Docker推送AWS ECR遇权限拒绝问题，寻求排查帮助

问题核心 #

这不是Docker缓存问题，核心问题有两个：

1. 镜像推送时使用的IAM身份（Access Key）并非你当前操作的用户，且该身份被显式拒绝执行ecr:InitiateLayerUpload操作
2. Docker登录ECR时的凭证来源异常，导致推送阶段使用了错误的身份

排查与修复步骤 #

1. 检查Docker存储的ECR凭证 #

Docker登录后会将凭证存在以下路径：

• Linux/macOS: ~/.docker/config.json
• Windows: C:\Users\<你的用户名>\.docker\config.json

打开文件找到对应ECR仓库的auth字段，将其值用Base64解码（格式为AWS:<token>），该token对应的身份就是Docker推送时使用的身份。

2. 定位凭证来源异常原因 #

你使用--profile default执行登录命令，但推送时Access Key不一致，可能的触发点：

• Docker优先使用了其他AWS凭证来源：环境变量（AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY）、ECS任务角色、EC2实例角色，或是之前登录缓存的旧凭证
• 先执行aws configure list --profile default确认当前default profile的Access Key，对比CloudTrail记录的Key是否一致

3. 清理并重新生成正确凭证 #

• 登出Docker中的ECR仓库：

  docker logout xxx.dkr.ecr.us-east-2.amazonaws.com
  

• 清空终端中可能存在的AWS环境变量：

  unset AWS_ACCESS_KEY_ID
  unset AWS_SECRET_ACCESS_KEY
  unset AWS_SESSION_TOKEN
  

• 重新用指定profile登录：

  aws ecr get-login-password --region us-east-2 --profile default | docker login --username AWS --password-stdin xxx.dkr.ecr.us-east-2.amazonaws.com
  

• 再次查看config.json，确认新生成的auth凭证对应正确的IAM用户

4. 排查IAM身份的显式拒绝策略 #

CloudTrail提示的explicit deny优先级高于Allow策略，需检查：

• 目标IAM用户（expected-user）的直接附加策略，是否存在Deny语句
• 用户所属IAM组的附加策略，是否包含Deny规则
• 账户级别的IAM权限边界（Permission Boundary），是否限制了ecr:InitiateLayerUpload操作
• 若为组织账户，检查服务控制策略（SCP）是否有拒绝该操作的配置

5. 直接验证权限有效性 #

用当前default profile执行命令，验证权限是否正常：

aws ecr initiate-layer-upload --repository-name xxx --region us-east-2 --profile default

• 若命令报错：说明该IAM用户确实存在权限问题，回到步骤4排查显式拒绝
• 若命令成功：说明Docker推送时使用的身份不是该用户，回到步骤2重新定位凭证来源

内容的提问来源于stack exchange，提问作者jackie