Karpenter AWS Provider中ECR拉取缓存仓库的权限优化方案

在Karpenter AWS Provider的节点角色配置中，我们发现了一个关于ECR（Elastic Container Registry）拉取缓存仓库（Pull-Through Cache Repositories）权限的重要优化点。当前v1.3.3版本的节点角色缺少ecr:BatchImportUpstreamImage权限，这会影响从ECR拉取缓存仓库获取新镜像的能力。

背景知识

ECR拉取缓存仓库是AWS提供的一项功能，它允许用户通过ECR作为代理缓存来自公共容器仓库（如第三方镜像源）的镜像。当节点尝试从这类缓存仓库拉取镜像时，系统需要额外的ecr:BatchImportUpstreamImage权限来执行上游镜像的批量导入操作。

现状分析

当前Karpenter AWS Provider的示例CloudFormation模板中，节点角色使用的是AmazonEC2ContainerRegistryReadOnly托管策略。这个策略虽然提供了基本的ECR读取权限，但缺少对拉取缓存仓库操作的支持。相比之下，AmazonEC2ContainerRegistryPullOnly策略不仅包含了所有必要的拉取权限，还专门包含了ecr:BatchImportUpstreamImage权限。

优化建议

我们建议将节点角色的ECR权限策略从AmazonEC2ContainerRegistryReadOnly升级为AmazonEC2ContainerRegistryPullOnly。这一变更将带来以下优势：

1. 完整支持ECR拉取缓存仓库功能
2. 遵循最小权限原则，移除不必要的只读权限
3. 与AWS官方推荐的EKS节点角色配置保持一致
4. 与Karpenter的EKS Auto Mode实现保持一致

技术细节

AmazonEC2ContainerRegistryPullOnly策略相比AmazonEC2ContainerRegistryReadOnly策略，主要增加了以下关键权限：

• ecr:BatchImportUpstreamImage：允许从上游仓库批量导入镜像
• ecr:GetDownloadUrlForLayer：获取镜像层的下载URL
• ecr:BatchGetImage：批量获取镜像

同时移除了以下不必要的权限：

• ecr:ListImages：列出仓库中的镜像
• ecr:DescribeImages：描述镜像详情

实施影响

这一变更对现有集群的影响极小，因为：

1. 所有必要的镜像拉取权限都得到保留
2. 移除的权限在节点运行过程中并非必需
3. 与AWS EKS最佳实践保持一致
4. 已经在Karpenter的EKS Auto Mode中得到验证

对于使用Karpenter AWS Provider的用户，建议在创建新集群时采用这一优化配置，以获得更好的容器镜像管理体验和更高的安全性。