如何通过IAM权限让子账户CodeBuild访问中心账户ECR私有镜像？

一、能不能通过IAM权限让子账户CodeBuild访问主账户ECR？ #

完全可以！这是AWS跨账户资源共享里很常见的需求，核心思路是通过主账户ECR仓库的资源策略授权子账户的CodeBuild服务角色访问，同时配合子账户IAM角色的权限策略完成权限闭环，不需要额外的中转服务就能实现。

二、具体操作步骤 #

1. 主账户配置ECR仓库的资源权限策略 #

登录主账户AWS控制台，找到目标ECR仓库，进入「权限」标签页，添加一条资源策略，允许子账户的CodeBuild服务角色执行拉取镜像的关键操作。

示例策略（替换占位符为你的实际信息）：

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "AllowCrossAccountCodeBuildAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::子账户ID:role/service-role/codebuild-你的项目名-service-role"
      },
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "ecr:BatchCheckLayerAvailability"
      ]
    }
  ]
}

• 要是需要允许子账户下多个CodeBuild项目访问，可以把Principal换成子账户的根ARN（arn:aws:iam::子账户ID:root），但更安全的做法是指定具体的服务角色ARN。
• 这三个Action是拉取镜像的最小必要权限，别额外加不必要的权限（比如ecr:PutImage）。

2. 子账户配置CodeBuild服务角色的权限 #

登录子账户AWS控制台，找到CodeBuild项目使用的服务角色（可在CodeBuild项目的「设置」→「服务角色」里查看ARN），给这个角色添加一条IAM权限策略，允许它访问主账户的ECR仓库。

示例策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetAuthorizationToken"
      ],
      "Resource": "arn:aws:ecr:你的区域:主账户ID:repository/你的镜像仓库名"
    }
  ]
}

• ecr:GetAuthorizationToken是获取ECR登录凭证的必要权限，绝对不能漏掉。

3. 在子账户CodeBuild中使用主账户的ECR镜像 #

有两种常用方式：

方式一：作为CodeBuild的构建环境镜像

在CodeBuild项目的「环境」配置中，选择「自定义镜像」，输入镜像的完整URI：

主账户ID.dkr.ecr.你的区域.amazonaws.com/你的镜像仓库名:镜像标签

只要前面的权限配置正确，CodeBuild会自动拉取并加载这个镜像作为构建环境。

方式二：在buildspec.yml中手动拉取使用

如果需要在构建流程中动态调用这个镜像，可以在pre_build阶段添加登录和拉取命令：

version: 0.2
phases:
  pre_build:
    commands:
      - echo Logging in to Amazon ECR...
      - aws ecr get-login-password --region 你的区域 | docker login --username AWS --password-stdin 主账户ID.dkr.ecr.你的区域.amazonaws.com
      - docker pull 主账户ID.dkr.ecr.你的区域.amazonaws.com/你的镜像仓库名:镜像标签
  build:
    commands:
      - echo Build started on `date`
      - # 这里编写你的构建逻辑，比如用拉取的镜像执行任务

三、常见注意事项 #

• 确保主账户和子账户的ECR、CodeBuild服务在同一个AWS区域（如果需要跨区域，得先配置ECR跨区域复制，或者确认子账户能访问主账户跨区域的ECR端点）。
• 检查子账户CodeBuild服务角色的信任关系，确保它允许codebuild.amazonaws.com扮演该角色（默认创建的CodeBuild服务角色已经包含这个信任关系）。
• 如果遇到权限拒绝错误，可通过AWS CloudTrail查看具体的API调用事件，定位是主账户资源策略还是子账户IAM策略配置出了问题。

内容的提问来源于stack exchange，提问作者 Robot