교차 계정에서 AWS ECR 제어

• 개요

AWS IAM을 이용하여 private ECR을 안전하게 제어가 가능하다.

• 방법

- 원본 AWS 계정
AWS ECR >> "Repositoty" 선택 >> 권한 >> JSON policy 수정 >> 아래 IAM Policy 적용

- 대상 AWS 계정
ECR pull 권한
원본 AWS 계정의 ECR Pull command 사용

• IAM Policy

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPushPull",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::account-id:root"
      },
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "ecr:BatchCheckLayerAvailability",
        "ecr:PutImage",
        "ecr:InitiateLayerUpload",
        "ecr:UploadLayerPart",
        "ecr:CompleteLayerUpload"
      ]
    }
  ]
}

• 참고

https://repost.aws/knowledge-center/secondary-account-access-ecr