如何用CDK v2为Lightsail容器配置私有ECR仓库访问权限？

1. 为Lightsail容器服务创建带ECR访问权限的IAM角色 #

首先需要创建一个IAM角色，赋予Lightsail容器服务拉取私有ECR镜像所需的核心权限。在CDK代码中添加以下逻辑：

// 创建IAM角色，供Lightsail容器服务访问ECR使用
const ecrAccessRole = new iam.Role(this, 'LightsailEcrAccessRole', {
  assumedBy: new iam.ServicePrincipal('lightsail.amazonaws.com'),
  description: '授权Lightsail容器服务拉取私有ECR镜像',
});

// 为角色添加ECR访问的必要权限
ecrAccessRole.addToPolicy(new iam.PolicyStatement({
  actions: [
    'ecr:GetDownloadUrlForLayer',
    'ecr:BatchGetImage',
    'ecr:BatchCheckLayerAvailability',
    'ecr:GetAuthorizationToken' // 跨账号或需认证访问时需保留此权限
  ],
  resources: ['arn:aws:ecr:*你的区域*:*你的账号ID*:*你的ECR仓库名*/*'], // 替换为实际ECR仓库ARN
}));

2. 将IAM角色关联到Lightsail容器服务 #

修改你现有的容器服务定义（注意：代码中的lightsail.CfnContainer应为lightsail.CfnContainerService，属于笔误），添加roleArn属性绑定上述创建的IAM角色：

const containerService = new lightsail.CfnContainerService(this, containerServiceName, {
  serviceName: containerServiceName,
  scale: 1,
  power: 'nano',
  roleArn: ecrAccessRole.roleArn, // 关联ECR访问角色
});

3. 部署容器时直接指定私有ECR镜像地址 #

通过CDK创建容器部署资源时，直接使用ECR的完整镜像URI即可，Lightsail容器服务会通过关联的IAM角色自动完成认证和镜像拉取：

new lightsail.CfnContainerDeployment(this, 'ContainerDeployment', {
  serviceName: containerServiceName,
  containers: {
    'my-container': {
      image: '*你的账号ID*.dkr.ecr.*你的区域*.amazonaws.com/*你的私有镜像名*:*标签*', // 替换为实际ECR镜像URI
      ports: {
        '80': 'HTTP'
      }
    }
  },
  publicEndpoint: {
    containerName: 'my-container',
    containerPort: 80
  }
});

额外注意事项 #

• 确保ECR仓库与Lightsail容器服务处于同一AWS区域，跨区域访问需额外配置权限策略
• 若ECR仓库有自定义资源策略，需确认策略允许上述IAM角色的访问请求
• 遵循最小权限原则，仅授予Lightsail容器服务拉取镜像所需的必要操作权限

内容的提问来源于stack exchange，提问作者Diego Ferri