Kopieren Sie Amazon ECR-Container-Images zwischen und AWS-Konten AWS-Regionen

Konfigurieren Sie das Quellkontoprofil:

aws configure --profile source-account
# Enter: Access Key ID, Secret Access Key, Default region, Output format (json)

Konfigurieren Sie das Zielkontoprofil:

aws configure --profile destination-account 
# Enter: Access Key ID, Secret Access Key, Default region, Output format (json) 

Überprüfen Sie die Konfigurationen:

aws sts get-caller-identity --profile source-account 
aws sts get-caller-identity --profile destination-account

Holen Sie sich die Quellkonto-ID:

export SOURCE_ACCOUNT_ID=$(aws sts get-caller-identity --profile source-account --query Account --output text)
echo "Source Account ID: $SOURCE_ACCOUNT_ID"

Holen Sie sich die Zielkonto-ID:

export DEST_ACCOUNT_ID=$(aws sts get-caller-identity --profile destination-account --query Account --output text)
echo "Destination Account ID: $DEST_ACCOUNT_ID"

Stellen Sie die ein AWS-Regionen. Ändern Sie diesen Befehl für Ihre Region:

export SOURCE_REGION="us-east-1"
export DEST_REGION="us-east-2"

Listet die vorhandenen Amazon ECR-Repositorys im Quellkonto auf:

aws ecr describe-repositories --profile source-account --region $SOURCE_REGION --query 'repositories[].repositoryName' --output table

Stellen Sie den Zielkontenstapel bereit:

aws cloudformation deploy \
  --template-file "Destination Account cf_template.yml" \
  --stack-name ecr-copy-destination \
  --parameter-overrides \
    SourceAccountId=$SOURCE_ACCOUNT_ID \
    SourceRoleName=ECRContainerLambdaRole \
  --capabilities CAPABILITY_NAMED_IAM \
  --profile destination-account \
  --region $DEST_REGION

Warten Sie, bis der Stack abgeschlossen ist:

aws cloudformation wait stack-create-complete \
  --stack-name ecr-copy-destination \
  --profile destination-account \
  --region $DEST_REGION

Holen Sie sich Stack-Ausgaben:

aws cloudformation describe-stacks \
  --stack-name ecr-copy-destination \
  --profile destination-account \
  --region $DEST_REGION \
  --query 'Stacks[0].Outputs' \
  --output table

Speichern Sie die kontoübergreifende IAM-Rolle:

export CROSS_ACCOUNT_ROLE_ARN=$(aws cloudformation describe-stacks \
  --stack-name ecr-copy-destination \
  --profile destination-account \
  --region $DEST_REGION \
  --query 'Stacks[0].Outputs[?OutputKey==`CrossAccountRoleArn`].OutputValue' \
  --output text)

echo "Cross-Account Role ARN: $CROSS_ACCOUNT_ROLE_ARN"

Stellen Sie sicher, dass Docker läuft:

docker --version
docker info

Stellen Sie sicher, dass crane-app.py und Dockerfile sich im aktuellen Verzeichnis befinden:

ls -la crane-app.py Dockerfile

Erstellen Sie das Lambda-Container-Image:

docker build -t ecr-copy-lambda . --no-cache

Stellen Sie sicher, dass das Image erstellt wurde:

docker images ecr-copy-lambda

(Optional) Testen Sie den Container lokal:

docker run --rm --entrypoint python ecr-copy-lambda -c "import boto3; print('Container working')"

Erstellen Sie ein Amazon ECR-Repository im Quellkonto:

aws ecr create-repository \
  --repository-name ecr-copy-lambda \
  --profile source-account \
  --region $SOURCE_REGION

Holen Sie sich ein Amazon ECR-Login-Token und authentifizieren Sie Docker:

aws ecr get-login-password \
  --profile source-account \
  --region $SOURCE_REGION | \
  docker login --username AWS --password-stdin \
  $SOURCE_ACCOUNT_ID.dkr.ecr.$SOURCE_REGION.amazonaws.com

Taggen Sie das Bild für Amazon ECR:

docker tag ecr-copy-lambda:latest \
  $SOURCE_ACCOUNT_ID.dkr.ecr.$SOURCE_REGION.amazonaws.com/ecr-copy-lambda:latest

Laden Sie das Bild auf Amazon ECR hoch:

docker push $SOURCE_ACCOUNT_ID.dkr.ecr.$SOURCE_REGION.amazonaws.com/ecr-copy-lambda:latest

Speichern Sie die Bild-URI für die spätere Verwendung:

export LAMBDA_IMAGE_URI="$SOURCE_ACCOUNT_ID.dkr.ecr.$SOURCE_REGION.amazonaws.com/ecr-copy-lambda:latest"
echo "Lambda Image URI: $LAMBDA_IMAGE_URI"

Listet die Bilder im Repository auf:

aws ecr list-images \
  --repository-name ecr-copy-lambda \
  --profile source-account \
  --region $SOURCE_REGION

Holen Sie sich die Bilddetails:

aws ecr describe-images \
  --repository-name ecr-copy-lambda \
  --profile source-account \
  --region $SOURCE_REGION

Richten Sie die Benachrichtigungs-E-Mail ein:

export NOTIFICATION_EMAIL="your-email@company.com"

Definieren Sie die zu kopierenden Repositorys (durch Kommas getrennt):

export REPOSITORY_LIST="app-frontend,app-backend,database-migrations"

Stellen Sie die Umgebung ein:

export ENVIRONMENT="dev"

echo "Deployment Parameters:"
echo "Source Account: $SOURCE_ACCOUNT_ID"
echo "Destination Account: $DEST_ACCOUNT_ID"
echo "Source Region: $SOURCE_REGION"
echo "Destination Region: $DEST_REGION"
echo "Lambda Image: $LAMBDA_IMAGE_URI"
echo "Notification Email: $NOTIFICATION_EMAIL"
echo "Repositories: $REPOSITORY_LIST"

Stellen Sie den Quellkontenstapel bereit:

aws cloudformation deploy \
  --template-file "Source Account Cf template.yml" \
  --stack-name ecr-copy-source \
  --parameter-overrides \
    SourceAccountId=$SOURCE_ACCOUNT_ID \
    DestinationAccountId=$DEST_ACCOUNT_ID \
    DestinationRegion=$DEST_REGION \
    SourceRegion=$SOURCE_REGION \
    NotificationEmail=$NOTIFICATION_EMAIL \
    RepositoryList="$REPOSITORY_LIST" \
    LambdaImageUri=$LAMBDA_IMAGE_URI \
    Environment=$ENVIRONMENT \
  --capabilities CAPABILITY_NAMED_IAM \
  --profile source-account \
  --region $SOURCE_REGION

Warten Sie, bis der Stack abgeschlossen ist (dies kann bis zu 10 Minuten dauern):

aws cloudformation wait stack-create-complete \
  --stack-name ecr-copy-source \
  --profile source-account \
  --region $SOURCE_REGION

Holen Sie sich die Stack-Ausgaben:

aws cloudformation describe-stacks \
  --stack-name ecr-copy-source \
  --profile source-account \
  --region $SOURCE_REGION \
  --query 'Stacks[0].Outputs' \
  --output table

Speichern Sie die Amazon-Ressourcennamen (ARNs) für den Zustandsmaschine und das SNS-Thema:

export STATE_MACHINE_ARN=$(aws cloudformation describe-stacks \
  --stack-name ecr-copy-source \
  --profile source-account \
  --region $SOURCE_REGION \
  --query 'Stacks[0].Outputs[?OutputKey==`StateMachineArn`].OutputValue' \
  --output text)

export SNS_TOPIC_ARN=$(aws cloudformation describe-stacks \
  --stack-name ecr-copy-source \
  --profile source-account \
  --region $SOURCE_REGION \
  --query 'Stacks[0].Outputs[?OutputKey==`SNSTopicArn`].OutputValue' \
  --output text)

echo "State Machine ARN: $STATE_MACHINE_ARN"
echo "SNS Topic ARN: $SNS_TOPIC_ARN"

Überprüfen Sie Ihre E-Mail auf die Bestätigung Ihres SNS-Abonnements.

Wählen Sie den Bestätigungslink in der E-Mail.

Überprüfen Sie den Abonnementstatus.

aws sns list-subscriptions-by-topic \
  --topic-arn $SNS_TOPIC_ARN \
  --profile source-account \
  --region $SOURCE_REGION

Melden Sie sich bei der AWS-Managementkonsole an und öffnen Sie die Step Functions Functions-Konsole.

Suchen Sie die Zustandsmaschine.

Wählen Sie Start execution (Ausführung starten) aus.

Wenn der Vorgang abgeschlossen ist, werden die Ergebnisse auf der Registerkarte Eingabe und Ausgabe der Ausführung angezeigt.

(Optional) Wenn Sie Step Functions weiterhin mit dem ausführen möchten AWS CLI, folgen Sie den verbleibenden Schritten in diesem Epos.

Generieren Sie einen eindeutigen Namen:

export EXECUTION_NAME="ecr-copy-$(date +%Y%m%d-%H%M%S)"

Führen Sie die Schrittfunktion aus.

export EXECUTION_ARN=$(aws stepfunctions start-execution \
  --state-machine-arn $STATE_MACHINE_ARN \
  --name $EXECUTION_NAME \
  --profile source-account \
  --region $SOURCE_REGION \
  --query 'executionArn' \
  --output text)

echo "Execution started: $EXECUTION_ARN"
echo "Execution Name: $EXECUTION_NAME"

Überprüfen Sie den Status:

aws stepfunctions describe-execution \
  --execution-arn $EXECUTION_ARN \
  --profile source-account \
  --region $SOURCE_REGION \
  --query '{Status:status,StartDate:startDate,StopDate:stopDate}' \
  --output table

Holen Sie sich den Verlauf:

aws stepfunctions get-execution-history \
  --execution-arn $EXECUTION_ARN \
  --profile source-account \
  --region $SOURCE_REGION \
  --query 'events[?type==`TaskStateEntered` || type==`TaskSucceeded` || type==`TaskFailed`].{Type:type,Timestamp:timestamp,Details:stateEnteredEventDetails.name}' \
  --output table

Listet die Repositorys im Zielkonto auf:

aws ecr describe-repositories \
  --profile destination-account \
  --region $DEST_REGION \
  --query 'repositories[].repositoryName' \
  --output table

Überprüfen Sie die Repository-Bilder:

for repo in $(echo $REPOSITORY_LIST | tr ',' ' '); do
  echo "\nImages in repository: $repo"
  aws ecr list-images \
    --repository-name $repo \
    --profile destination-account \
    --region $DEST_REGION \
    --query 'imageIds[].imageTag' \
    --output table 2>/dev/null || echo "Repository $repo not found or no images"
done