説明
ECRリポジトリポリシーは、特定のリポジトリへのアクセスを許可または制限します。ポリシーがなくてもリポジトリが公開されるわけではなく、同じアカウント内ではIAMのアイデンティティポリシーでも権限を付与できます。
想定される影響
利用する主体を確認せずに広い権限のリポジトリポリシーを追加すると、意図しないイメージへのアクセスを許可するおそれがあります。
対処方法
まず有効なIAM権限を確認し、リポジトリポリシーが必要な場合は意図した主体と操作だけを許可してください。イメージのプッシュやプルで認証するためのecr:GetAuthorizationToken権限はIAMポリシーで付与してください。
例
変更後は、指定したロールに二つのイメージ取得操作を許可する例です。ARNを実際にアクセスを許可するロールのものに置き換えてください。
変更前
hcl
resource "aws_ecr_repository" "example" {
name = "bar"
}
変更後
hcl
resource "aws_ecr_repository" "example" {
name = "bar"
}
resource "aws_ecr_repository_policy" "example_policy" {
repository = aws_ecr_repository.example.name
policy = <<EOF
{
"Version": "2008-10-17",
"Statement": [
{
"Sid": "new policy",
"Effect": "Allow",
"Principal": {"AWS": "arn:aws:iam::123456789012:role/ImagePuller"},
"Action": [
"ecr:GetDownloadUrlForLayer",
"ecr:BatchGetImage"
]
}
]
}
EOF
}