执行AWS ECR登录命令遇MFA验证错误及非TTY问题如何解决？

问题分析 #

你遇到的两个核心问题：

1. MFA令牌被解析为乱码（�I�O�G�O�H�K），不符合AWS要求的纯6位数字格式，触发了ValidationError。
2. 当前终端环境为非TTY设备，无法支持交互式输入MFA令牌，导致登录流程中断。

解决方案 #

1. 修复MFA令牌格式问题 #

• 确保输入的是MFA设备生成的纯6位数字，禁止包含空格、符号或隐藏字符。如果是复制粘贴令牌，检查是否带了额外格式字符，建议手动输入纯数字。
• 若在脚本中传递令牌，直接使用数字字符串，避免任何转义或编码处理。

2. 解决非TTY设备无法交互式登录问题 #

非TTY环境（如CI/CD管道、后台脚本、远程命令执行）无法弹出输入框，需通过临时凭证绕过交互式输入：

步骤1：获取带MFA的AWS临时会话凭证

执行以下命令（替换占位符为你的实际信息）：

aws sts assume-role --role-arn arn:aws:iam::<ACCOUNT_ID>:role/<你的角色名> --role-session-name ecr-login-session --serial-number arn:aws:iam::<ACCOUNT_ID>:mfa/<你的MFA设备名称> --token-code <6位MFA数字令牌>

命令返回的JSON结果中，会包含AccessKeyId、SecretAccessKey、SessionToken三个临时凭证字段。

步骤2：导出临时凭证为环境变量

将上一步获取的凭证值替换到以下命令中执行：

export AWS_ACCESS_KEY_ID=<临时AccessKeyId>
export AWS_SECRET_ACCESS_KEY=<临时SecretAccessKey>
export AWS_SESSION_TOKEN=<临时SessionToken>

步骤3：执行ECR登录命令

现在无需交互式输入，直接运行登录命令即可：

aws ecr get-login-password --region <YOUR_REGION> | docker login --username AWS --password-stdin <ACCOUNT_ID>.dkr.ecr.<REGION>.amazonaws.com

内容的提问来源于stack exchange，提问作者Jeremy Thompson