การตั้งค่าสิทธิ์ AWS ECS เพื่อจำกัด docker-pull เฉพาะบางแท็ก

ฉันได้มองหาเอกสารประกอบ ตัวอย่าง และโพสต์ที่บอกเป็นนัยถึงวิธีจำกัดนโยบายบางอย่างสำหรับแท็กรูปภาพ Docker บางอย่าง แต่ไม่พบตัวอย่างเดียวหรือแม้แต่คำขอที่มีผู้อื่นพยายามทำเช่นเดียวกัน . น่าเสียดายที่เอกสารจำนวนมากสำหรับแท็กประเภทข้อมูลเมตาของ AWS (แท็กผิดประเภท) ปรากฏในผลการค้นหา

ฉันพยายามตั้งค่าแท็กเป็นค่าทรัพยากรอย่างไร้เดียงสา แต่สามารถเข้าถึงได้จากผู้ใช้ทดสอบโดยไม่มีปัญหาแน่นอน ฉันอาจเพิ่มการเข้าถึงผิดประเภทโดยไม่ได้ตั้งใจเช่นกัน แต่ฉันพบว่าเป็นการยากที่จะระบุว่าสิทธิ์ใดมีหน้าที่รับผิดชอบในการอนุญาต docker-pull และสิทธิ์ใดที่เกี่ยวข้องกับการดึงแท็กโดยเฉพาะ (ถ้ามี)

ความพยายามของฉันเกี่ยวข้องกับการแนบทั้งนโยบายที่มีการจัดการ "AmazonEC2ContainerRegistryReadOnly" และนโยบายที่สองที่มีดังต่อไปนี้:

{
    "เวอร์ชัน": "2012-10-17",
    "คำแถลง": [
        {
            "ซิด": "VisualEditor0",
            "เอฟเฟกต์": "อนุญาต",
            "หนังบู๊": [
                "ecr:DescribeImageScanFindings",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:DescribeImages",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetRepositoryPolicy",
                "ecr:GetLifecyclePolicy"
            ]
            "ทรัพยากร": "arn:aws:ecr:us-east-1:326764833890:repository/*:development-latest"
        },
        {
            "ซิด": "VisualEditor1",
            "เอฟเฟกต์": "อนุญาต",
            "หนังบู๊": [
                "ecr:GetRegistryPolicy",
                "ecr:DescribeRegistry",
                "ecr:GetAuthorizationToken"
            ]
            "ทรัพยากร": "*"
        }
    ]
}

รองรับการจำกัดแท็ก Docker-image บางอย่างหรือไม่ ฉันขาดอะไรอีกหรือเปล่า?

ขอขอบคุณ.