機能追加依頼: Amazon ECR の dual-stack endpoint 対応

[shiino-shunsuke]

概要

現状の ecspresso では、 おそらく ECR の dual-stack endpoint に対応していないものと理解しておりますが
機能追加いただけないでしょうか。

https://docs.aws.amazon.com/AmazonECR/latest/userguide/ecr-requests.html#ipv6-access-getting-started

ECS task をデュアルスタックのプライベートサブネットで起動し、ipv6 を割り当てた上で
Egress-Only インターネットゲートウェイ経由でECRにアクセスする構成を検討しています。

詳細

当該環境で ecspresso を利用しようとした際、エラーが発生しましたので
あわせてご報告いたします。
この現象から、 ECR の dual-stack endpoint に現状対応されていないものと判断いたしました。

1. verify コマンド

verify コマンド実行時に下記エラーが発生しました。

verify TaskDefinition failed: verify ContainerDefinition[XXXXX] failed: verify Image[XXXXX.dkr-ecr.ap-northeast-1.on.aws/XXXXX:XXXXX] failed: aborted

こちらの正規表現が原因の1つでしょうか。

ecspresso/verify.go

Line 628 in 52e76b8

ecrImageURLRegex = regexp.MustCompile(`^([0-9]+)\.dkr\.ecr\.([0-9a-zA-Z-]+)\.amazonaws\.com(?:\.cn)?\/.*`)

2. deploy コマンド

verify コマンドを実行せず、 deploy コマンドのみを実行した場合下記エラーが発生しました。

ResourceInitializationError: unable to pull secrets or registry auth: The task cannot pull registry auth from Amazon ECR: There is a connection issue between the task and Amazon ECR. Check your task network configuration. operation error ECR: GetAuthorizationToken, exceeded maximum number of attempts, 3, https response error StatusCode: 0, RequestID: , request send failed, Post "https://api.ecr.ap-northeast-1.amazonaws.com/": dial tcp [64:ff9b::370:40d4]:443: i/o timeout

依頼内容

可能であれば ipv6 環境でもecspressoを使用したいと考えておりますが、
ご対応いただく予定はございますでしょうか。
もしくは、ワークアラウンドがございましたらご教授いただけると幸いです。

[fujiwara]

@shiino-shunsuke
報告ありがとうございます。

1. verifyエラーは、ECRのイメージかどうかを判定している正規表現にマッチしないため発生していそうです。これはIPv6のURLもECRのものとして扱うように修正する予定です

2. deployコマンドのエラーなのですが、このエラーはecspressoではなくECS側で発生しているように見えます。ログを省略せず(必要な値はマスクした上で)見せていただけますか?

[shiino-shunsuke]

@fujiwara ご返答ありがとうございます。

1. 承知しました。ありがとうございます。

2. エラーは下記のようになっておりました。

確かにECS側で発生しています。
ecspressoが使用しているAPIのエンドポイントが api.ecr.ap-northeast-1.amazonaws.com となっており、
これがディアルスタック用のECR APIエンドポイント ecr.<aws-region>.api.aws と異なるために
リクエストタイムアウトとなっているように見受けられました。

2025-10-27T09:06:28.201Z [INFO] [XXX/XXX] Registering a new task definition...
2025-10-27T09:06:28.268Z [INFO] [XXX/XXX] Task definition is registered XXXXX:XXXXX
2025-10-27T09:06:28.269Z [INFO] [XXX/XXX] deployment by ECS rolling update
2025-10-27T09:06:28.269Z [INFO] [XXX/XXX] Updating service attributes...
2025-10-27T09:06:32.242Z [INFO] [XXX/XXX] desired count: 2
2025-10-27T09:06:32.242Z [INFO] [XXX/XXX] Updating service tasks...
2025-10-27T09:06:35.690Z [INFO] [XXX/XXX] Waiting for service deployed...(it will take a few minutes)
2025-10-27T09:06:35.747Z [INFO] [XXX/XXX] Waiting for service deployment XXXXXXXX to complete...
2025-10-27T09:06:45.863Z [INFO] [XXX/XXX]  PRIMARY XXXXX:XXXXX desired:1 pending:1 running:0 IN_PROGRESS(ECS deployment ecs-svc/9353343694654749991 in progress.)
2025-10-27T09:06:45.863Z [INFO] [XXX/XXX]   ACTIVE XXXXX:XXXXX desired:0 pending:0 running:0 FAILED(ECS deployment circuit breaker: tasks failed to start.)
2025-10-27T09:06:41.858Z (service XXX) has started 1 tasks: (task XXXXXXXX).
2025-10-27T09:06:45.933Z [INFO] [XXX/XXX] Service deployment status: IN_PROGRESS
2025-10-27T09:09:45.866Z [INFO] [XXX/XXX]  PRIMARY XXXXX:XXXXX desired:1 pending:0 running:0 IN_PROGRESS(ECS deployment ecs-svc/9353343694654749991 in progress.)
2025-10-27T09:09:45.866Z [INFO] [XXX/XXX]   ACTIVE XXXXX:XXXXX desired:0 pending:0 running:0 FAILED(ECS deployment circuit breaker: tasks failed to start.)
2025-10-27T09:09:46.505Z (service XXX) was unable to place a task. Reason: ResourceInitializationError: unable to pull secrets or registry auth: The task cannot pull registry auth from Amazon ECR: There is a connection issue between the task and Amazon ECR. Check your task network configuration. operation error ECR: GetAuthorizationToken, exceeded maximum number of attempts, 3, https response error StatusCode: 0, RequestID: , request send failed, Post "https://api.ecr.ap-northeast-1.amazonaws.com/": dial tcp [64:ff9b::370:40d4]:443: i/o timeout.
2025-10-27T09:09:48.555Z (service XXX) has started 1 tasks: (task XXXXXXXX).
2025-10-27T09:09:55.863Z [INFO] [XXX/XXX]  PRIMARY XXXXX:XXXXX desired:1 pending:1 running:0 IN_PROGRESS(ECS deployment ecs-svc/9353343694654749991 in progress.)
2025-10-27T09:09:55.863Z [INFO] [XXX/XXX]   ACTIVE XXXXX:XXXXX desired:0 pending:0 running:0 FAILED(ECS deployment circuit breaker: tasks failed to start.)
2025-10-27T09:10:26.452Z [WARN] Interrupted

[fujiwara]

2025-10-27T09:09:46.505Z (service XXX) was unable to place a task. Reason: ResourceInitializationError: unable to pull secrets or registry auth: The task cannot pull registry auth from Amazon ECR: There is a connection issue between the task and Amazon ECR. Check your task network configuration. operation error ECR: GetAuthorizationToken, exceeded maximum number of attempts, 3, https response error StatusCode: 0, RequestID: , request send failed, Post "https://api.ecr.ap-northeast-1.amazonaws.com/": dial tcp [64:ff9b::370:40d4]:443: i/o timeout.

このエラーはECSサービスが出力しているもので、ECSの実行環境(FargateやEC2)からECRのapiに接続できずに発生しているようです。

ecspressoがECRのAPIを使用するのはverify時のみでdeploy時に使用することはないので、このエラーはecspresso自体とは無関係に見えます。