【ECR爆速アップデート】SBOMや署名が「勝手に」同期される！プルスルーキャッシュが神アプデへ進化

Amazon ECRのプルスルーキャッシュ（Pull Through Cache）機能がアップデートされ、アップストリームレジストリからOCIリファラー（画像署名、SBOM、アテステーション等）を自動的に検出・同期することが可能になりました。これにより、クライアント側のカスタムスクリプトによる手動フェッチや複雑な回避策が不要となり、エンドツーエンドの署名検証ワークフローがシームレスに実現します。

🚨 ついに「コンテナの信頼性」が自動化される時代へ

これまでのECRプルスルーキャッシュは、イメージ本体は持ってこれても、セットで管理すべき**SBOM（ソフトウェア部品構成表）や署名（Signature）**が置いてけぼりになりがちでした。エンジニアとしては「イメージはキャッシュできたけど、脆弱性スキャン用のSBOMはどうやって同期するんだ？」という運用上の課題がありましたよね。

今回のアップデートは、まさにそこを解決する神アプデです！

✅ ここが凄い：技術的な解決策

• 自動同期メカニズム: ListImageReferrers APIを叩くだけで、ECRがバックグラウンドでアップストリームへ走り、関連するリファラーをプライベートリポジトリに自動キャッシュしてくれます。
• 更新頻度: リファラーは6時間ごとに自動チェックされるため、セキュリティ情報の鮮度も保ちやすい仕様です。

🇯🇵 日本国内の利用状況

リサーチの結果、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で、この機能はすでに利用可能です！日本国内のプロジェクトでも即座に導入検討できます。

💡 現場での運用アドバイス

• セキュリティ強化: SBOMや署名をECR内にキャッシュすることで、アップストリーム（Docker Hub等）がダウンしていても、ローカルの署名検証を継続できる「堅牢なサプライチェーン」を構築できます。
• 権限チェック: ListImageReferrers APIを使用する場合、ecr:BatchGetImage 権限が必要になる点に注意してください。
• ネットワーク構成: 初回プル時にはインターネットへのルートが必要です。VPCエンドポイント経由での利用時は、NATゲートウェイ等のルート確認を忘れずに！

🚀 まず何をすべきか？

まずは、既存のプルスルーキャッシュ環境で ListImageReferrers APIを試し、期待通りにSBOMなどのリファラーが同期されるか検証を開始しましょう！

参照ドキュメント: Amazon ECR documentation https://docs.aws.amazon.com/AmazonECR/latest/userguide/pull-through-cache.html