GitLab流水线部署Docker镜像至AWS Beanstalk失败求助

核心问题定位 #

错误本质是Beanstalk实例无法从GitLab镜像仓库正常拉取镜像，主要原因是Dockerrun文件中的GitLab CI变量未被替换为实际有效值，其次可能涉及权限、网络连通性或镜像存在性问题。

具体解决步骤 #

1. 在流水线中替换Dockerrun文件的变量 #

你的Dockerrun2.aws.json包含$CI_REGISTRY_IMAGE等GitLab CI专属变量，这些变量仅在GitLab流水线运行时可解析。直接上传未替换变量的文件到S3后，Beanstalk实例无法识别占位符，导致镜像地址或认证信息无效。

修改部署脚本，先完成变量替换再上传文件：

script:
  # 替换Dockerrun文件中的所有GitLab CI变量
  - sed -i "s/\$CI_REGISTRY_IMAGE/$CI_REGISTRY_IMAGE/g" Dockerrun2.aws.json
  - sed -i "s/\$CI_REGISTRY/$CI_REGISTRY/g" Dockerrun2.aws.json
  - sed -i "s/\$CI_DEPLOY_USER/$CI_DEPLOY_USER/g" Dockerrun2.aws.json
  - sed -i "s/\$CI_DEPLOY_PASSWORD/$CI_DEPLOY_PASSWORD/g" Dockerrun2.aws.json
  # 上传替换后的文件到S3
  - aws s3 cp Dockerrun2.aws.json s3://$AWS_BUCKET/Dockerrun2.aws.json
  - aws elasticbeanstalk create-application-version --application-name "$APP_NAME" --version-label $APP_VERSION --source-bundle S3Bucket=$AWS_BUCKET,S3Key=Dockerrun2.aws.json
  - aws elasticbeanstalk update-environment --environment-name $ENV_NAME --version-label $APP_VERSION --application-name "$APP_NAME"

2. 验证GitLab Deploy Token的权限 #

确保你创建的Deploy Token具备read_registry权限：

• 进入GitLab项目的「设置」→「仓库」→「Deploy tokens」
• 找到对应token，确认已勾选read_registry选项（拉取镜像的必备权限）
• 若未勾选，重新生成带该权限的token，并更新GitLab CI/CD变量中的$CI_DEPLOY_PASSWORD

3. 检查Beanstalk实例的网络连通性 #

Beanstalk的EC2实例需要能访问GitLab镜像仓库：

• 若使用GitLab.com：确保实例所在VPC有公网访问权限（如配置NAT网关或实例分配公网IP），安全组允许出站443端口流量
• 若使用私有GitLab服务器：确保实例可通过VPC peering、VPN或公网访问该服务器，安全组/NACL允许对应端口（通常443）的出站流量

4. 确认镜像标签存在 #

检查GitLab镜像仓库中是否存在latest标签的镜像：

• 进入GitLab项目的「包与注册表」→「容器镜像」
• 确认$CI_REGISTRY_IMAGE:latest镜像已成功推送（对应流水线的构建步骤需完成并推送成功）

5. 查看eb-engine.log获取详细错误 #

通过AWS控制台查看具体日志，精准定位问题：

1. 进入AWS Beanstalk控制台，打开对应的环境
2. 切换到「日志」标签页，选择「请求日志」→「完整日志」
3. 下载后找到eb-engine.log，查找与镜像下载相关的错误（如认证失败、镜像不存在、网络超时等）

内容的提问来源于stack exchange，提问作者user11631346