Amazon ECR (Elastic Container Registry)

は、イメージとOCI互換アーティファクトを保存・配布するマネージドレジストリです。SAA では、、、などが安全かつ可用性高くイメージを取得する保存先として選びます。

概要

プライベートまたはパブリックリポジトリへイメージをプッシュし、で取得権限を制御します。AWSがレジストリ基盤を管理するため、自前レジストリの可用性やスケーリングを運用する必要がありません。

主要技術

①リポジトリとイメージタグ

リポジトリにイメージを保存し、タグまたは不変のダイジェストで参照します。本番ではタグの上書きを制限し、同じデプロイが同じイメージを取得できるようにします。

②IAMと暗号化

とリポジトリポリシーでプッシュ・プルを制御します。保存時暗号化を利用し、によりからインターネットを経由せずアクセスできます。

からイメージを取得するときは、マニフェストをECRのから、実際のレイヤーをから取得します。そのため、プライベートサブネットからを通さずに取得するには、ECRのインターフェイスエンドポイント（ecr.api と ecr.dkr）に加えて、S3のゲートウェイエンドポイントが必要です。ECRのエンドポイントだけを作ると、データ量の大半を占めるレイヤーの取得がNAT Gateway経由のまま残り、NATのデータ処理料金が減りません。

③スキャンとライフサイクル

イメージスキャンでや言語パッケージの脆弱性を検出します。ライフサイクルポリシーで古いタグや未使用イメージを削除し、保存コストを抑えます。

④クロスリージョン・クロスアカウント複製 ⚠️ 頻出

設定で別や別アカウントへイメージを複製できます。環境で元リージョンに依存せずデプロイできるようにします。

試験対策

「イメージの保存先」は、「コンテナの実行・調整」はまたは、「サーバー管理なしの実行基盤」はです。