Azure DevOps Pipeline执行AWS ECR登录时遇授权错误求助

问题分析 #

你当前的Pipeline中，虽然通过aws ecr get-login-password完成了Docker登录，但DockerCompose@0的Push services步骤指定了dockerRegistryEndpoint: $(DOCKER_REPOSITORY)——这个参数要求的是Azure DevOps中预先配置的Docker服务连接，而非直接填写ECR仓库地址。任务会尝试使用该服务连接的凭据重新授权，和你之前通过脚本建立的登录会话冲突，最终导致授权失败。

解决方案 #

方案1：移除DockerCompose任务的dockerRegistryEndpoint参数 #

既然已经通过脚本完成Docker登录，Docker会保留当前会话的授权信息，无需再指定服务连接。修改Push步骤如下：

- task: DockerCompose@0
  displayName: 'Push services'
  inputs:
    action: 'Push services'
    dockerComposeFile: '**/docker-compose.yml'
    # 移除dockerRegistryEndpoint参数，依赖已有的Docker登录会话

方案2：使用AWS官方Azure DevOps任务（更可靠） #

使用AWS提供的专用ECR登录任务，避免手动脚本的潜在问题：

1. 先在Azure DevOps组织中安装AWS Toolkit for Azure DevOps扩展
2. 在项目中创建AWS服务连接，填入有效的Access Key和Secret Key
3. 替换原登录脚本为官方任务，修改后的Pipeline片段：

# 替换原有的Login to AWS脚本步骤
- task: AmazonECRLogin@1
  displayName: 'Login to AWS ECR'
  inputs:
    awsCredentials: '你的AWS服务连接名称'
    regionName: $(AWS_REGION)

- task: DockerCompose@0
  displayName: 'Push services'
  inputs:
    action: 'Push services'
    dockerComposeFile: '**/docker-compose.yml'
    # 无需指定dockerRegistryEndpoint，任务会自动使用已登录的ECR会话

方案3：检查镜像标签与AWS权限 #

• 确认docker-compose.yml中的镜像标签格式正确，必须以ECR仓库地址开头，例如：123456789012.dkr.ecr.us-east-1.amazonaws.com/my-service:latest
• 验证AWS凭据拥有以下ECR权限：
  • ecr:GetAuthorizationToken
  • ecr:BatchCheckLayerAvailability
  • ecr:GetDownloadUrlForLayer
  • ecr:BatchGetImage
  • ecr:InitiateLayerUpload
  • ecr:UploadLayerPart
  • ecr:CompleteLayerUpload
  • ecr:PutImage

内容的提问来源于stack exchange，提问作者Programmer In The Making