如何向ECR仓库添加包含多语句的IAM策略文档？

你遇到的问题本质是：通过fromRepositoryName导入的ECR仓库属于只读引用，没有直接提供添加完整PolicyDocument的方法，但可以通过以下两种方式实现多条策略语句的配置：

方法一：多次调用addToResourcePolicy追加语句 #

addToResourcePolicy方法支持重复调用，每次传入一条策略语句，CDK会自动将所有语句合并为一个完整的资源策略附加到ECR仓库上，无需手动构建PolicyDocument。

示例代码：

// 创建第一条策略语句
const crossAccountStmt = new iam.PolicyStatement({
  sid: 'CrossAccountPermission',
  principals: principalArr,
  actions: [
    'ecr:BatchCheckLayerAvailability',
    'ecr:BatchGetImage',
    'ecr:DescribeImages',
    'ecr:DescribeRepositories',
    'ecr:GetDownloadUrlForLayer',
    'ecr:ListImages'
  ],
});
ecrRepo.addToResourcePolicy(crossAccountStmt);

// 创建第二条策略语句并追加
const lambdaStmt = new iam.PolicyStatement({
  sid:'LambdaECRImageCrossAccountRetrievalPolicy',
  effect: iam.Effect.ALLOW,
  principals: lambdaPrincipal,
  actions: [
    'ecr:BatchGetImage',
    'ecr:GetDownloadUrlForLayer'
  ]
});
ecrRepo.addToResourcePolicy(lambdaStmt);

方法二：通过底层CFN资源设置完整策略文档 #

如果需要一次性配置完整的策略，可以将导入的ECR仓库转换为底层CloudFormation资源，直接设置repositoryPolicyText属性。注意这种方式会覆盖仓库原有策略，需确保包含所有需要的语句。

示例代码：

import * as cfnEcr from 'aws-cdk-lib/aws-ecr/lib/repository';

// 构建包含多条语句的完整策略文档
const policy = new iam.PolicyDocument({
  statements: [
    new iam.PolicyStatement({
      sid: 'CrossAccountPermission',
      principals: principalArr,
      actions: [
        'ecr:BatchCheckLayerAvailability',
        'ecr:BatchGetImage',
        'ecr:DescribeImages',
        'ecr:DescribeRepositories',
        'ecr:GetDownloadUrlForLayer',
        'ecr:ListImages'
      ],
    }),
    new iam.PolicyStatement({
      sid:'LambdaECRImageCrossAccountRetrievalPolicy',
      effect: iam.Effect.ALLOW,
      principals: lambdaPrincipal,
      actions: [
        'ecr:BatchGetImage',
        'ecr:GetDownloadUrlForLayer'
      ]
    })
  ]
});

// 将导入的仓库转换为底层CFN资源
const cfnRepo = ecrRepo.node.defaultChild as cfnEcr.CfnRepository;
// 设置仓库策略文本
cfnRepo.repositoryPolicyText = policy.toJSON();

注意事项 #

• 方法一中需确保各策略语句的sid不重复，避免冲突；
• 方法二会覆盖原有策略，若仓库已有配置，需将原有语句合并到新的PolicyDocument中；
• 确保principalArr和lambdaPrincipal为有效的IAM主体（如new iam.AccountPrincipal('123456789012')或new iam.ServicePrincipal('lambda.amazonaws.com')）。

内容的提问来源于stack exchange，提问作者Shivam Malvia