配置VPC以实现对ECR的访问

54次阅读

问题描述

在使用Ansible创建基础设施时，创建了一个VPC和一个ECS集群，使用Fargate来运行Docker容器。当任务启动时，出现了一个问题，提示无法从ECR拉取镜像，错误信息为：STOPPED (CannotPullContainerError: Error response from daem)。用户确认了镜像的URI和IAM权限是正确的。并且，用户通过AWS的Web UI创建相同的场景时，一切都正常运行。因此，用户猜测问题可能出在VPC配置上，即VPC无法连接到ECR。

以下是用户创建VPC和子网的代码片段：

- name: "2) Create VPC"
  ec2_vpc_net:
    name: "{{vpc_name}}"
    state: present
    cidr_block: 10.10.0.0/16
    region: "{{ region_name }}"
  register: vpc_net

- name: "3) Create VPC Subnet"
  ec2_vpc_subnet:
    state: present
    map_public: yes
    vpc_id: "{{vpc_net.vpc.id}}"
    cidr: 10.10.0.0/24
    tags:
      name: "test-subnet"
  register: vpc_subnet

用户怀疑VPC和子网的配置可能存在问题，导致Docker守护进程无法连接并从ECR仓库拉取镜像。用户想知道如何正确配置VPC和子网，以便Docker守护进程能够连接并从ECR仓库拉取镜像。用户还在评论中提到了可能需要添加网络组件，如互联网网关、路由表或VPC终端节点。

解决方案

在配置VPC和子网以实现对ECR的访问之前，请确保遵循以下步骤。

请注意以下操作注意版本差异及修改前做好备份。

步骤1：创建公共和私有子网

在VPC中，通常会创建公共和私有子网，以便在需要时将资源分配给不同的网络配置。对于Fargate任务，我们需要在公共子网中配置NAT网关，以便能够从ECR拉取镜像。同时，任务运行在私有子网中，从而确保了一定程度的安全性。

步骤2：创建互联网网关和NAT网关

创建互联网网关：互联网网关是连接VPC和公共互联网的一个组件，允许资源在公共子网中访问互联网。确保为VPC创建并附加一个互联网网关。
创建NAT网关：NAT网关允许私有子网中的资源访问互联网，但不允许外部流量进入私有子网。创建并附加一个NAT网关到公共子网，并确保该NAT网关的Elastic IP地址是可用的。

步骤3：配置路由表

配置公共子网路由表：将默认路由指向互联网网关，以便在公共子网中的资源可以访问互联网。
配置私有子网路由表：将默认路由指向NAT网关，以便在私有子网中的资源可以通过NAT网关访问互联网。

步骤4：配置Fargate任务

在Ansible的任务定义中，确保指定了适当的task_role_arn参数，指向拥有适当权限的角色。该角色需要至少拥有AmazonEKSFargatePodExecutionRolePolicy权限，以确保Fargate任务可以从ECR拉取镜像。

步骤5：验证和测试

在完成配置后，重新运行Fargate任务并验证是否可以从ECR成功拉取镜像。您可以在Fargate任务定义中使用ecs_task模块来拉取镜像并启动任务。

- name: Pull and run Fargate task
  ecs_task:
    launch_type: FARGATE
    task_definition: your_task_definition_name
    cluster: your_cluster_name
    network_configuration:
      awsvpcConfiguration:
        subnets:
          - your_private_subnet_id
    count: 1

请确保将your_task_definition_name和your_cluster_name替换为实际的任务定义和集群名称，将your_private_subnet_id替换为私有子网的ID。

完成上述配置后，您的Fargate任务应该能够从ECR仓库成功拉取镜像并运行。