Amazon ECRコンテナイメージ管理実践｜プッシュ・スキャン・ライフサイクルポリシーの設定

1. ECRへのイメージプッシュ

# ECRにログイン（AWS CLI v2）
aws ecr get-login-password --region ap-northeast-1 | \
  docker login --username AWS \
  --password-stdin 123456789012.dkr.ecr.ap-northeast-1.amazonaws.com

# イメージをビルド
docker build -t my-app:latest .

# ECRのリポジトリURIでタグ付け
docker tag my-app:latest \
  123456789012.dkr.ecr.ap-northeast-1.amazonaws.com/my-app:latest

# ECRにプッシュ
docker push \
  123456789012.dkr.ecr.ap-northeast-1.amazonaws.com/my-app:latest

# タグをGitのSHAに設定（CI/CDの標準パターン）
docker tag my-app:latest \
  123456789012.dkr.ecr.ap-northeast-1.amazonaws.com/my-app:${GITHUB_SHA}

2. ECR拡張スキャン（Inspector連携）

ECRのイメージスキャンには基本スキャン（OS脆弱性）と拡張スキャン（AWS Inspectorと連携・OSとアプリケーションライブラリの両方をスキャン）があります。本番環境のリポジトリには拡張スキャンを有効にして「CRITICALまたはHIGHの脆弱性があるイメージをデプロイしない」ポリシーをCI/CDパイプラインに組み込むことを推奨します。

3. ライフサイクルポリシーで古いイメージを自動削除

{
  "rules": [
    {
      "rulePriority": 1,
      "description": "latestタグ以外で30日以上古いイメージを削除",
      "selection": {
        "tagStatus": "tagged",
        "tagPrefixList": ["v"],
        "countType": "sinceImagePushed",
        "countUnit": "days",
        "countNumber": 30
      },
      "action": {"type": "expire"}
    },
    {
      "rulePriority": 2,
      "description": "タグなしイメージを1日後に削除",
      "selection": {
        "tagStatus": "untagged",
        "countType": "sinceImagePushed",
        "countUnit": "days",
        "countNumber": 1
      },
      "action": {"type": "expire"}
    }
  ]
}

4. ECRのクロスアカウントアクセス

マルチアカウントのAWS環境では「共有サービスアカウントのECRから各環境（dev/stg/prod）がイメージをpullする」構成が一般的です。ECRのリソースポリシーで「別のAWSアカウントIDからのPull操作を許可する」設定を行うことで実現できます。