如何在ECS非特权Fargate容器中将预构建镜像推送至ECR

针对你遇到的Terraform迁移到Fargate后无法依赖Docker runtime的问题，以下是两种无Docker依赖的可行方案，完全适配非特权容器环境：

方案一：Skopeo + Terraform local_exec（推荐） #

Skopeo是专为镜像迁移设计的工具，无需Docker daemon支持，直接基于OCI规范完成镜像拉取/推送操作，完美适配Fargate环境。虽然没有原生Terraform Provider，但可以通过local_exec轻松集成到现有Terraform流程中：

步骤1：准备预装Skopeo的流水线镜像 #

确保你的Fargate任务使用的基础镜像已安装Skopeo和AWS CLI，比如基于Alpine的镜像可在Dockerfile中添加：

RUN apk add --no-cache skopeo aws-cli

步骤2：Terraform中集成镜像迁移逻辑 #

先创建目标ECR仓库，再通过null_resource配合local_exec调用Skopeo完成镜像迁移：

# 创建目标ECR仓库
resource "aws_ecr_repository" "target_repo" {
  name = "your-target-image"
}

# 镜像迁移任务，依赖ECR仓库创建完成
resource "null_resource" "mirror_external_image" {
  depends_on = [aws_ecr_repository.target_repo]

  provisioner "local-exec" {
    command = <<EOF
      # 登录ECR
      aws ecr get-login-password --region ${var.aws_region} | skopeo login --username AWS --password-stdin ${aws_ecr_repository.target_repo.repository_url}

      # 从Docker Hub拉取并推送到ECR（私有镜像需额外登录Docker Hub）
      skopeo copy docker://docker.io/library/nginx:latest docker://${aws_ecr_repository.target_repo.repository_url}:latest
    EOF
    environment = {
      AWS_REGION = var.aws_region
      # 若为Docker Hub私有镜像，添加以下环境变量
      # DOCKER_HUB_USER = var.docker_hub_user
      # DOCKER_HUB_PASS = var.docker_hub_pass
    }
  }
}

# ECS任务定义引用迁移后的ECR镜像
resource "aws_ecs_task_definition" "example" {
  # ...其他配置...
  container_definitions = jsonencode([
    {
      name = "example-container"
      image = "${aws_ecr_repository.target_repo.repository_url}:latest"
      # ...其他容器配置...
    }
  ])
}

如果是Docker Hub私有镜像，需在local_exec中添加登录步骤：

echo ${DOCKER_HUB_PASS} | skopeo login --username ${DOCKER_HUB_USER} --password-stdin docker.io

方案二：Kaniko独立流水线阶段 #

Kaniko通常用于无Docker环境下构建镜像，但也支持直接复制现有镜像。你可以将镜像迁移作为流水线的独立步骤，放在Terraform创建ECR仓库之后执行：

流水线执行命令示例 #

# 1. 获取ECR仓库地址并生成Docker配置文件
ECR_REPO_URL=$(terraform output -raw ecr_repository_url)
AWS_REGION="your-region"

echo "{\"auths\":{\"${ECR_REPO_URL}\":{\"auth\":\"$(echo -n AWS:$(aws ecr get-login-password --region ${AWS_REGION}) | base64)\"}}}" > /kaniko/.docker/config.json

# 2. 用Kaniko复制镜像（从Docker Hub到ECR）
kaniko --context docker://docker.io/library/nginx:latest --destination ${ECR_REPO_URL}:latest --skip-tls-verify

注意：Kaniko容器本身为非特权模式，可直接在Fargate中运行，无需额外配置。

关键权限配置 #

确保Fargate任务的IAM角色拥有以下权限：

• ecr:GetAuthorizationToken
• ecr:BatchCheckLayerAvailability
• ecr:GetDownloadUrlForLayer
• ecr:BatchGetImage
• ecr:InitiateLayerUpload
• ecr:UploadLayerPart
• ecr:CompleteLayerUpload
• ecr:PutImage
  若涉及Docker Hub私有镜像，需确保任务可访问对应的凭证（比如通过Secrets Manager传递）。

内容的提问来源于stack exchange，提问作者lony