amazon-web-services - 在承担角色的 ec2 实例上运行 ecr 命令需要哪些 iam 策略？

Question

我有一个小型 jenkins 实例，它使用 terraform 部署一些东西，例如 ECR 尝试应用更改时出现此错误

error creating ECR Public repository: AccessDeniedException: 
User: arn:aws:sts::1234567890:assumed-role/jenkins_role/i-1234567890 is not authorized to perform: ecr-public:CreateRepository on resource: arn:aws:ecr-public::1234567890:repository/test-repo

我本以为AmazonEC2ContainerRegistryFullAccess 就足够了，但事实并非如此。当我添加AdministratorAccess时，它起作用了。那么为什么会这样呢？

Answer 1

AmazonEC2ContainerRegistryFullAccess仅适用于私人 ECR。您正在尝试使用ecr-public. 这意味着您必须创建自己的允许ecr-public:CreateRepository（不允许ecr:CreateRepository）的策略。