使用AWS CLI推送镜像至ECR仓库时登录报400 Bad Request错误求助

以下是针对该问题的常见排查方向及解决方法：

• 检查IAM凭证权限与有效性
  确保aws configure配置的IAM用户拥有ecr:GetAuthorizationToken权限（这是ECR登录的核心权限）：

  1. 执行aws sts get-caller-identity，确认返回的Account ID与你的ECR账号ID完全一致，避免使用了错误的凭证。
  2. 若权限缺失，给该IAM用户附加AmazonEC2ContainerRegistryReadOnly托管策略，或创建自定义策略包含ecr:GetAuthorizationToken操作。

• 清理Docker认证缓存并重试
  旧认证缓存可能导致冲突，执行以下命令清除后重新登录：

  docker logout <MY_ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com
  aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin <MY_ACCOUNT_ID>.dkr.ecr.us-east-1.amazonaws.com
  

• 验证区域与仓库存在性
  确认ECR仓库确实创建在us-east-1区域：
  执行aws ecr describe-repositories --region us-east-1，检查返回结果中是否包含目标仓库。如果仓库不在该区域，需调整登录命令中的--region参数为实际区域。

• 排查环境变量与凭证文件冲突

  1. 检查是否存在覆盖凭证的环境变量：

     echo $AWS_ACCESS_KEY_ID
     echo $AWS_SECRET_ACCESS_KEY
     

     若输出非空，临时取消这些环境变量（如unset AWS_ACCESS_KEY_ID）后重试登录。
  2. 检查凭证文件格式：查看~/.aws/credentials（Linux/macOS）或C:\Users\<你的用户名>\.aws\credentials（Windows），确保文件格式正确，无多余空格或语法错误，示例格式：

     [default]
     aws_access_key_id = YOUR_ACCESS_KEY
     aws_secret_access_key = YOUR_SECRET_KEY
     

• Docker版本与代理问题

  1. 升级Docker到稳定版本（推荐24.x及以上），旧版本可能存在ECR认证兼容性问题。
  2. 若使用代理环境：
     • 给AWS CLI配置代理：aws configure set proxy.http http://your-proxy:port
     • 修改Docker daemon配置文件（如/etc/docker/daemon.json）添加代理设置，示例：

       {
         "proxies": {
           "default": {
             "httpProxy": "http://your-proxy:port",
             "httpsProxy": "http://your-proxy:port"
           }
         }
       }
       

     重启Docker服务后重试登录。

内容的提问来源于stack exchange，提问作者Luna