使用aws-cli访问ECR正常但Docker登录报401错误求助

1. 核对命令参数与环境变量 #

• 确认$ACCOUNT_ID环境变量值正确，执行echo $ACCOUNT_ID验证输出是否为目标AWS账户ID
• 检查ECR终端节点区域：确保命令中的eu-west-1与ECR仓库实际所在区域完全一致，区域不匹配会直接导致认证失败

2. 验证AWS CLI凭证与Docker交互逻辑 #

• 确认AWS CLI配置一致性：执行aws configure list，检查当前使用的access key、secret key、区域是否与成功执行aws ecr describe-repositories的配置完全相同
• 手动校验登录密码生成：执行aws ecr get-login-password，检查输出是否为有效长字符串，若为空或报错，说明凭证生成环节存在问题
• 检查Docker凭证存储：执行docker config get credsStore查看当前凭证存储后端，若使用desktop或第三方存储，修改~/.docker/config.json中的credsStore字段为file后重试登录

3. 排查权限与STS临时凭证异常 #

• 确认ecr:GetAuthorizationToken权限：即便拥有AdministratorAccess，也要检查是否存在会话策略、权限边界限制了该操作（这是生成登录密码的核心权限）
• 调整STS区域配置：执行aws configure get sts_regional_endpoints，确保值为regional；若为legacy，执行aws configure set sts_regional_endpoints regional后重试
• 检查临时凭证有效期：若使用角色临时凭证，执行aws sts get-caller-identity查看凭证过期时间，避免使用已过期的凭证

4. 排查网络与传输环节问题 #

• 检查Docker代理设置：查看~/.docker/config.json中的proxies字段或Docker桌面端代理配置，确认代理未篡改请求头或阻止ECR访问
• 跳过管道直接登录：将aws ecr get-login-password的输出复制，执行docker login --username AWS --password <复制的凭证> $ACCOUNT_ID.dkr.ecr.eu-west-1.amazonaws.com，排除管道传输的字符截断或编码问题
• 确认网络连通性细节：虽然curl返回401说明网络可达，但需确保本地防火墙、安全组未拦截Docker的HTTPS请求（443端口）

5. Docker版本兼容性排查 #

• 尝试降级Docker版本：Docker 26.x可能存在ECR登录兼容性问题，临时降级至25.x版本后测试登录
• 重置Docker凭证：执行docker logout $ACCOUNT_ID.dkr.ecr.eu-west-1.amazonaws.com清除无效凭证，再重新执行登录命令

内容的提问来源于stack exchange，提问作者M3RS