从AWS ECR拉取镜像遇权限拒绝错误，请求排查原因

核心原因 #

你执行aws ecr get-login-password命令时未明确指定使用staging配置文件，AWS CLI自动采用了当前默认的dev配置文件，导致生成的Docker登录凭证属于dev账号，自然无法访问staging账号下的ECR仓库。

关键验证逻辑 #

1. AWS CLI配置优先级规则：如果不通过参数或环境变量指定配置文件，CLI会按以下顺序选择配置：
   • 优先读取环境变量AWS_PROFILE的值
   • 若未设置环境变量，则使用~/.aws/config/~/.aws/credentials中标记为default的配置（你的dev配置大概率被设为默认，或环境变量指向了dev）
2. Docker凭证关联性：docker login完全依赖aws ecr get-login-password输出的凭证，后续docker pull会复用本次登录的凭证——因为你用dev配置生成了凭证，拉取staging仓库时自然触发权限拒绝。

解决步骤 #

方法1：命令行直接指定配置文件 #

修改aws ecr get-login-password命令，添加--profile staging参数，确保生成staging账号的凭证：

aws ecr get-login-password --profile staging --region eu-west-2 | docker login --username AWS --password-stdin xxxxxxxxxxxx.dkr.ecr.eu-west-2.amazonaws.com

执行完成后再拉取镜像即可。

方法2：临时切换默认配置文件 #

通过环境变量临时将默认配置设为staging，后续命令无需重复指定：

export AWS_PROFILE=staging
aws ecr get-login-password --region eu-west-2 | docker login --username AWS --password-stdin xxxxxxxxxxxx.dkr.ecr.eu-west-2.amazonaws.com
docker pull xxxxxxxxxxxx.dkr.ecr.eu-west-2.amazonaws.com/sample-image:latest

若要切回dev配置，执行unset AWS_PROFILE即可。

方法3：确认staging的SSO登录状态 #

由于staging是SSO类型的配置，需确保已完成SSO登录：

aws sso login --profile staging

完成登录后再执行上述凭证生成命令即可。

内容的提问来源于stack exchange，提问作者mair