tozny/rancher-ecr-credentials

Rancher ECR 凭证更新器

https://img.shields.io/badge/license-Apache_License_2.0-blue.svg](https://github.com/rancher/rancher-ecr-credentials/blob/master/LICENSE)

镜像概述

这是一个 Docker 容器，用于更新 Rancher 中 Amazon Elastic Container Registry (ECR) 的 Docker registry 凭证。由 Object Partners 的 John Engelman 最初贡献。

核心功能

1. 自动更新 Rancher 中的 ECR 临时凭证（有效期 12 小时）
2. 支持 AWS 凭证链加载（IAM 角色、环境变量、共享凭证文件、EC2 实例配置文件）
3. 兼容 ECR 代理（通过 ECR_PROXY_HOST 指定自定义 registry 域名）
4. 自动创建 Rancher 中的 ECR registry（设置 AUTO_CREATE=true）
5. 支持多 ECR 账户（通过 AWS_ECR_REGISTRY_IDS 指定多个账户 ID）
6. 每 6 小时循环刷新凭证

使用场景

1. Rancher 环境中需要拉取或推送 Amazon ECR 镜像时，自动维护有效凭证
2. 需要使用自定义域名访问 ECR 时（通过 ECR 代理）
3. 多 AWS 账户下管理多个 ECR registry 的凭证
4. 非 Rancher 管理环境中手动配置 Rancher 凭证以更新 ECR 信息

配置说明

必要环境变量

• AWS_REGION: 指定 AWS 区域（必填）
• Rancher 环境下自动注入的变量：CATTLE_URL、CATTLE_ACCESS_KEY、CATTLE_SECRET_KEY（需添加服务标签）

可选环境变量

• AWS_ROLE_ARN: 指定要 Assume 的 IAM 角色
• AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY: AWS 访问密钥（环境变量方式）
• AWS_PROFILE: 共享凭证文件中的配置文件（需挂载 /root/.aws 卷）
• ECR_PROXY_HOST: ECR 代理主机（如 registry.example.com）
• AUTO_CREATE: 是否自动创建 Rancher 中的 ECR registry（设为 true 启用）
• AWS_ECR_REGISTRY_IDS: 逗号分隔的 AWS 账户 ID 列表（多账户场景）

Rancher 服务标签

需为 Rancher 服务添加以下标签：

• io.rancher.container.create_agent: true
• io.rancher.container.agent.role: environment

Docker 运行示例

非 Rancher 环境运行

bash
docker run -d \
  -e AWS_REGION=us-east-1 \
  -e AWS_ACCESS_KEY_ID=$AWS_ACCESS_KEY_ID \
  -e AWS_SECRET_ACCESS_KEY=$AWS_SECRET_ACCESS_KEY \
  -e CATTLE_URL=http://rancher.mydomain.com \
  -e CATTLE_ACCESS_KEY=$CATTLE_ACCESS_KEY \
  -e CATTLE_SECRET_KEY=$CATTLE_SECRET_KEY \
  docker.xuanyuan.run/tozny/rancher-ecr-credentials:latest

支持 ECR 代理与多账户

bash
docker run -d \
  -e AWS_REGION=us-east-1 \
  -e ECR_PROXY_HOST=registry.example.com \
  -e AUTO_CREATE=true \
  -e AWS_ECR_REGISTRY_IDS=123456789012,987654321098 \
  --label io.rancher.container.create_agent=true \
  --label io.rancher.container.agent.role=environment \
  docker.xuanyuan.run/tozny/rancher-ecr-credentials:latest

注意事项

• AWS 凭证需具备调用 ECR GetToken API 的权限
• Rancher 中 registry 按环境存储，多环境需每个环境运行一个容器实例
• 凭证每 6 小时刷新一次，可能存在短暂的凭证过期间隙（小于 6 小时） ===END===