Đặt quyền AWS ECS để hạn chế docker-pull đối với một số thẻ nhất định

Tôi đã hết sức tìm kiếm tài liệu, ví dụ và bài đăng gợi ý về cách hạn chế một số chính sách nhất định đối với một số thẻ hình ảnh Docker nhất định, nhưng không thể tìm thấy một ví dụ nào hoặc thậm chí là một yêu cầu mà người khác đã tìm cách làm điều tương tự . Cũng không may là có quá nhiều tài liệu về thẻ loại siêu dữ liệu AWS (Loại thẻ không đúng) hiển thị trong kết quả tìm kiếm.

Tôi đã ngây thơ cố gắng đặt thẻ thành giá trị tài nguyên, nhưng có thể truy cập thẻ từ người dùng thử mà không gặp sự cố.Tất nhiên, tôi cũng có thể đã vô tình thêm sai loại quyền truy cập, nhưng sau đó tôi thấy khó xác định quyền nào chịu trách nhiệm chung cho việc cho phép docker-pull và quyền nào liên quan cụ thể đến việc kéo thẻ (nếu có).

Nỗ lực của tôi liên quan đến việc đính kèm cả chính sách được quản lý "AmazonEC2ContainerRegistryReadOnly" và chính sách thứ hai có nội dung sau:

{
    "Phiên bản": "17-10-2012",
    "Bản tường trình": [
        {
            "Sid": "VisualEditor0",
            "Hiệu ứng": "Cho phép",
            "Hoạt động": [
                "ecr:DescribeImageScanFindings",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:DescribeImages",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetRepositoryPolicy",
                "ecr:GetLifecyclePolicy"
            ],
            "Tài nguyên": "arn:aws:ecr:us-east-1:326764833890:repository/*:Development-latest"
        },
        {
            "Sid": "VisualEditor1",
            "Hiệu ứng": "Cho phép",
            "Hoạt động": [
                "ecr:GetRegistryPolicy",
                "ecr:DescribeRegistry",
                "ecr:GetAuthorizationToken"
            ],
            "Nguồn": "*"
        }
    ]
}

Việc hạn chế đối với một số thẻ hình ảnh Docker nhất định có được hỗ trợ không? Tôi có thiếu thứ gì khác ở trên không?

Cảm ơn bạn.