AWS - ECR Persistence
ECR
Aby uzyskać więcej informacji, sprawdź:
AWS - ECR EnumUkryty obraz Docker z złośliwym kodem
Napastnik mógłby przesłać obraz Docker zawierający złośliwy kod do repozytorium ECR i użyć go do utrzymania persistencji w docelowym koncie AWS. Napastnik mógłby następnie wdrożyć złośliwy obraz do różnych usług w ramach konta, takich jak Amazon ECS lub EKS, w sposób ukryty.
Polityka repozytorium
Dodaj politykę do pojedynczego repozytorium, przyznając sobie (lub wszystkim) dostęp do repozytorium:
Zauważ, że ECR wymaga, aby użytkownicy mieli uprawnienia do wywoływania API ecr:GetAuthorizationToken
za pomocą polityki IAM zanim będą mogli uwierzytelnić się w rejestrze i przesyłać lub pobierać obrazy z dowolnego repozytorium Amazon ECR.
Polityka rejestru i replikacja między kontami
Możliwe jest automatyczne replikowanie rejestru w zewnętrznym koncie, konfigurując replikację między kontami, gdzie musisz wskazać zewnętrzne konto, w którym chcesz zreplikować rejestr.
Najpierw musisz nadać zewnętrznemu kontu dostęp do rejestru za pomocą polityki rejestru takiej jak:
Następnie zastosuj konfigurację replikacji:
Last updated