Amazon ECR
安全存储、管理和分发 Docker 容器镜像的全托管容器注册表服务
概述
Amazon ECR（Elastic Container Registry）是一项全托管的容器镜像注册表服务，可安全存储、管理和部署 Docker 容器镜像。与 ECS、EKS 和 Lambda 深度集成，支持镜像漏洞扫描、生命周期策略和跨区域复制。
私有注册表与公共注册表的角色
ECR 提供私有注册表和公共注册表两种类型。私有注册表通过 IAM 策略控制访问，适合企业内部的应用镜像管理。每个 AWS 账户在每个区域自动获得一个私有注册表。公共注册表 (ECR Public Gallery) 允许任何人拉取镜像，适合开源项目和公共工具的分发。私有注册表支持跨账户和跨区域的镜像复制，便于多账户和多区域部署架构。
生命周期策略的存储管理
容器镜像随着 CI/CD 流水线的持续构建会快速积累，生命周期策略可以自动清理旧镜像控制存储成本。策略规则基于镜像年龄 (天数) 或数量 (保留最近 N 个) 进行匹配，支持按标签前缀过滤。例如可以设置「保留最近 30 个带 production 标签的镜像，删除超过 7 天的未标记镜像」。策略评估是异步执行的，不影响镜像的推送和拉取操作。
漏洞扫描与多账户运营
ECR 提供基本扫描和增强扫描两种漏洞检测方式。基本扫描使用 AWS 原生技术检测操作系统的 CVE 漏洞，可在推送时或手动执行。增强扫描由 Amazon Inspector 提供支持，额外覆盖编程语言包 (npm、pip、Maven 等) 的漏洞，并支持持续扫描 (镜像推送时和新 CVE 发布时自动重新扫描)。多账户环境中，可以在中央账户维护基础镜像，通过跨账户复制策略自动分发到各工作负载账户。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。