GitLab CI/CD部署至AWS EB遇权限拒绝，求配置修正方案

1. 检查GitLab访问令牌权限 #

• 使用项目/组级部署令牌而非个人令牌，避免权限范围过大或账号变动影响
• 令牌必须勾选read_registry权限，这是拉取GitLab私有镜像的核心权限
• 确认令牌未过期，且关联的账号对目标镜像仓库有读取权限

2. 修正Dockerrun.aws.json配置 #

根据EB环境类型（单/多容器）调整配置：

多容器环境（AWSEBDockerrunVersion: 2） #

{
  "AWSEBDockerrunVersion": 2,
  "Authentication": {
    "bucket": "你的S3桶名称",
    "key": "auth.json"
  },
  "containerDefinitions": [
    {
      "name": "你的应用容器名",
      "image": "registry.gitlab.com/你的组/你的项目:镜像标签",
      "essential": true,
      "portMappings": [
        {
          "hostPort": 80,
          "containerPort": 80
        }
      ]
    }
  ]
}

单容器环境（AWSEBDockerrunVersion: 1） #

单容器环境需在.ebextensions中添加认证配置，创建.ebextensions/docker_auth.config：

files:
  /home/ec2-user/.docker/config.json:
    content: |
      {
        "auths": {
          "registry.gitlab.com": {
            "auth": "base64编码的认证串"
          }
        }
      }

然后Dockerrun.aws.json只需指定镜像：

{
  "AWSEBDockerrunVersion": 1,
  "Image": {
    "Name": "registry.gitlab.com/你的组/你的项目:镜像标签",
    "Update": "true"
  },
  "Ports": [
    {
      "ContainerPort": "80"
    }
  ]
}

3. 正确生成auth.json并部署 #

• auth.json必须符合Docker认证格式，GitLab注册表的认证串需将部署令牌用户名:令牌值做Base64编码
• 生成编码命令：echo -n "gitlab+deploy-token-xxxx:你的令牌值" | base64
• 将auth.json上传到指定S3桶，同时确保EB实例的IAM角色拥有该S3桶的s3:GetObject权限

4. 调整GitLab CI/CD流水线部署逻辑 #

放弃直接用docker-compose部署，改为打包配置文件后通过AWS CLI推送至EB：

deploy:
  stage: deploy
  image: amazon/aws-cli
  variables:
    AWS_DEFAULT_REGION: "你的AWS区域"
  before_script:
    - aws configure set aws_access_key_id $AWS_ACCESS_KEY_ID
    - aws configure set aws_secret_access_key $AWS_SECRET_ACCESS_KEY
  script:
    # 打包配置文件（多容器环境需包含Dockerrun.aws.json；单容器需包含Dockerrun和.ebextensions）
    - zip deploy.zip Dockerrun.aws.json .ebextensions/*
    # 上传至S3并创建EB应用版本
    - aws elasticbeanstalk create-application-version --application-name 你的EB应用名 --version-label $CI_COMMIT_SHA --source-bundle S3Bucket=你的S3桶名,S3Key=deploy.zip
    # 更新EB环境
    - aws elasticbeanstalk update-environment --application-name 你的EB应用名 --environment-name 你的EB环境名 --version-label $CI_COMMIT_SHA

• 确保GitLab CI/CD变量中的AWS密钥拥有elasticbeanstalk:*和s3:*权限（至少能上传部署包、操作EB资源）

5. 验证EB实例网络与权限 #

• 若EB实例在私有VPC中，需配置NAT网关或允许出站访问registry.gitlab.com:443，确保实例能拉取镜像
• 检查EB实例的IAM角色权限，确认能读取S3中的认证文件，且无网络ACL/安全组阻断出站流量

内容的提问来源于stack exchange，提问作者Tajammal Amin