AWS - ECR Persistence
ECR
Für weitere Informationen siehe:
AWS - ECR EnumVerstecktes Docker-Image mit bösartigem Code
Ein Angreifer könnte ein Docker-Image mit bösartigem Code in ein ECR-Repository hochladen und es verwenden, um Persistenz im Ziel-AWS-Konto aufrechtzuerhalten. Der Angreifer könnte dann das bösartige Image auf verschiedene Dienste innerhalb des Kontos, wie Amazon ECS oder EKS, auf eine unauffällige Weise bereitstellen.
Repository-Richtlinie
Füge eine Richtlinie zu einem einzelnen Repository hinzu, die dir (oder allen) Zugriff auf ein Repository gewährt:
Beachten Sie, dass ECR erfordert, dass Benutzer Berechtigung haben, um Aufrufe an die ecr:GetAuthorizationToken
API über eine IAM-Richtlinie zu machen, bevor sie sich authentifizieren können, um ein Repository zu registrieren und Bilder von einem Amazon ECR-Repository zu pushen oder zu pullen.
Registry Policy & Cross-account Replication
Es ist möglich, ein Registry in einem externen Konto automatisch zu replizieren, indem man eine Cross-account Replikation konfiguriert, bei der man das externe Konto angeben muss, in dem man das Registry replizieren möchte.
Zuerst müssen Sie dem externen Konto Zugriff auf das Registry mit einer Registry-Richtlinie wie dieser gewähren:
Dann die Replikationskonfiguration anwenden:
Last updated