MWAA环境运行的DAG能否从AWS ECR拉取Docker镜像？

MWAA 运行的 DAG 任务支持拉取授权范围内的 AWS ECR 存储的 Docker 镜像，但支持程度和配置方式完全取决于你运行容器任务的模式，不存在开箱即用的默认拉取能力，具体场景说明如下：

各任务运行模式的支持情况 #

• 使用 ECS/EKS 相关算子调用外部集群跑容器任务
  这是生产环境最常用的自定义镜像任务方案，对ECR镜像的拉取支持非常成熟：
  • 用EcsRunTaskOperator调用ECS集群跑任务时，不需要修改MWAA本身的环境配置，只要给两个角色配齐ECR拉取权限即可：一是MWAA绑定的执行角色要有调用ECS接口的权限，二是ECS任务自身的执行角色要授予ecr:BatchCheckLayerAvailability、ecr:GetDownloadUrlForLayer、ecr:BatchGetImage这三个核心拉取权限，同时ECR仓库的资源策略允许该角色访问，就能正常拉取镜像启动任务。
  • 用EksPodOperator调用EKS集群跑Pod时，只要给EKS工作节点的实例角色，或者Pod关联的K8s服务账号授予ECR拉取权限，就可以正常拉取ECR镜像运行。
• 使用Docker类算子直接在MWAA Worker节点本地启动容器
  这个场景默认不支持。MWAA是全托管服务，用户没有Worker节点的root权限，节点底层也没有预装和运行Docker daemon，无法直接在Worker本地启动容器拉取镜像。如果硬要使用这类本地运行容器的算子，需要额外配置远程Docker宿主做转发，维护成本很高，生产环境不推荐这么做。
• MWAA环境自身的自定义扩展镜像
  很多人会把这个能力和DAG任务拉镜像搞混：MWAA 2.x及以上版本支持用自定义镜像扩展Airflow运行环境（比如预装特殊的Python依赖、系统二进制包），这个自定义镜像本身就支持存放在ECR，在创建/更新MWAA环境时直接填写ECR镜像的ARN即可，只要给MWAA的服务角色配齐对应ECR仓库的拉取权限，MWAA服务会自动拉取镜像加载到Scheduler、Worker、Webserver节点上，不需要额外操作。

常见踩坑点 #

• 权限配置不要漏：跨账号使用ECR镜像时，不仅要给拉取主体配置IAM权限，还要在ECR仓库的资源策略里添加对应主体的访问授权，两边缺一个都会拉取失败。
• 网络配置要对齐：如果MWAA部署在没有公网出口的私有VPC内，必须在VPC里配齐ECR API、ECR镜像存储、S3三个对应的VPC端点，否则会因为网络连通性问题拉取失败。

内容的提问来源于stack exchange，提问作者wi3o