AWS ECS任务定义访问ECR私有仓库失败，求正确配置指引

你的问题核心在于当前的IAM策略缺少ECR私有镜像拉取的必要权限，以下是完整的配置方案：

1. 补充ECR拉取核心权限 #

在现有策略中添加ECR相关操作权限，这是拉取私有镜像的必备要求：

• 所需操作：ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability
• 资源需指定你的ECR仓库ARN，格式为arn:aws:ecr:region:account-id:repository/你的仓库名称

2. 保留或调整现有权限 #

如果业务场景确实需要从Secret Manager/SSM获取配置、解密KMS加密内容，现有策略可以保留，但要确保资源ARN的区域、账号ID、名称完全匹配实际资源。

3. 推荐用托管策略简化配置 #

直接给任务执行角色附加AmazonECSTaskExecutionRolePolicy托管策略，它已经包含了ECR拉取、CloudWatch日志推送等基础权限，之后再按需添加你自定义的Secret/SSM/KMS权限，避免遗漏必要权限。

完整策略示例 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability"
            ],
            "Resource": "arn:aws:ecr:region:account-id:repository/your-repo-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "ssm:GetParameters",
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:region:account:secret:secret-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:/aws/ecs/your-log-group:*"
        }
    ]
}

额外检查点 #

• 确认任务定义中指定的任务执行角色是你配置了上述权限的IAM角色。
• 如果ECR仓库设置了自定义资源策略，要确保该策略允许任务执行角色访问。
• 若使用EC2模式的ECS，还需确认ECS实例的IAM角色也具备ECR拉取权限；Fargate模式则无需额外配置实例权限。

内容的提问来源于stack exchange，提问作者Gundeep Singh