如何在独立Action仓库中使用ECR私有镜像作为GitHub Docker Action

可以在独立Action仓库中使用ECR私有镜像作为GitHub Action，核心问题在于GitHub拉取Docker Action镜像的时机早于工作流内的ECR登录步骤，导致无法复用登录凭证。以下是可行的解决方案：

问题根源 #

当Action位于独立仓库时，GitHub会在Job初始化阶段自动拉取Docker Action的镜像，这个阶段还未执行工作流中配置AWS凭证、登录ECR的步骤，因此Docker客户端没有ECR的认证信息，拉取私有镜像失败。

方案1：将Docker Action重构为Composite Run Steps Action（推荐） #

把原Docker Action改为Composite类型，将ECR登录、镜像拉取、运行的逻辑整合到Action内部，让这些步骤在工作流传递凭证后执行，完美解决时机问题。

修改独立Action仓库的action.yaml：

name: 'ECR Image Action'
description: '基于ECR私有镜像的Composite Action'
inputs:
  aws-access-key-id:
    description: 'AWS访问密钥ID'
    required: true
  aws-secret-access-key:
    description: 'AWS私有访问密钥'
    required: true
  aws-region:
    description: 'AWS区域'
    required: true
  image-uri:
    description: '目标ECR镜像的完整URI'
    required: true

runs:
  using: 'composite'
  steps:
    - name: 配置AWS凭证
      uses: aws-actions/configure-aws-credentials@v1
      with:
        aws-access-key-id: ${{ inputs.aws-access-key-id }}
        aws-secret-access-key: ${{ inputs.aws-secret-access-key }}
        aws-region: ${{ inputs.aws-region }}

    - name: 登录Amazon ECR
      uses: aws-actions/amazon-ecr-login@v1

    - name: 运行ECR容器
      run: docker run --rm ${{ inputs.image-uri }}
      shell: bash

在工作流中调用该Action：

[...]

- name: 调用私有Action
  uses: user/private-action@v1
  with:
    aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
    aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
    aws-region: 'eu-central-1'
    image-uri: '00000000000.dkr.ecr.eu-central-1.amazonaws.com/user/image:tag'

[...]

方案2：使用自托管Runner并预配置ECR访问 #

如果必须保留Docker Action类型，可在自托管Runner上提前配置持久化的ECR登录态，让GitHub拉取镜像时复用已有认证信息：

1. 在自托管Runner上配置AWS凭证（如通过~/.aws/credentials文件或环境变量）
2. 用cron任务定期执行ECR登录命令，保持认证有效：

   aws ecr get-login-password --region eu-central-1 | docker login --username AWS --password-stdin 00000000000.dkr.ecr.eu-central-1.amazonaws.com
   

3. 在工作流中指定使用该自托管Runner：

   jobs:
     your-job:
       runs-on: self-hosted
       steps:
         - name: 调用私有Action
           uses: user/private-action@v1
   

方案3：配置GitHub长期ECR访问凭证（不推荐） #

创建仅拥有ECR镜像拉取权限的IAM用户，将其密钥存入Action仓库的Secrets，利用GitHub自动登录镜像仓库的机制。但ECR的登录凭证有效期仅12小时，需要定期更新Secrets，维护成本高且存在安全风险，因此不建议使用。

内容的提问来源于stack exchange，提问作者Andreas Linden