自分のイメージを、
ECRに送り込む

手順に迷ったときや、用語の意味を確かめたいときに開きましょう。

※ リンク切れの場合は、ページタイトルで検索してください。

「認証する」→「タグを付ける」→「送り込む」→「確認する」という流れを体験します。

以下の要件を満たし、ローカルのイメージをECRに送り込むところまでを体験してください。

「権限を整える」→「リポジトリを作る」→「認証してタグ付けする」→「プッシュして確認する」という順番で進めます。

1. フェーズ1 — 権限を整える

2. IAMユーザーにECRの操作権限を付与する

   使用するIAMユーザーに、AWS管理ポリシー AmazonEC2ContainerRegistryFullAccess をアタッチします。すでに同等の権限を持っている場合はこの手順は不要です。

   なぜこの権限が必要か

   ECRへの認証トークン取得（ecr:GetAuthorizationToken）や、イメージのプッシュ・プルには、それぞれ個別のIAM許可が必要です。このポリシーには、ハンズオンで使う一連の操作がまとめて含まれています。

3. フェーズ2 — リポジトリを作る

4. Amazon ECRコンソールでプライベートリポジトリを作成する

   ECRコンソールを開き、「プライベートリポジトリ」を選択して「リポジトリの作成」を進めます。リポジトリ名は自由に決められます（例：my-first-repo）。英字で始まり、小文字・数字・ハイフンなどのみを含む名前にします。

   「Image tag immutability（イメージタグのミュータビリティ）」は、迷う場合は「ミュータブル」のままで進めて構いません。タグの上書きを許可するか禁止するかの設定です。暗号化設定はデフォルト（AES-256）のままで問題ありません。

5. フェーズ3 — 認証してタグ付けする

6. ECRレジストリに対してDockerを認証する

   ターミナルで、リージョンとAWSアカウントIDを自分の環境のものに置き換えて実行します。

   # region・aws_account_id は自分の環境の値に置き換える
   aws ecr get-login-password --region <region> | docker login --username AWS --password-stdin <aws_account_id>.dkr.ecr.<region>.amazonaws.com

   Login Succeeded と表示されれば認証は成功です。

7. ローカルイメージにECR向けのタグを付ける

   docker images でプッシュしたいイメージのIDまたは名前を確認し、ECRのリポジトリURIを含む形式でタグを付けます。

   docker images
   
   # 例: ローカルイメージ my-custom-nginx:1.0 にタグを付ける場合
   docker tag my-custom-nginx:1.0 <aws_account_id>.dkr.ecr.<region>.amazonaws.com/my-first-repo:1.0

   タグの形式

   ECR向けのタグは「レジストリURI／リポジトリ名：任意のタグ」という形式になります。リポジトリ名の部分は、作成したリポジトリ名と完全に一致させる必要があります。

8. フェーズ4 — プッシュして確認する

9. docker pushでイメージを送り込む

   docker push <aws_account_id>.dkr.ecr.<region>.amazonaws.com/my-first-repo:1.0

   転送の進捗が表示され、完了するとプッシュされたイメージのダイジェスト（識別子）が表示されます。

10. コンソールで保管されたイメージを確認する

    ECRコンソールで作成したリポジトリを開き、「イメージ」タブに、付けたタグ名のイメージが表示されていることを確認します。

    これがゴール

    自分のパソコンの中にしかなかったイメージが、AWS上の保管場所に存在している——この状態を確認できたら、このハンズオンの目的は達成です。

初学者がよく引っかかる箇所を先回りでまとめました。答えそのものは載せていませんが、「どこを見直すか」の手がかりとして使ってください。

要件の再確認ではなく、画面・ターミナルのどこを見れば達成を確認できるかをまとめました。次を順に確かめましょう。

• ターミナルで Login Succeeded と表示されている。
• docker push の実行ログが、エラーなく完了している。
• ECRコンソールのリポジトリの「イメージ」タブに、付けたタグ名のイメージが表示されている。
• イメージの詳細を開くと、プッシュした日時とサイズが表示されている。

手を動かすことに加えて、次の問いに自分の言葉で答えられるようにしておくと、理解がより深まります。

1. このリポジトリに、自分以外の誰か（別のIAMユーザーやAWSアカウント）からアクセスできるようにするには、何を設定する必要があるでしょうか。
   ヒント

   IAMユーザー自体への許可と、リポジトリそのものに対する許可（リポジトリポリシー）の、2つのレベルがあることを思い出してみましょう。
2. 「Image tag immutability」を「イミュータブル」に設定していた場合、同じタグ名で再度プッシュしようとするとどうなるでしょうか。
   ヒント

   「上書きを防ぐ」という設定の意味を踏まえると、同じ名前の荷物を同じ場所にもう一度送ろうとしたら何が起きるか、考えてみましょう。
3. ECRに保管したこのイメージを、実際にコンテナとして動かす（起動し続ける）には、次にどのようなAWSのサービスが必要になりそうでしょうか。
   ヒント

   ECRは「保管場所」であり、起動・実行を担当する場所ではありません。コンテナを動かし続ける役割を持つサービスが別に必要になります（このハンズオンでは扱っていない発展的な内容です）。

課金につながるリソースを残さないよう、以下を確認してください。

1. プッシュしたイメージを削除する：ECRコンソールでリポジトリを開き、不要なイメージタグを選択して削除します。
2. リポジトリを削除する：今後使わない場合は、リポジトリ自体を削除します（中のイメージも合わせて削除されます）。
3. 付与したIAM権限を見直す：このハンズオン専用にポリシーを付与した場合は、不要であればデタッチします。
4. ローカルイメージ・コンテナを削除する：本編で使ったローカルのイメージ・コンテナが残っていれば、docker rmi・docker rm で削除します。