Elastic Container Registry stocke les images que ECS, EKS, Lambda et App Runner récupèrent et exécutent. Cela en fait une cible à double tranchant : les images sont une source de secrets (credentials et détails internes intégrés dans les couches), et un dépôt accessible en écriture est un point d'ancrage sur la chaîne d'approvisionnement, car un tag empoisonné s'exécute au prochain déploiement sous le rôle détenu par la charge de travail.
Ce qui s'y rattache#
- Dépôt public : récupérer depuis des dépôts publics ou faiblement cadrés pour en extraire des secrets.
- Politique de dépôt : récupération et poussée inter-comptes via une politique de dépôt permissive.
- Image poisoning : pousser un tag backdooré que la compute en aval va exécuter.
S'authentifier auprès d'ECR#
aws ecr get-login-password | docker login --username AWS --password-stdin \
<acct>.dkr.ecr.<region>.amazonaws.com
aws ecr describe-repositories ; aws ecr list-images --repository-name <r>