AWS Lambda调用ECR镜像报错：无效源镜像排查求助

核心排查方向 #

1. 区域不匹配问题 #

你的报错显示镜像位于eu-central-1，但ECR权限策略中aws:sourceArn指定的Lambda区域是eu-west-1。Lambda默认只能拉取同区域的ECR镜像，跨区域拉取需要额外配置，且权限策略的区域限制会导致权限校验失败（AWS会用模糊的“镜像无效”报错掩盖权限问题）。

2. 镜像兼容性验证 #

Lambda对容器镜像有严格的运行时要求，可通过以下方式验证：

• 本地运行镜像测试handler是否正常响应：

  docker run -p 9000:8080 <你的镜像URI>
  # 另开终端执行
  curl -XPOST "http://localhost:9000/2015-03-31/functions/function/invocations" -d '{}'
  

  如果返回错误，说明镜像本身存在问题（比如文件缺失、handler配置错误）。
• 用AWS CLI验证镜像合规性：

  aws lambda validate-image --image-uri <你的镜像URI> --region eu-central-1
  

3. 权限配置细节 #

ECR仓库策略问题

你当前的策略中，针对lambda.amazonaws.com的Condition区域是eu-west-1，与镜像所在的eu-central-1不匹配，导致Lambda无法拉取镜像。需修改Condition中的区域为eu-central-1，或直接移除区域限制以测试：

{
  "Sid": "permit-test-lambdas",
  "Effect": "Allow",
  "Principal": {
    "Service": "lambda.amazonaws.com"
  },
  "Action": ["ecr:GetDownloadUrlForLayer", "ecr:BatchGetImage", "ecr:BatchCheckLayerAvailability"],
  "Condition": {
    "StringLike": {
      "aws:sourceArn": "arn:aws:lambda:eu-central-1:*****:function:*"
    }
  }
}

Lambda执行角色权限

除了ECR仓库的跨账号策略，Lambda的执行角色必须拥有拉取ECR镜像的权限，需添加以下策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "ecr:BatchCheckLayerAvailability"
      ],
      "Resource": "arn:aws:ecr:eu-central-1:*****:repository/service-catalog-sidecar"
    }
  ]
}

4. 镜像存在性确认 #

确保你使用的镜像标签或sha256哈希确实存在于ECR仓库中，执行以下命令验证：

aws ecr list-images --repository-name service-catalog-sidecar --region eu-central-1

针对性解决方案 #

1. 统一区域：将Lambda部署到eu-central-1，或把镜像推送到eu-west-1的ECR仓库，同步更新权限策略中的区域。
2. 修复镜像问题：如果本地测试报错，检查${LAMBDA_TASK_ROOT}路径（默认是/var/task）下是否存在catalog_sidecar.py，确保文件中确实定义了lambda_handler函数。
3. 修正权限配置：调整ECR策略的区域匹配Lambda所在区域，同时给Lambda执行角色添加必要的ECR拉取权限。
4. 验证镜像URI：确认使用的镜像标签或哈希与ECR仓库中的一致，避免输入错误。

内容的提问来源于stack exchange，提问作者Robert