ECR
Amazon Elastic Container Registry
在 AWS 上保管容器映像的服務。
一句話說明
在 AWS 上保管容器映像的服務。
概要
Amazon ECR 是用於儲存與管理 Docker 容器映像的容器登錄服務。
主要用途
- 儲存 ECS 用的映像
- 儲存 App Runner 用的映像
- 保管 CI/CD 建立的容器
CLF-C02 考試重點
- 為容器映像的儲存位置
- 與 ECS 或 EKS 組合使用
- 可作為私有登錄使用
SAA-C03 考試重點
- 透過映像掃描檢查弱點
- 以生命週期政策刪除過舊映像
- 與 CI/CD 管線整合
實際使用情境
Amazon ECR(Elastic Container Registry)是用於儲存與管理 Docker 容器映像和 OCI 格式產物的全託管容器登錄服務。分為私有登錄(在帳戶 / IAM 範圍內封閉共享)與公開登錄(網際網路公開)2 種,並與 ECS / EKS / App Runner / Lambda(以容器映像執行)等 AWS 上的容器執行基礎緊密整合。從 Docker CLI 可以與一般登錄相同的 `docker push` / `docker pull` 進行操作,認證則透過 IAM 發行的暫時權杖。 實務上的代表性使用情境是 CI/CD 管線推送映像,以及 ECS / EKS 任務自動拉取。CodeBuild 或 GitHub Actions 建置映像並推送至 ECR,然後 ECS 服務更新時新的任務定義從 ECR 拉取最新映像並執行。ECR 具備映像掃描功能(Basic 掃描與 Enhanced 掃描),可在推送時自動偵測已知漏洞(CVE)並通知。設定生命週期政策可自動刪除舊映像(以標籤數或建立日期為基準),防止儲存成本膨脹。 安全運維方面,可透過儲存庫政策(基於資源的 IAM)控制「哪些 IAM 主體可推送 / 拉取」,防止未授權寫入正式環境映像。基本原則是不在容器映像中包含 API 金鑰、`.env` 檔案、私密金鑰(改用環境變數或從 Secrets Manager / Parameter Store 在執行時注入)。CLF-C02 會以「儲存容器映像的服務」、「與 ECS / EKS 組合使用的登錄」等形式出題。SAA-C03 以上則會進一步考 Enhanced 掃描與 Amazon Inspector 的整合、跨帳戶複寫、透過 Private endpoint(VPC 端點)拉取映像等內容。
官方文件
成本注意事項
- 依儲存容量與資料傳輸計費
- 勿持續保留不需要的舊映像
安全性注意事項
- 透過 IAM 限制儲存庫權限
- 勿在映像中包含 API 金鑰或 .env
相關服務
相關比較文章
此術語尚未登錄相關比較文章。
相關架構圖
此術語尚未登錄相關架構圖。
標籤
最後更新日: 2026-06-07