Щоб розшарити ECR репозиторій (тільки на читання – лише завантажити) для всієї організації:

{
 "Version": "2008-10-17",
 "Statement": [
  {
   "Sid": "Organization ReadOnly access",
   "Effect": "Allow",
   "Principal": "*",
   "Action": [
    "ecr:BatchCheckLayerAvailability",
    "ecr:BatchGetImage",
    "ecr:GetDownloadUrlForLayer"
   ],
   "Condition": {
    "StringEquals": {
     "aws:PrincipalOrgID": "o-tb2dsr832"
    }
   }
  }
 ]
}

(Потрібно замінити aws:PrincipalOrgID на свій)

Дані правила (download only) застосовуються для інших акаунтів, а для AWS аккаунта, де знаходиться ECR – управляється за допомогою IAM політик, якими можна поставити потрібні права (в тому числі на upload).

#ECR