AWS CodeBuild中ECR Docker登录失败问题求助

核心问题排查与修复步骤 #

1. 区域不匹配（最直接的问题） #

你的buildspec.yml存在明显区域冲突：

• 登录命令指定的是us-west-2区域
• 但目标ECR仓库REPOSITORY_URI属于eu-west-1区域

修复：登录区域必须和仓库区域完全一致，统一为eu-west-1。

2. 登录命令写法错误 #

• 旧的$(aws ecr get-login ...)写法在CodeBuild环境中易出现shell解析问题，且官方已推荐使用新命令；同时不要用$()包裹管道命令，这会导致错误执行逻辑。
• 正确的登录命令（匹配你的仓库区域）：

  aws ecr get-login-password --region eu-west-1 | docker login --username AWS --password-stdin 123456789.dkr.ecr.eu-west-1.amazonaws.com
  

  注：只需登录ECR根域名，无需附加仓库路径/sample/sampleapp。

3. CodeBuild服务角色权限不足 #

确保项目关联的服务角色拥有以下ECR核心权限：

• ecr:GetAuthorizationToken（登录必备）
• ecr:BatchCheckLayerAvailability
• ecr:GetDownloadUrlForLayer
• ecr:BatchGetImage
• ecr:InitiateLayerUpload
• ecr:UploadLayerPart
• ecr:CompleteLayerUpload
• ecr:PutImage

可直接给角色添加AmazonEC2ContainerRegistryPowerUser托管策略，或自定义包含上述权限的策略。

4. Docker启动不充分 #

原install阶段的15秒超时可能不足以让dockerd完全启动，建议延长超时时间并增加状态日志：

- timeout 30 sh -c "until docker info; do echo 'Waiting for docker...'; sleep 1; done"

修正后的buildspec.yml关键部分示例 #

version: 0.2
phases: 
  install:
    runtime-versions:
        docker: 18     
    commands: 
      - nohup /usr/local/bin/dockerd --host=unix:///var/run/docker.sock --host=tcp://127.0.0.1:2375 --storage-driver=overlay2&
      - timeout 30 sh -c "until docker info; do echo 'Waiting for docker...'; sleep 1; done"
  pre_build: 
    commands: 
    - echo Logging in to Amazon ECR.... 
    - aws --version
    # 修正区域并使用官方推荐登录命令
    - aws ecr get-login-password --region eu-west-1 | docker login --username AWS --password-stdin 123456789.dkr.ecr.eu-west-1.amazonaws.com
    - COMMIT_HASH=$(echo $CODEBUILD_RESOLVED_SOURCE_VERSION | cut -c 1-7)
    - IMAGE_TAG=${COMMIT_HASH:=latest}
    - REPOSITORY_URI=123456789.dkr.ecr.eu-west-1.amazonaws.com/sample/sampleapp 
  # build、post_build阶段代码保持不变

内容的提问来源于stack exchange，提问作者Siddiqui Noor