AWS ECS Fargate がクロスアカウント ECR リポジトリからイメージをプルする 質問する

Fargate は、クロスアカウントロールを自動的に引き受けることはありません。幸いなことに、そのアカウントの ECR リポジトリからイメージをプルするために、別のアカウントでロールを引き受ける必要はありません。

ECR内のイメージへのアカウント間アクセスを有効にするには、アカウントAのリポジトリにアカウントBのアクセスを追加します（リポジトリポリシー) を作成し、ECR からプルする権限を持つアカウント B の TaskExecutionRole ("ecr:GetDownloadUrlForLayer"、"ecr:BatchGetImage"、"ecr:BatchCheckLayerAvailability") を指定します。

たとえば、アカウント A のリポジトリに次のようにリポジトリ ポリシーを設定します。

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "AllowCrossAccountPull",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::ACCOUNT_B_ID:root"
      },
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchCheckLayerAvailability",
        "ecr:BatchGetImage"
      ]
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    }
  ]
}