AWS ECR登录权限配置问题咨询

阿华AIGC实验室

2026-4-22

AWS ECR登录权限配置问题咨询

你好，我来帮你梳理并解决这个ECR登录权限的问题：

问题场景

你执行ECR登录命令时遇到了权限错误，同时还收到了非TTY设备的提示：

aws ecr get-login-password --region ap-south-1 | docker login --username AWS --password-stdin {id}.dkr.ecr.{region}.amazonaws.com

对应的错误详情：

An error occurred (AccessDeniedException) when calling the GetAuthorizationToken operation: User: arn:aws:iam::{id}:{user/username} not authorized to perform: ecr:GetAuthorizationToken on resource: * because no identity-based policy allows the ecr:GetAuthorizationToken action
Error: Cannot perform an interactive login from a non TTY device.

你尝试将IAM政策中的Resource改为*后就能正常登录，但原本的政策目标是限制特定用户仅能拉取带有指定标签的特定ECR仓库镜像，原政策内容如下：

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowPullImageTag",
"Effect": "Allow",
"Action": [
"ecr:GetAuthorizationToken",
"ecr:GetDownloadUrlForLayer",
"ecr:BatchGetImage",
"iam:GetAccountAuthorizationDetails"
],
"Resource": [
"arn:aws:ecr:{region}:{id}:{repository}/{repository}"
],
"Condition": {
"StringEquals": {
"aws:RequestTag/environment": "{taganame}"
}
}
}
]
}

问题原因分析

核心问题出在ecr:GetAuthorizationToken这个API的权限特性上：

该API是全局级别的操作，不支持指定具体的ECR仓库作为资源，必须将Resource设为*才能通过权限验证。
你之前把它和仓库级别的操作（比如ecr:GetDownloadUrlForLayer、ecr:BatchGetImage）放在同一个Statement里，并指定了具体仓库资源，导致GetAuthorizationToken的权限校验失败。

另外，那个“非TTY设备”的提示其实不影响最终登录结果——因为我们用了--password-stdin参数跳过了交互式输入，只要前面的权限问题解决，登录就能成功。

正确的政策配置方案

我们需要把GetAuthorizationToken单独拆分到一个Statement中（资源设为*），然后把仓库级别的拉取操作放在另一个Statement里，保留你的标签限制条件，调整后的政策如下：

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowECRLoginToken",
"Effect": "Allow",
"Action": "ecr:GetAuthorizationToken",
"Resource": "*"
},
{
"Sid": "AllowPullSpecificTaggedImage",
"Effect": "Allow",
"Action": [
"ecr:GetDownloadUrlForLayer",
"ecr:BatchGetImage"
],
"Resource": "arn:aws:ecr:{region}:{id}:repository/{repository-name}",
"Condition": {
"StringEquals": {
"aws:RequestTag/environment": "{taganame}"
}
}
}
]
}