配置S3网关VPC终端节点IAM账号限制后ECR拉取镜像失败如何解决

根因说明 #

你对问题的判断是准确的：ECR生成的S3预签名URL，本质是ECR服务使用AWS官方服务身份代你发起的S3资源访问，请求携带的aws:PrincipalAccount为ECR服务所属的AWS官方账号，而非你的业务账号，因此被S3 VPC端点的原有策略拦截。

解决方案 #

调整S3 VPC端点的IAM策略，在原有账号限制的基础上，增加对ECR服务代发请求的放行规则，可通过AWS全局条件键aws:CalledVia实现，无需放开全账号访问权限，同时满足两类访问需求：

• 仅本账号身份可直接访问S3资源
• 本账号ECR生成的预签名URL可以正常访问底层S3存储

调整后的完整策略示例 #

{
    "Version": "2012-10-17",
    "Statement": [       
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": "*",
            "Condition": {
                "Or": [
                    {
                        "StringEquals": {
                            "aws:PrincipalAccount": ["myAccountId"]
                        }
                    },
                    {
                        "ForAnyValue:StringEquals": {
                            "aws:CalledVia": ["ecr.amazonaws.com"]
                        }
                    }
                ]
            }
        }
    ]
}

注意将上述myAccountId替换为你实际的AWS账号ID。

可选增强配置（更高安全性） #

如果需要进一步缩小权限范围，可在策略中增加资源限制，仅允许ECR访问对应区域的官方ECR存储桶，示例（以eu-west-1区域为例）：

{
    "Version": "2012-10-17",
    "Statement": [       
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": ["myAccountId"]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::prod-eu-west-1-starport-layer-bucket/*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": ["ecr.amazonaws.com"]
                }
            }
        }
    ]
}

配置完成后策略实时生效，无需重启VPC内节点，可同时验证S3访问限制和ECR镜像拉取功能是否正常。

内容的提问来源于stack exchange，提问作者Tom Raganowicz