AWS Fargate任务拉取私有镜像遇ASM认证数据格式错误求助

看起来你踩了AWS Fargate拉取非ECR私有镜像时的一个常见坑——Secret的键名不符合AWS的要求。错误提示ASM fetching username: AuthorizationData is malformed, empty field本质是因为AWS期望用于私有镜像认证的Secret必须包含username和password这两个必填键，而不是你用的access_token或token_type。

为什么你的配置会失败？ #

对于ECR之外的私有镜像仓库，AWS Fargate不会识别access_token这类自定义键。它严格遵循Docker的私有仓库认证格式：必须提供username（非空值）和password（你的认证令牌）。即使是Bearer Token类型的认证，你只需要把令牌放到password字段，username填一个非空占位符即可（比如oauth2accesstoken或dummy）。

正确的Secret创建方式 #

方式1：AWS CLI创建

执行以下命令，替换占位符为你的实际信息：

aws secretsmanager create-secret \
  --name your-secret-name \
  --secret-string '{"username":"oauth2accesstoken","password":"your-actual-access-token"}'

这里username填oauth2accesstoken是一个约定俗成的取值，AWS会自动将其转换为Bearer类型的Authorization请求头（即Authorization: Bearer <your-token>），完美适配Bearer Token认证的仓库。

方式2：AWS控制台创建

1. 打开AWS Secrets Manager控制台，点击“存储新的机密”
2. 选择“其他类型的机密”，然后添加两个键值对：
   • 键：username，值：oauth2accesstoken（或任意非空字符串）
   • 键：password，值：你的私有仓库access token
3. 完成机密的命名和其他配置，保存即可。

验证Secret是否正确 #

创建后可以用以下命令检查Secret结构：

aws secretsmanager get-secret-value --secret-id your-secret-name

返回的SecretString应该包含username和password两个字段，且都有非空值。

任务定义中的配置 #

在你的Fargate任务定义里，确保容器部分的repositoryCredentials指向这个Secret的ARN：

"containerDefinitions": [
  {
    "name": "your-container-name",
    "image": "your-private-registry-url/your-image:tag",
    "repositoryCredentials": {
      "credentialsParameter": "arn:aws:secretsmanager:region:account-id:secret:your-secret-name-xxxxxx"
    },
    // 其他容器配置...
  }
]

按照这个配置，Fargate就能正确拉取你的私有镜像了。

内容的提问来源于stack exchange，提问作者user