使用docker compose --pull无法从ECR获取更新镜像的问题排查

背景 #

我有一个存储私有Docker镜像的AWS ECR私有仓库，同一账号下的EC2实例已配置ECR Helper，可正常拉取、运行镜像。

问题现象 #

更新镜像后，使用相同标签2.0.0.0-dev推送到ECR（镜像哈希已变更），执行以下命令时，Docker Compose无法检测到镜像更新，直接重建容器而不拉取最新镜像：

docker compose up -d --pull missing --quiet-pull --force-recreate

但单独执行docker compose pull时，能正常检测到镜像变化并拉取最新版本。

疑问 #

• 是否遗漏了配置或操作有误？
• 按理解--pull missing应与docker compose pull作用一致，是不是IAM策略缺少权限？
• latest标签与其他标签的处理逻辑不同吗？

补充说明 #

已开启Docker调试日志但未获取到有效信息；目前在EC2本地测试，后续将用于Ansible脚本，因此不想使用--pull always（仅需在镜像变化时拉取，部分场景仅需重启容器）。虽可通过先执行docker compose pull再重启的方式解决，但希望能用单条命令完成。

相关配置 #

EC2实例IAM配置文件 #

{
    "Statement": [
        {
            "Action": "ecr:GetAuthorizationToken",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:DescribeImages"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:ecr:us-west-2:XXXXXXXXXXXX:repository/my_app"
        }
    ],
    "Version": "2012-10-17"
}

compose.yaml内容 #

---
services:
  my_app:
    image: XXXXXXXXXXXX.dkr.ecr.us-west-2.amazonaws.com/my_app:2.0.0.0-dev
    container_name: my_app
    restart: always
    environment:
      PUID: 1001
      PGID: 1001
      CONNECTION_STRING_FILE: /run/secrets/connection_string
      SLACK_APP_TOKEN_FILE: /run/secrets/slack_app_token
      SLACK_BOT_TOKEN_FILE: /run/secrets/slack_bot_token
    secrets:
      - connection_string
      - slack_app_token
      - slack_bot_token
    volumes:
      - ./config/:/config:ro
      - /var/log/my_app/:/logs/


secrets:
  slack_app_token:
    file: "/etc/my_app/slack_app_token"
  slack_bot_token:
    file: "/etc/my_app/slack_bot_token"
  connection_string:
    file: "/etc/my_app/connection_string"

原因分析 #

1. --pull missing的逻辑限制：该参数仅会拉取本地完全不存在的镜像，不会检查已有标签对应的镜像是否有远程更新。当本地已存在2.0.0.0-dev标签的镜像时，即使远程镜像哈希变更，--pull missing也不会触发拉取操作。
2. docker compose pull的逻辑差异：该命令会主动对比本地镜像与远程镜像的哈希值，发现不一致时就会拉取最新版本，不受本地是否已有该标签镜像的影响。
3. IAM权限无问题：你的IAM策略已包含ECR拉取所需的全部权限，且单独执行pull命令正常，排除权限缺失的可能。
4. 标签处理逻辑一致：latest标签与其他标签在拉取逻辑上没有本质区别，只是latest是行业默认的“最新版本”约定，Docker不会因为标签名称不同而改变更新检查逻辑。

解决方案 #

• 组合命令实现需求：若要单条命令完成“仅镜像更新时拉取并重建”，可使用：

  docker compose pull && docker compose up -d --force-recreate --quiet-pull
  

  这条命令会先检查并拉取更新的镜像，再重建容器，符合“仅镜像变化时拉取”的要求。
• 无单条up命令的替代参数：目前Docker Compose没有直接的参数能让up命令同时实现“检查镜像更新并拉取”（除了--pull always），因为--pull missing的设计目标就是只拉取本地缺失的镜像，不做更新检查。

内容的提问来源于stack exchange，提问作者vane