubernetes CronJob示例

推荐通过Kubernetes CronJob实现定时运行，以下为基础配置示例（需根据实际环境调整参数）：

yaml
apiVersion: batch/v1
kind: CronJob
metadata:
  name: ecr-credential-renewer
  namespace: default  # 根据实际需求调整命名空间
spec:
  schedule: "0 */12 * * *"  # 每12小时执行一次，与ECR凭证有效期匹配
  concurrencyPolicy: Forbid  # 禁止并发执行
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: ecr-credential-renewer
            image: nabsul/k8s-ecr-login-renew:latest  # 替换为实际镜像标签
            env:
            - name: AWS_ACCESS_KEY_ID
              valueFrom:
                secretKeyRef:
                  name: aws-ecr-credentials  # 存储AWS密钥的Kubernetes Secret名称
                  key: access-key-id
            - name: AWS_SECRET_ACCESS_KEY
              valueFrom:
                secretKeyRef:
                  name: aws-ecr-credentials
                  key: secret-access-key
            - name: ECR_REGISTRY_ID
              value: "123456789012"  # 替换为AWS账户ID（ECR仓库所属账户）
            - name: KUBERNETES_SECRET_NAME
              value: "ecr-docker-creds"  # 目标Kubernetes Secret名称，用于存储Docker凭证
            - name: KUBERNETES_NAMESPACE
              value: "default"  # 存储凭证的Secret所在命名空间
          restartPolicy: OnFailure  # 任务失败时重启容器
          serviceAccountName: ecr-renewer-sa  # 需绑定具有Secret管理权限的ServiceAccount

环境变量配置说明

更多配置信息

详细的部署指南、权限配置及高级用法可参考项目GitHub仓库：https://github.com/nabsul/k8s-ecr-login-renew