遇到ImageReferencedByManifestList错误如何删除ECR镜像标签且不删底层镜像

问题根因 #

使用aws ecr-public batch-delete-image接口删除镜像标签时遵循以下逻辑：

• 若目标镜像绑定了多个标签，接口仅删除指定标签，不会触碰底层镜像
• 若目标镜像仅绑定待删除的这一个标签，接口会尝试同时删除底层镜像
  当镜像已被manifest list引用时，底层镜像删除操作会被ECR拦截，返回ImageReferencedByManifestList错误，最终目标标签也无法被删除。
  报错示例如下：

$ aws ecr-public batch-delete-image --region=$REGION --repository-name $REPO --image-ids imageTag=TEMP 
{
    "imageIds": [],
    "failures": [
        {
            "imageId": {
                "imageTag": "TEMP"
            },
            "failureCode": "ImageReferencedByManifestList",
            "failureReason": "Requested image referenced by manifest list: [sha256:f0446c2685b48eedefa1a90085c513ddae548226b087fa3a7ced8f94cf4aff70]"
        }
    ]
}

解决方案 #

方法一：双标签替换法（兼容所有AWS CLI版本，无额外依赖） #

通过新增临时占位标签的方式，让删除目标标签时镜像至少绑定2个标签，此时batch-delete-image只会删除指定标签，不会触发底层镜像删除逻辑：

1. 获取待删除标签对应镜像的Digest：

IMAGE_DIGEST=$(aws ecr-public describe-images --region $REGION --repository-name $REPO --image-ids imageTag=TEMP --query 'images[0].imageId.imageDigest' --output text)

2. 给该镜像打上临时占位标签（示例为temp-placeholder，可自定义）：

aws ecr-public put-image --region $REGION --repository-name $REPO --image-tag temp-placeholder --image-manifest "$(aws ecr-public batch-get-image --region $REGION --repository-name $REPO --image-ids imageDigest=$IMAGE_DIGEST --query 'images[0].imageManifest' --output text)"

3. 删除原临时标签TEMP，此时接口仅移除指定标签，不会操作底层镜像：

aws ecr-public batch-delete-image --region $REGION --repository-name $REPO --image-ids imageTag=TEMP

4. （可选）清理临时占位标签，此时请求会因镜像被manifest list引用报错，但不会影响已完成的标签删除操作，也不会删除底层镜像：

aws ecr-public batch-delete-image --region $REGION --repository-name $REPO --image-ids imageTag=temp-placeholder

方法二：OCI原生接口删除（操作更直接，无多余步骤） #

ECR完全兼容OCI分发规范，可直接调用OCI标准的标签删除接口，该接口仅移除标签，不会触发底层镜像删除逻辑，不受manifest list引用限制：

1. 获取ECR仓库的认证令牌：

TOKEN=$(aws ecr-public get-authorization-token --region $REGION --query 'authorizationData.authorizationToken' --output text)

2. 调用OCI接口直接删除目标标签：

curl -X DELETE -H "Authorization: Basic $TOKEN" https://public.ecr.aws/v2/$REPO/manifests/TEMP

内容的提问来源于stack exchange，提问作者Sam Salisbury