AWS - ECR Persistence
ECR
詳細については以下を参照してください:
AWS - ECR Enum悪意のあるコードを含む隠しDockerイメージ
攻撃者は、悪意のあるコードを含むDockerイメージをECRリポジトリにアップロードし、ターゲットAWSアカウントに持続性を維持するために使用する可能性があります。攻撃者は、その後、Amazon ECSやEKSなどのアカウント内のさまざまなサービスに悪意のあるイメージをステルスにデプロイすることができます。
リポジトリポリシー
単一のリポジトリにポリシーを追加して、自分自身(または全員)にリポジトリへのアクセスを許可します:
ECRは、ユーザーがレジストリに認証し、任意のAmazon ECRリポジトリからイメージをプッシュまたはプルする前に、IAMポリシーを通じて**ecr:GetAuthorizationToken
** APIを呼び出す権限を持っている必要があることに注意してください。
Registry Policy & Cross-account Replication
クロスアカウントレプリケーションを設定して、外部アカウントにレジストリを自動的にレプリケートすることが可能です。この場合、レジストリをレプリケートしたい外部アカウントを指定する必要があります。
まず、次のようなレジストリポリシーを使用して、外部アカウントにレジストリへのアクセス権を付与する必要があります:
次に、replication configを適用します:
Last updated