container-registry-management

コンテナレジストリ管理

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

イメージスキャン、脆弱性検出、保持ポリシー、アクセス制御、マルチリージョンレプリケーションを含む、包括的なコンテナレジストリ管理を実装します。

使用する場面

• コンテナイメージの保存と配布
• セキュリティスキャンとコンプライアンス
• イメージの保持とクリーンアップ
• レジストリのアクセス制御
• マルチリージョンデプロイ
• イメージの署名と検証
• コストの最適化

クイックスタート

最小限の実行例：

# ecr-setup.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: ecr-management
  namespace: operations
data:
  setup-ecr.sh: |
    #!/bin/bash
    set -euo pipefail

    REGISTRY_NAME="myapp"
    REGION="us-east-1"
    ACCOUNT_ID="123456789012"

    echo "Setting up ECR repository..."

    # Create ECR repository
    aws ecr create-repository \
      --repository-name "$REGISTRY_NAME" \
      --region "$REGION" \
      --encryption-configuration encryptionType=KMS,kmsKey=arn:aws:kms:$REGION:$ACCOUNT_ID:key/12345678-1234-1234-1234-123456789012 \
      --image-tag-mutability IMMUTABLE \
      --image-scanning-configuration scanOnPush=true || true

// ... (see reference guides for full implementation)

リファレンスガイド

詳細な実装については、references/ ディレクトリを参照してください：

ガイド	内容
AWS ECR のセットアップと管理	AWS ECR のセットアップと管理
コンテナイメージのビルドとプッシュ	コンテナイメージのビルドとプッシュ
Notary によるイメージ署名	Notary によるイメージ署名
レジストリのアクセス制御	レジストリのアクセス制御
レジストリのモニタリング	レジストリのモニタリング

ベストプラクティス

✅ 推奨事項

• デプロイ前にイメージをスキャンします
• イメージタグの不変性を使用します
• 保持ポリシーを導入します
• IAM でレジストリへのアクセスを制御します
• 検証のためにイメージに署名します
• リージョン間でレプリケーションします
• レジストリのストレージを監視します
• プライベートレジストリを使用します

❌ 避けるべきこと

• パブリックレジストリにプッシュする
• 本番環境で latest タグを使用する
• 匿名でのプルを許可する
• イメージにシークレットを保存する
• 古いイメージを無期限に保持する
• スキャンせずにプッシュする
• デフォルトの認証情報を使用する
• レジストリの認証情報を共有する