ECS Fargate任务拉取ECR镜像的S3网关端点最小权限策略配置问题

核心问题分析 #

ECS Fargate任务拉取ECR镜像时，会先通过ECR API获取镜像层的S3预签名URL，随后直接通过S3 VPC端点访问对应的AWS托管S3桶。之前的策略失效原因在于主体指定错误：任务发起S3请求时，使用的是任务执行角色而非ecs-tasks.amazonaws.com或ECS服务角色，同时未结合VPC端点来源限制缩小访问范围。

正确的S3 VPC端点策略配置 #

以下是满足"仅允许指定ECS任务访问ECR对应S3桶"的严格策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<你的AWS账户ID>:role/<你的ECS任务执行角色名>"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::prod-<你的区域>-ecr-repositories-<你的AWS账户ID>/*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpce": "<你的S3 VPC端点ID>"
        }
      }
    }
  ]
}

关键参数说明 #

• Principal：指定你的ECS任务执行角色ARN，这是任务发起S3请求时的身份主体。
• Resource：替换为ECR镜像存储的S3桶路径，格式为prod-<区域>-ecr-repositories-<账户ID>/*（可通过ECR控制台查看镜像存储位置，或用CLI命令aws ecr describe-repositories --repository-names <仓库名>确认关联的存储桶）。
• Condition：通过aws:SourceVpce限制仅允许来自你的S3 VPC端点的请求，防止同子网其他资源绕过限制。

额外注意事项 #

1. 任务执行角色权限：任务执行角色需包含ecr:GetDownloadUrlForLayer、ecr:BatchGetImage等ECR相关权限，确保能获取S3预签名URL。
2. VPC端点配置：S3端点需启用"私有DNS"，并确保Fargate任务所在子网的路由表已指向该端点。
3. 桶名称验证：若ECR使用加密存储或自定义存储配置，需调整Resource路径为实际对应的S3桶ARN。

内容的提问来源于stack exchange，提问作者Jaime Elso de Blas