Amazon ECRの概要

Posted at 2025-05-19

AWSの資格をいくつか取得したはいいもののハンズオンが不十分なため、
実際にシステムを構築するために必要な基礎知識について、
BlackBeltを参考にしながら理解を深めるために整理します。

Amazon ECRとは

開発者のPC、テスト環境、本番環境でOSのバージョン、インストールされているライブラリ、設定などが微妙に異なり、「開発環境では動いたのに、本番環境では動かない」という問題が頻繁に発生する。

Dockerは、アプリケーションとその依存関係（OSの一部、ライブラリ、ミドルウェア、設定ファイルなど）を「コンテナ」という独立したパッケージにまとめる。

このコンテナイメージを一度作成すれば、どの環境でも同じように実行できるため、環境による差異をなくし、一貫性と再現性の高い環境を簡単に構築できる。

コンテナをつくる設計図のようなもの

コンテナイメージ（アプリの設計図）を安全に保管・管理するための場所。AWSが管理してくれるため、倉庫の管理についてあれこれ心配する必要はない。

レジストリ
- AWSアカウント毎に用意される
- イメージを保存するためのリポジトリを複数作成できる
- Dockerクライアントを認証して利用
リポジトリ
- Dockerイメージ、OCIイメージ、OCI互換アーティファクトを保存
  - OCIイメージとは：コンテナイメージの互換性と相互運用性を高めるために策定された業界標準に準拠したコンテナイメージのこと
リポジトリポリシー
- リポジトリとリポジトリ内のイメージへのアクセス権を制御
認証トークン
- IAM認証情報を利用して、レジストリに対して認証する

プライベートレジストリ
- 開発者：docker push 123456789012.dkr.ecr..amazonaws.com/:
- 認証されていない利用者：利用不可
パブリックレジストリ
- 開発者：docker push public.ecr.aws//:
- 認証されていない利用者：docker pull public.ecr.aws//:
Amazon ECR Docker Credential Helper

ECRにpushされたコンテナイメージの脆弱性を検出する
Basic scanning
- 検出対象：OSパッケージ
- スキャン実行：on push / マニュアル実行
- 追加料金なしで利用可能
Enhanced scanning
- 検出対象：OSパッケージ、プログラミングライブラリ
- スキャン実行：on push / 継続的
- Amazon Inspectorとの統合

パブリックレジストリのイメージをECR Privateでキャッシュできる
リモートレジストリと自動同期
- DockerHubなどの外部レジストリから自動でECRにイメージをコピーしてくれる
- 24時間以内に同期される
アップストリーム（イメージの配信元）のパブリックレジストリとして ECR Public と Quay.io をサポートしている
- DockerHubに加え、ECR PublicとQuay.ioも対象ということ

Amazon ECR publicで公開されているコンテナイメージを検索
Docker公式イメージも利用可能
AWS App Runnerサービスを直接起動することも可能
- App Runner：ソースコードやコンテナイメージから“自動でWebアプリを公開”してくれるサービス。サーバー管理やインフラ構築は一切不要。とにかく「アプリを動かしたい人」向け。

AWSの資格を取ったり知識を入れても実環境を操作できなければ意味がないので、
Flask、Docker、Code Pipline等を交えて実装の経験を積みたいと思います。