替换ECR弃用的autoDeleteImages属性后出现DescribeRepositories权限拒绝

云原生阿岚

2026-7-1

解决方案

一、彻底移除`autoDeleteImages`属性的残留影响

直接删除代码中所有与autoDeleteImages相关的内容（包括注释行），确保代码仅保留emptyOnDelete: true的配置。
运行cdk synth生成最新的CloudFormation模板，检查模板中是否存在与旧autoDeleteImages功能绑定的自定义资源（比如用于批量删除镜像的Lambda函数），确认这类资源会在后续部署中被移除。
执行cdk diff对比本地栈与已部署栈的差异，验证autoDeleteImages相关的旧配置已完全清除，emptyOnDelete的设置正确生效。

二、解决`AccessDeniedException`权限问题

emptyOnDelete功能需要CDK在部署阶段查询ECR仓库的镜像状态并执行清空操作，因此必须给部署身份（IAM用户/角色）添加以下权限：

手动配置IAM策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:DescribeRepositories",
        "ecr:ListImages",
        "ecr:BatchDeleteImage"
      ],
      "Resource": "arn:aws:ecr:${你的区域}:${你的账号ID}:repository/test-ecs-api-svc"
    }
  ]
}

通过CDK代码自动给部署角色添加权限：

import * as iam from 'aws-cdk-lib/aws-iam';

// 匹配部署角色并追加权限
const deployRole = this.node.tryFindChild('DeploymentRole') as iam.Role;
if (deployRole) {
  deployRole.addToPolicy(new iam.PolicyStatement({
    actions: [
      'ecr:DescribeRepositories',
      'ecr:ListImages',
      'ecr:BatchDeleteImage'
    ],
    resources: [this.ecr.repositoryArn],
  }));
}