使用Terraform部署Lambda容器时ECR镜像描述报错排查

以下是触发该ECR镜像不存在报错的常见原因及对应解决办法：

1. 缺少镜像构建与推送的Terraform配置 #

你可能仅定义了ECR仓库和Lambda资源，但未配置自动构建Docker镜像并推送到ECR的逻辑——Terraform不会自动完成镜像构建推送操作，必须显式添加相关资源：

# 构建本地Docker镜像
resource "docker_image" "lambda_image" {
  name         = "${aws_ecr_repository.lambda_repo.repository_url}:latest"
  build {
    context    = "../lambda_functions"  # 指向lambda_functions目录，确保路径相对terraform目录正确
    dockerfile = "Dockerfile"
  }
}

# 推送镜像到ECR仓库
resource "aws_ecr_image" "lambda_image" {
  repository_name = aws_ecr_repository.lambda_repo.name
  image_tag        = "latest"
  image_digest     = docker_image.lambda_image.repo_digest
}

# Lambda引用推送完成的ECR镜像
resource "aws_lambda_function" "lambda_container" {
  function_name = "capsphere-demo-lambda"
  package_type  = "Image"
  image_uri     = aws_ecr_image.lambda_image.image_uri
  # 其他必要配置（如IAM角色、内存等）...
}

2. Docker构建上下文路径或Dockerfile配置错误 #

即使调整了${path.module}或..，仍可能存在路径问题：

• 手动在terraform目录下执行docker build -t test ../lambda_functions，测试是否能正常构建镜像，以此排除路径和Dockerfile本身的语法问题。
• 确认build块的context是相对于terraform配置文件所在目录的路径，若Dockerfile不在context根目录，需通过dockerfile参数指定相对路径（如dockerfile = "subdir/Dockerfile"）。

3. ECR仓库未被推送对应镜像 #

若你手动构建了镜像但未推送到目标ECR仓库，也会触发该错误，手动推送步骤如下：

1. 登录ECR：aws ecr get-login-password --region <你的区域> | docker login --username AWS --password-stdin <你的账户ID>.dkr.ecr.<你的区域>.amazonaws.com
2. 给本地镜像打标签：docker tag <本地镜像ID> <你的ECR仓库URL>:latest
3. 推送镜像：docker push <你的ECR仓库URL>:latest

4. Terraform执行角色权限不足 #

若Terraform使用的IAM角色缺少ECR操作权限，会导致镜像推送失败但无明确报错，需确保角色拥有以下权限：
ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability、ecr:PutImage、ecr:InitiateLayerUpload、ecr:UploadLayerPart、ecr:CompleteLayerUpload

5. 镜像标签不匹配 #

检查Lambda配置引用的镜像标签与实际推送到ECR的标签是否一致：
比如你构建时使用的标签是v1，但Lambda配置中引用的是latest，就会出现镜像找不到的情况，需确保aws_lambda_function的image_uri与aws_ecr_image的image_tag完全对应。

内容的提问来源于stack exchange，提问作者clattenburg cake