ECRにイメージが複数作成されてしまい、Lambdaにデプロイできない問題 #AWS – Qiita

では実際に、先程プッシュしたECR上のコンテナイメージを確認してみましょう。

まずv7のタグが付いたイメージです。よく見ると、「Image Index」と記載されています。
つまり、こいつが目次ですね。このインデックスの配下にタグ無しの2つのImageが存在している、ということになりそうです。

タグのついていない、2つのImageを見てみましょう。
Configの設定が記載されているので、恐らくこの実態としてはイメージマニフェストです。

ただこれだけでは情報が不足していて、どれがどういうイメージマニフェストなのかわかりません。

そこで、ローカル環境でdocker buildx imagetools inspect コマンドを実行します。これでより詳細にマニフェストの中身を確認できます。

# 1.認証トークンを取得し、レジストリに対して Docker クライアントを認証します
$ aws ecr get-login-password --region  | docker login --username AWS --password-stdin .dkr.ecr..amazonaws.com

# 2.ECRからローカル環境へ、イメージをプルする
$ docker pull .dkr.ecr..amazonaws.com/:

# 3.マニフェストの中身を確認する
$ docker buildx imagetools inspect .dkr.ecr..amazonaws.com/:

# 今回の実行結果
$  docker buildx imagetools inspect .dkr.ecr..amazonaws.com/blog-service-app:v7 
Name:      .dkr.ecr..amazonaws.com//blog-service-app:v7
MediaType: application/vnd.oci.image.index.v1+json
Digest:    sha256:*****************
           
Manifests: 
  Name:        .dkr.ecr..amazonaws.com//blog-service-app:v7@sha256:*****************
  MediaType:   application/vnd.oci.image.manifest.v1+json
  Platform:    linux/arm64
               
  Name:        .dkr.ecr..amazonaws.com/blog-service-app:v7@sha256:*****************
  MediaType:   application/vnd.oci.image.manifest.v1+json
  Platform:    unknown/unknown
  Annotations: 
    vnd.docker.reference.digest: sha256:*****************
    vnd.docker.reference.type:   attestation-manifest

1つ目に表示されたマニフェストは、Platform: linux/arm64と記載されているので、イメージマニフェストです。つまり、こちらがイメージの実態です。
ECRコンソールで言うと、2つ目のImageが該当していそうです(イメージサイズがきちんと設定されているため)。

2つ目に表示されたマニフェストは、Platform: unknown/unknownかつreference.type: attestation-manifestが設定されているため、証明マニフェストです。
ECRコンソールで言うと、1つ目のImageが該当していそうです(ただ証明を保存するため、イメージサイズが0となっていると推測)。

ということで上記を踏まえると、v7のイメージの構造としては、以下のようになります。

イメージインデックス: v7タグ付き
  ├── 証明マニフェスト（Attestation Manifest）: タグなし1つ目
  └── イメージマニフェスト（実行可能イメージ）: タグなし2つ目
        ├── イメージコンフィグ
        └── イメージレイヤー

ここまで読むと、セキュリティ的にProvenanceを有効化しておいたほうが良さそうですよね。

ただ、Lambdaを使う場合は、そうもいかない理由があります。
Lambda自体がLinuxベースのコンテナイメージのみをサポートしており、マルチアーキテクチャコンテナイメージには対応していないためです。

すなわち、provenanceを有効化した状態でImageをビルドした結果生成される、複数のManifestを含むImage Indexを指定した場合、Lambdaを起動できないということです。

また、冒頭のエラー文を思い出してみると、以下のように記載されていました。

ソースイメージv7のイメージマニフェスト、構成、またはレイヤーメディアタイプはサポートされていません

これまでの調査を踏まえてこの文章を噛み砕くと、

• ソースイメージv7(Image Index)配下にImage Manifest, Image Config, Image Layerが存在する
• ただ、Lambdaへのデプロイにおいてはサポートされていない要素が含まれている
  • 通常のImage Manifestは問題ない
  • ただ、Attestation Manifestも含まれていると、マルチアーキテクチャコンテナイメージとなってしまう
  • あとはシンプルに、Attestation Manifestをデプロイすることができない

という形になっているためのエラーであることがわかります。

コンテナイメージを用いてLambdaを起動したい場合は、Provenanceオプションを無効化しましょう！

(ここまで読んだうえで、冒頭の解消用コマンドBUILDX_NO_DEFAULT_ATTESTATIONSを見ると、その意味が理解できるかも？)

# docker compose buildコマンドの前に環境変数を設定
# ビルド時のAttestationsを無効化
$ export BUILDX_NO_DEFAULT_ATTESTATIONS=1
$ docker compose build