Docker镜像推送至AWS ECR失败，求助排查调试方向

从错误日志来看，确实是Docker尝试跨ECR仓库复用镜像层（mount操作）时触发了权限或配置异常，导致403错误和EOF响应，进而引发推送重试循环。以下是具体的检查项和调试步骤：

核心检查项 #

1. IAM权限的完整性验证 #

虽然你提到两个仓库权限配置相同，但需要确认EC2实例使用的IAM角色/用户同时拥有两个仓库的相关权限：

• 对源仓库（提供镜像层的仓库）：ecr:GetDownloadUrlForLayer、ecr:BatchCheckLayerAvailability
• 对目标仓库（要推送的仓库）：ecr:InitiateLayerUpload、ecr:UploadLayerPart、ecr:CompleteLayerUpload、ecr:PutImage、ecr:BatchCheckLayerAvailability
• 检查IAM策略是否明确包含两个仓库的ARN，而非仅其中一个。例如，策略中的资源是否用通配符*或者同时列出两个仓库的ARN。

2. ECR仓库的跨层挂载配置 #

登录AWS控制台，检查目标仓库的仓库设置：

• 确认"Allow cross-repository layer mounts"选项处于开启状态（ECR默认开启，但可能被手动关闭）。该配置直接控制是否允许从其他仓库挂载镜像层到当前仓库。

3. 镜像标签与仓库关联正确性 #

验证本地镜像的标签是否完全匹配目标ECR仓库地址：

docker images | grep repo_name

确保输出中的仓库地址是目标ECR的完整URL（如123456789012.dkr.ecr.us-east-1.amazonaws.com/repo_name），避免标签错误导致的仓库指向异常。

4. Docker客户端版本兼容性 #

旧版本Docker客户端与ECR的跨层挂载API存在兼容性问题，可能导致响应解析失败（如日志中的unexpected end of JSON input）。检查Docker版本：

docker --version

建议升级到20.10.x及以上的稳定版本。

调试步骤 #

1. 用AWS CLI手动验证权限 #

在EC2实例上执行以下命令，直接测试对两个仓库的权限，获取更清晰的错误信息：

• 测试源仓库的层可用性检查：

  aws ecr batch-check-layer-availability --repository-name <source-repo-name> --layer-digests sha256:99803d4b97f3db529ae9ca4174b0951afac6b309e7deaa8ec3214c584e02b3a8
  

• 测试目标仓库的层上传初始化：

  aws ecr initiate-layer-upload --repository-name <target-repo-name>
  

如果命令报错，AWS会返回明确的权限缺失或配置错误提示。

2. 强制推送所有层（禁用跨层挂载） #

临时绕过跨层挂载机制，强制推送所有镜像层，验证是否能成功推送：

# 导出镜像到本地文件
docker save <local-image-tag> -o image.tar
# 重新导入镜像（破坏原有层关联）
docker load -i image.tar
# 重新打目标仓库标签
docker tag <loaded-image-id> <target-repo-url>:<tag>
# 执行推送
docker push <target-repo-url>:<tag>

如果此方法成功，可确认问题根源为跨层挂载配置/权限异常。

3. 开启Docker Debug日志获取详细请求 #

修改Docker daemon配置，获取更完整的HTTP请求/响应日志：

1. 编辑配置文件/etc/docker/daemon.json：

   {
     "debug": true,
     "log-level": "debug"
   }
   

2. 重启Docker服务：

   systemctl restart docker
   

3. 再次执行推送，查看详细日志：

   journalctl -u docker -f
   

通过日志可查看ECR返回的完整响应头部和内容，定位403或EOF的具体原因。

4. 验证EC2与ECR的网络连通性 #

即使一个仓库能正常推送，仍需确认目标仓库的网络连通性：

• 测试ECR V2 API的连通性：

  curl -v https://<target-repo-url>/v2/
  

正常响应应为401 Unauthorized（需要认证），若返回EOF或连接超时，需检查：

• EC2所在VPC是否配置了ECR的VPC端点（com.amazonaws.<region>.ecr.api和com.amazonaws.<region>.ecr.dkr）
• 安全组是否允许HTTPS（443端口）出站到ECR服务端点

内容的提问来源于stack exchange，提问作者Simon Osipov