Запуск личного реестра Docker на EC2

Docker предоставляет реализацию реестра с  открытым исходным кодом,  называемую «Распространение», что позволяет любому легко запустить частный реестр Docker. 

Запуск серверного программного обеспечения в облаке AWS имеет несколько преимуществ:

• Сложное управление сетевой инфраструктурой
• Сложные инструменты контроля доступа
• Упругие балансировщики нагрузки
• Интегрированное управление DNS

AWS также предоставляет услуги управления контейнерами Docker через Elastic Container Service (ECS) и Elastic Beanstalk. Эти две службы отличаются по одному важному признаку: ECS ориентирован на управление задачами и службами (запускаемыми в виде контейнеров) на предварительно подготовленном и настроенном оборудовании, а Elastic Beanstalk — это инструмент для предоставления целых стеков, предназначенных для запуска указанного приложения.

Elastic Beanstalk используется для определения платформ и контекста для приложений, которые он запускал. Теперь, благодаря интеграции Docker, вы можете запускать независимое от платформы приложение в контейнерах, и ECS подчеркивает преимущества развертывания на основе Docker лучше, чем Elastic Beanstalk. По этой причине и принимая во внимание богатство существующего контента на Elastic Beanstalk, в этой статье будет использоваться ECS.

Служба Elastic Container Service (ECS) не является службой предоставления хоста. Хотя консоль управления предоставляет экран для предоставления базовой кластерной инфраструктуры, она использует только шаблон CloudFormation на серверной части. После того, как кластер подготовлен с этим шаблоном, изменения в новую инфраструктуру должны быть внесены непосредственно с помощью инструмента, специфичного для ресурса. Это также означает, что интеграция с существующей инфраструктурой или специализацией труднодостижима с этим автоматическим поставщиком кластера. Если вы знакомы с AWS в целом, вам следует подготовить собственные ECS-хосты EC2 (подробнее об этом чуть позже).

ECS занимается управлением «кластерами», «задачами» и «услугами». Кластер — это имя, которое разрешается в набор узлов-членов. Когда хост ECS подключается к сети, он запускает агент, который подключается к службе ECS и регистрируется в именованном кластере. Задача — это контейнер, запускаемый один раз, а служба — это контейнер, который следует перезапустить, если он остановится. Когда вы создаете новую задачу или службу, вы указываете кластер, где она должна быть запущена. Кластер обрабатывает задачи планирования и экземпляры служб для узлов-участников.

Чтобы интегрировать любой хост Docker с кластером ECS, этот хост должен запустить контейнер ECSAgent и задать имя кластера, к которому вы хотите присоединиться  /etc/ecs/ecs.config на хосте. Если вы настраивали хост ECS для работы в кластере с именем «default», вы можете установить для пользовательских данных для конфигурации запуска следующий скрипт:

#!/bin/bash
echo ECS_CLUSTER=default >> /etc/ecs/ecs.config

# Use the AWS ClI and "make bucket" (mb) command.
aws s3 mb s3://my-docker-registry-data

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::my-docker-registry-data"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::my-docker-registry-data/*"
            ]
        }
    ]
}

aws iam create-policy --policy-name registryaccess --policy-document file://registry-policy.json

# Create a user
aws iam create-user --user-name Registry
# Create credentials for the new user
aws iam create-access-key --user-name Registry
# Output similar to:
# {
#     "AccessKey": {
#         "UserName": "Registry",
#         "Status": "Active",
#         "CreateDate": "2015-03-09T18:39:23.411Z",
#         "SecretAccessKey": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
#         "AccessKeyId": "AKIAXXXXXXXXXXXXX"
#     }
# }

aws iam attach-user-policy --policy-arn arn:aws:iam::<YOUR AWS ACCOUNT ID>:policy/registryaccess --user-name Registry

# config.yml
version: 0.1
log:
    fields:
        service: registry
http:
    addr: :5000
storage:
    cache:
        layerinfo: inmemory
    s3:
        accesskey: <your awsaccesskey>
        secretkey: <your awssecretkey>
        region: <your bucket region>
        bucket: <your bucketname>
        encrypt: true
        secure: true
        v4auth: true
        chunksize: 5242880
        rootdirectory: /

# Dockerfile
FROM registry:2
COPY config.yml /etc/docker/registry/config.yml

[
    {
      "name": "registry",
      "image": "allingeek/registry:2-s3",
      "cpu": 1024,
      "memory": 1000,
      "entryPoint": [],
      "environment": [
        {
          "name": "REGISTRY_STORAGE_S3_ACCESSKEY",
          "value": "<YOUR NEW IAM USER ACCESS KEY>"
        },
        {
          "name": "REGISTRY_STORAGE_S3_SECRETKEY",
          "value": "<YOUR NEW IAM USER SECRET ACCESS KEY>"
        },
        {
          "name": "REGISTRY_STORAGE_S3_REGION",
          "value": "<YOUR S3 BUCKET REGION>"
        },
        {
          "name": "REGISTRY_STORAGE_S3_BUCKET",
          "value": "<YOUR S3 BUCKET NAME>"
        }
      ],
      "command": ["/etc/docker/registry/config.yml"],
      "portMappings": [
        {
          "hostPort": 5000,
          "containerPort": 5000,
          "protocol": "tcp"
        }
      ],
      "volumesFrom": [],
      "links": [],
      "mountPoints": [],
      "essential": true
    }
]

aws ecs register-task-definition --family registry --container-definitions file://registry-task.json

{
  "serviceName": "s3-registry-elb",
  "taskDefinition": "registry",
  "loadBalancers": [
    {
      "loadBalancerName": "<YOUR ELB NAME, something like: EC2Contai-EcsElast-S06278JGSJCM>",
      "containerName": "registry",
      "containerPort": 5000
    }
  ],
  "desiredCount": 1,
  "role": "ecsServiceRole"
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "elasticloadbalancing:Describe*",
        "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
        "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
        "ec2:Describe*",
        "ec2:AuthorizeSecurityGroupIngress"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::ecs-registry-demo"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": [
        "arn:aws:s3:::ecs-registry-demo/*"
      ]
    }
  ]
}

aws ecs create-service --service-name s3-registry-elb --cluster <YOUR CLUSTER NAME> --cli-input-json file://ecs-simple-service-elb.json

{}