使用AWS CLI创建Lambda时公共ECR镜像URL报错排查

问题场景 #

在GitHub Actions流水线中执行以下逻辑：检查指定Lambda函数是否存在，若不存在则创建函数并使用public.ecr.aws/nginx/nginx:alpine-slim作为占位容器，后续步骤再替换为业务镜像。已完成ECR登录，但执行时始终报错镜像无效。

流水线代码 #

- name: Add Lambda
      id: lamda-managment
      shell: bash
      env:
        ECR_REGISTRY: ${{ steps.login-ecr.outputs.registry }}
        ECR_REPOSITORY: ${{env.ECR_REPOSITORY}}
        IMAGE_TAG: ${{env.ENV}}
      run: |
        aws lambda get-function --function-name ${{env.FUNCTION_NAME}} || \
        aws lambda create-function \
          --function-name ${{env.FUNCTION_NAME}} \
          --role arn:aws:iam::${{env.AWS_ACCOUNT_ID}}:role/lambda-ex \
          --package-type Image \
          --code ImageUri=public.ecr.aws/nginx/nginx:alpine-slim

错误信息 #

when calling the CreateFunction operation: Source image public.ecr.aws/nginx/nginx:alpine-slim is not valid.

问题原因 #

Lambda的容器镜像必须适配Lambda运行时接口（RIC），官方public.ecr.aws上的NGINX镜像只是标准Web服务镜像，没有集成Lambda所需的运行时接口客户端，因此无法被Lambda识别为有效镜像。

解决方法 #

方法1：构建适配Lambda的NGINX镜像 #

自己构建包含RIC的NGINX镜像，推送到你的ECR仓库后再使用：

1. 编写Dockerfile：

# 基于Lambda官方提供的运行时基础镜像
FROM public.ecr.aws/lambda/provided:al2

# 安装NGINX
RUN yum install -y nginx && yum clean all

# 编写Lambda入口脚本，处理运行时接口
COPY entry.sh /var/task/entry.sh
RUN chmod +x /var/task/entry.sh

# 指定Lambda启动命令
CMD ["/var/task/entry.sh"]

2. entry.sh示例（简化版占位用）：

#!/bin/sh
# 启动NGINX
nginx -g "daemon off;" &

# 启动Lambda运行时接口客户端
exec /usr/bin/aws-lambda-rie /var/runtime/bootstrap

3. 构建镜像并推送到你的ECR，之后在流水线中替换为该镜像URI。

方法2：用Lambda官方镜像临时占位 #

如果仅需要临时占位镜像，直接使用Lambda官方的语言基础镜像即可，比如Node.js镜像：

- name: Add Lambda
      id: lamda-managment
      shell: bash
      env:
        ECR_REGISTRY: ${{ steps.login-ecr.outputs.registry }}
        ECR_REPOSITORY: ${{env.ECR_REPOSITORY}}
        IMAGE_TAG: ${{env.ENV}}
      run: |
        aws lambda get-function --function-name ${{env.FUNCTION_NAME}} || \
        aws lambda create-function \
          --function-name ${{env.FUNCTION_NAME}} \
          --role arn:aws:iam::${{env.AWS_ACCOUNT_ID}}:role/lambda-ex \
          --package-type Image \
          --code ImageUri=public.ecr.aws/lambda/nodejs:20

方法3：使用第三方适配Lambda的NGINX镜像 #

可选择社区中已适配Lambda的NGINX镜像，但需注意安全性和维护性，优先推荐自行构建。

内容的提问来源于stack exchange，提问作者Hizzy