Eine Pipeline erstellt Container-Images in einem Konto und stellt sie in einem Produktions-ECS-Cluster bereit, der in ein anderes AWS-Konto in derselben Region verschoben werden soll. Der Produktions-Cluster muss Images über eine private Verbindung abrufen. Welches Design erfüllt diese Anforderungen?

Die korrekte Lösung ermöglicht den privaten Zugriff auf ECR-Images über Kontogrenzen hinweg. ECR VPC-Endpunkte (Schnittstellen-Endpunkte) sind erforderlich, um den Image-Pull-Verkehr privat innerhalb der VPC zu halten und nicht über das öffentliche Internet zu leiten. Ein S3-Gateway-Endpunkt ist ebenfalls notwendig, da ECR S3 für die Speicherung der Image-Layer nutzt. Die Repository-Richtlinie im Hauptkonto (wo die Images gespeichert sind) muss so konfiguriert werden, dass sie dem separaten Konto (wo der ECS-Cluster läuft) die Berechtigung zum Abrufen der Images erteilt. Schließlich benötigt die Task-Ausführungsrolle der ECS-Aufgaben im Zielkonto die entsprechenden IAM-Berechtigungen, um die Images von ECR abzurufen. Die Option, ein ECR-Repository im separaten Konto zu erstellen, ist falsch, da die Images im Hauptkonto erstellt werden und dort bleiben sollen. Die Option, nur die Repository-Richtlinie zu setzen, ohne VPC-Endpunkte zu erwähnen, würde keinen privaten Zugriff gewährleisten. Die private ECR-Image-Replikation ist eine Möglichkeit, Images zu synchronisieren, aber die Frage impliziert, dass die Images direkt aus dem Hauptkonto abgerufen werden sollen, und sie löst nicht das Problem des privaten Zugriffs über VPC-Endpunkte.