Amazon ECR のコンテナイメージ管理 - ライフサイクルポリシーとイメージスキャン

ECR の基本とリポジトリ管理

この記事は約 3 分で読めます。 ECR は Docker コンテナイメージと OCI アーティファクトのマネージドレジストリです。プライベートリポジトリとパブリックリポジトリ (ECR Public) を提供しています。プライベートリポジトリは IAM ポリシーでアクセスを制御し、特定の IAM ロールのみがイメージのプッシュ・プルを許可する設定が可能です。イメージは AES-256 で保存時に暗号化され、KMS のカスタマーマネージドキーも選択できます。イメージタグのイミュータビリティを有効にすると、同じタグで異なるイメージを上書きプッシュすることを防止でき、デプロイの再現性を保証します。

この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。

ライフサイクルポリシーとコスト管理

ライフサイクルポリシーはリポジトリ内のイメージを自動的にクリーンアップするルールです。タグ付きイメージの保持数 (例: 最新 10 個を保持)、タグなしイメージの保持期間 (例: 7 日以上経過したものを削除)、特定のタグプレフィックスに基づくルールを定義できます。CI/CD パイプラインで頻繁にイメージをプッシュする環境では、ライフサイクルポリシーなしではストレージコストが際限なく増加します。本番用イメージ (prod-*) は 30 世代保持し、開発用イメージ (dev-*) は 5 世代のみ保持するといった差別化が推奨されます。

イメージスキャンとレプリケーション

基本スキャンはプッシュ時に OS パッケージの脆弱性を Clair エンジンで検出します。拡張スキャンは Inspector と統合し、OS パッケージに加えてプログラミング言語パッケージ (npm、pip、Maven) の脆弱性も検出します。拡張スキャンは継続的に実行され、新しい CVE が公開されると既存イメージが再スキャンされます。クロスリージョンレプリケーションはイメージを指定したリージョンに自動複製し、マルチリージョンの ECS/EKS デプロイでイメージのプル時間を短縮します。クロスアカウントレプリケーションも可能で、中央のイメージリポジトリからワークロードアカウントにイメージを配信する構成に活用できます。

さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。

まとめ

ECR はコンテナイメージのライフサイクル全体を管理するマネージドレジストリです。ライフサイクルポリシーでストレージコストを最適化し、拡張スキャンで脆弱性を継続的に検出し、レプリケーションでマルチリージョン・マルチアカウントのデプロイに対応します。