如何为GitLab Runner授予访问AWS账户及ECR的权限？

问题1：能否为GitLab Runner授予AWS账户的访问权限？ #

当然可以。GitLab Runner可以通过多种方式获取AWS账户的访问权限，常见方式包括关联IAM角色、注入Access Key凭证，或是利用GitLab CI/CD变量传递权限信息。

问题2：如何为GitLab Runner授予推送镜像到AWS ECR的权限？ #

以下是几种常用的配置方式：

• 关联IAM角色（推荐方案）
  如果GitLab Runner部署在AWS EC2实例上，可直接为该EC2实例绑定具备ECR推送权限的IAM角色。角色需包含如下权限策略：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "ecr:GetAuthorizationToken",
                  "ecr:BatchCheckLayerAvailability",
                  "ecr:GetDownloadUrlForLayer",
                  "ecr:GetRepositoryPolicy",
                  "ecr:DescribeRepositories",
                  "ecr:ListImages",
                  "ecr:BatchGetImage",
                  "ecr:InitiateLayerUpload",
                  "ecr:UploadLayerPart",
                  "ecr:CompleteLayerUpload",
                  "ecr:PutImage"
              ],
              "Resource": "arn:aws:ecr:<区域ID>:<AWS账户ID>:repository/<ECR仓库名称>"
          }
      ]
  }
  

  绑定角色后，Runner所在的EC2实例会自动继承该角色权限，无需手动配置凭证。

• 通过GitLab CI/CD变量注入Access Key
  在GitLab项目的「设置」→「CI/CD」→「变量」中，添加AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY两个变量，值对应拥有ECR推送权限的IAM用户凭证。随后在.gitlab-ci.yml中配置推送流程：

  stages:
    - push-image
  
  push-to-ecr:
    stage: push-image
    script:
      - aws ecr get-login-password --region <你的AWS区域> | docker login --username AWS --password-stdin <AWS账户ID>.dkr.ecr.<你的AWS区域>.amazonaws.com
      - docker build -t <镜像名称> .
      - docker tag <镜像名称>:latest <AWS账户ID>.dkr.ecr.<你的AWS区域>.amazonaws.com/<ECR仓库名称>:latest
      - docker push <AWS账户ID>.dkr.ecr.<你的AWS区域>.amazonaws.com/<ECR仓库名称>:latest
  

  注意：需确保IAM用户拥有对应ECR仓库的推送权限，且变量需设置为「受保护」和「掩码」以保障安全。

• 在自托管Runner配置中注入环境变量
  若使用自托管Runner，可在Runner的config.toml配置文件中添加环境变量，直接传入AWS凭证：

  [[runners]]
    name = "AWS ECR Runner"
    url = "https://gitlab.com/"
    token = "<你的Runner令牌>"
    executor = "docker"
    environment = ["AWS_ACCESS_KEY_ID=<你的Access Key>", "AWS_SECRET_ACCESS_KEY=<你的Secret Key>"]
  

  同样，对应的IAM用户需具备ECR推送权限。

内容的提问来源于stack exchange，提问作者user1154422