Automating secure container registry management for air-gapped AWS workloads

要点

• 手動・スクリプト移行ではセキュリティ設定のドリフト、KMSの暗号化設定ミス、マルチアーキテクチャの単一化、プライベートレジストリ認証が問題になる。
• ECRのリポジトリ作成テンプレートとCREATE_ON_PUSHにより、初回push時にKMS暗号化・イミュータブルタグ・ライフサイクルが自動適用される。Terraformで管理する。
• スキャンはレジストリ単位で設定するためテンプレートに含めない。移行ツールecr-artifact-managerはマニフェストリストごとコピーし、HelmチャートのイメージURLをECRに書き換えてOCIとしてpushする。
• テンプレートは新規リポジトリのみ対象で、暗号化設定は作成後に変更できない。イミュータブルタグは運用変更を伴い、大規模移行ではレート制限やトークン期限(12時間)への対策が要る。
• リポジトリが10未満、または規制・エアギャップの制約がない場合は過剰になりうる。コードはサンプルで、本番利用前に自組織で検証が必要。