IAM用户访问AWS ECR仓库返回401未授权，根用户可正常访问

我来帮你梳理下可能的原因和解决办法，毕竟我之前也碰到过类似的坑😉

• 先确认当前PowerShell会话用的是正确的IAM凭证
  有时候PowerShell会缓存旧的AWS凭证，导致你以为用了IAM用户的密钥，但实际还是用了根用户或者其他用户的。可以运行Get-AWSCredential查看当前生效的凭证，要是不对，就用下面的命令强制设置会话凭证：

  Set-AWSCredential -AccessKey "你的IAM用户AccessKey" -SecretKey "你的IAM用户SecretKey" -StoreAs Default
  

  设置完再重新执行你的登录命令试试。

• 验证IAM用户的权限是否真的生效
  虽然加入了管理员组，但有几个细节要检查：

  1. 登录IAM控制台，查看这个用户的直接附加策略，有没有任何带Deny的语句——显式拒绝会覆盖允许权限，哪怕是管理员组的权限也没用；
  2. 确认管理员组的策略是标准的AdministratorAccess，这个策略包含了ECR所需的所有权限（尤其是ecr:GetAuthorizationToken，这是登录的核心权限）；
  3. 用IAM的Access Advisor工具，查看该用户是否被允许调用ecr:GetAuthorizationToken操作，要是显示拒绝或者没有权限，那就是权限配置的问题。

• 检查AWS区域是否匹配
  你的ECR仓库在eu-west-3，必须确保PowerShell的默认区域也是这个。运行Get-DefaultAWSRegion查看，要是不对，执行：

  Set-DefaultAWSRegion -Region eu-west-3
  

  因为Get-ECRLoginCommand是基于当前区域生成授权令牌的，区域不匹配的话令牌无效，自然会报401。

• 清理Docker的旧登录缓存
  Docker可能缓存了之前的无效凭证，哪怕新令牌正确也会报错。先执行登出命令：

  docker logout 474389077978.dkr.ecr.eu-west-3.amazonaws.com/myreoi
  

  然后再重新运行你的登录脚本试试。

• 手动生成令牌测试
  试试脱离管道手动验证：

  1. 运行$loginCmd = Get-ECRLoginCommand获取登录命令对象；
  2. 复制$loginCmd.Password输出的内容；
  3. 手动执行：

     docker login --username AWS --password "复制的密码内容" 474389077978.dkr.ecr.eu-west-3.amazonaws.com/myreoi
     

  如果手动执行还是报错，那基本可以确定是IAM权限的问题；如果手动成功，那可能是PowerShell管道传递时的特殊字符转义问题（不过这种情况很少见）。

内容的提问来源于stack exchange，提问作者advapi