从私有ECR仓库拉取镜像至AWS实例时遇权限错误求助

核心错误原因 #

你给ECR私有仓库配置的是资源型策略，但AWS报错明确指出：当前使用的IAM用户缺少身份型IAM策略授权执行ecr:DescribeRepositories操作。

AWS权限模型中，资源策略（比如你给仓库添加的策略）用于控制哪些身份能访问该资源；而身份策略是直接给IAM用户/角色本身赋予执行API操作的权限。对于describe-repositories这类需要遍历账号下所有仓库的操作，必须通过IAM用户的身份策略来授权，单个仓库的资源策略无法覆盖这个需求。

解决步骤 #

1. 登录AWS控制台，进入IAM服务，找到你的USER_NAME用户。
2. 给该用户附加自定义IAM策略，示例策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecr:DescribeRepositories",
            "Resource": "arn:aws:ecr:eu-north-1:ACCOUNT_ID:repository/*"
        }
    ]
}

• 若需要更宽泛的ECR操作权限，可以把Action字段扩展为你需要的操作列表（比如你在资源策略中列出的那些），同时保持Resource匹配对应仓库ARN或使用*（遵循最小权限原则）。

3. 保存策略后，重新执行aws ecr describe-repositories命令即可正常访问。

补充说明 #

你之前配置的仓库资源策略是有效的，它用于授权指定身份访问该仓库，但用户自身的操作权限必须通过IAM身份策略来赋予，两者配合才能完成完整的权限验证。

内容的提问来源于stack exchange，提问作者David Lehavi