Packer Docker镜像推送AWS ECR失败求助

核心背景 #

使用Packer的docker构建类型推送镜像至AWS ECR时失败，但amazon-ebs类型通过配置assume_role可正常运行。由于docker类型无直接的assume_role配置项，需从身份认证、权限配置、Packer参数细节三方面逐一排查。

排查步骤 #

1. 验证Docker与ECR的身份认证 #

Packer Docker构建推送ECR依赖本地Docker客户端完成ECR身份认证，需确认：

• 执行AWS CLI命令完成ECR登录：

  aws ecr get-login-password --region <你的AWS区域> | docker login --username AWS --password-stdin <你的ECR仓库URI前缀>
  

• 检查Docker登录状态：执行docker info，查看输出中是否包含目标ECR仓库的认证记录。
• 注意：若使用临时IAM凭证（如角色身份），需确保凭证有效期覆盖Packer构建全程，避免中途失效。

2. 修正Packer配置的ECR推送参数 #

Packer Docker构建需通过后处理器正确配置ECR推送逻辑，示例配置如下：

source "docker" "ecr-image" {
  image  = "ubuntu:22.04"
  commit = true
}

build {
  sources = ["source.docker.ecr-image"]
  
  post-processor "docker-tag" {
    repository = "<你的AWS账户ID>.dkr.ecr.<区域>.amazonaws.com/<ECR仓库名>"
    tag        = "v1.0.0"
  }
  
  post-processor "docker-push" {
    ecr_login = true # 开启Packer自动ECR登录，需环境具备AWS权限
  }
}

• 关键配置：ecr_login = true会让Packer自动调用AWS CLI完成ECR登录，无需手动执行docker login，但需确保运行Packer的环境拥有以下IAM权限：
  • ecr:GetAuthorizationToken
  • ecr:BatchCheckLayerAvailability
  • ecr:GetDownloadUrlForLayer
  • ecr:BatchGetImage
  • ecr:InitiateLayerUpload
  • ecr:UploadLayerPart
  • ecr:CompleteLayerUpload
  • ecr:PutImage

3. 检查ECR仓库权限策略 #

确保运行Packer的IAM身份（用户/角色）被ECR仓库策略允许推送操作，示例仓库策略：

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "AllowImagePush",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<你的AWS账户ID>:role/<使用的IAM角色名>"
      },
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "ecr:InitiateLayerUpload",
        "ecr:UploadLayerPart",
        "ecr:CompleteLayerUpload",
        "ecr:PutImage"
      ]
    }
  ]
}

• 若使用IAM用户，将Principal替换为用户ARN即可。

4. 适配IAM角色的临时凭证 #

若运行Packer的环境需通过Assume Role获取权限，可在启动Packer前手动获取临时凭证并导出为环境变量：

aws sts assume-role --role-arn <目标角色ARN> --role-session-name packer-build-session > temp-creds.json
export AWS_ACCESS_KEY_ID=$(jq -r '.Credentials.AccessKeyId' temp-creds.json)
export AWS_SECRET_ACCESS_KEY=$(jq -r '.Credentials.SecretAccessKey' temp-creds.json)
export AWS_SESSION_TOKEN=$(jq -r '.Credentials.SessionToken' temp-creds.json)

Packer的Docker构建会自动读取这些环境变量完成AWS身份认证。

5. 从报错日志定位核心问题 #

根据报错信息快速缩小排查范围：

• 提示unauthorized: authentication required：优先检查Docker登录状态或AWS权限配置
• 提示AccessDenied：核对ECR仓库策略与IAM身份的权限匹配度
• 提示repository does not exist：确认ECR仓库名称、AWS区域、账户ID是否完全正确

验证方法 #

1. 手动测试Docker推送：

   docker tag local-test-image:latest <ECR仓库完整URI>:latest
   docker push <ECR仓库完整URI>:latest
   

   若手动推送失败，问题出在Docker或AWS基础配置，而非Packer；若手动成功，再排查Packer配置细节。

2. 启用Packer调试模式：

   packer build -debug your-packer-config.hcl
   

   通过调试日志查看ECR登录、镜像推送的每一步执行细节，定位错误节点。

内容的提问来源于stack exchange，提问作者MacUsers