借助IAM角色获取ECS任务凭证时出现exec format错误如何解决

你遇到的standard_init_linux.go:211: exec user process caused "exec format error"错误和IAM权限配置完全无关，属于容器镜像本身的执行环境不匹配问题，90%以上的场景是镜像构建架构与ECS运行实例架构不匹配导致的，以下是分步排查方案：

排查步骤 #

• 第一步：验证镜像构建架构与运行实例架构是否匹配
  这个是最常见的触发原因：

  • 如果你是在M1/M2系列的Mac（ARM架构）上构建的镜像，默认产出的是arm64架构镜像，而你的ECS集群如果使用的是x86架构的EC2实例（如t2/t3/c5等系列），就会出现架构不匹配的执行错误
  • 验证方法：
    1. 在构建镜像的机器执行 uname -m，x86架构输出x86_64，ARM架构输出aarch64
    2. 查看ECS任务运行的EC2实例类型，t4g/g5g等带g后缀的实例为ARM架构，其余多数为x86架构
  • 修复方案：
    1. 用和EC2实例同架构的机器构建镜像
    2. 或者使用docker buildx构建多架构兼容镜像，命令参考：

    docker buildx build --platform linux/amd64,linux/arm64 -t <你的ECR镜像地址> --push .
    

• 第二步：检查Python脚本的格式问题
  如果架构匹配仍报错，排查脚本本身的格式：

  • 检查app2.py是否带有Windows格式的换行符（\r\n），Windows换行符在Linux容器中会被识别为非法字符导致执行失败，可以在Dockerfile中添加转换步骤：

    # 原有COPY app2.py .之后添加这行
    RUN apt-get update && apt-get install -y dos2unix && dos2unix /app/app2.py
    

  • 如果脚本首行写了shebang声明（如#!/usr/bin/env python），确认容器中对应命令存在，或者直接删除shebang（你已经在CMD中指定了python3执行，不需要依赖shebang）

• 第三步：本地验证镜像可用性
  构建完成后先在本地执行镜像验证是否能正常运行，排除镜像本身的问题：

  docker run --rm <你的镜像地址>
  

  如果本地运行就报错，直接排查镜像构建逻辑即可，不需要在ECS侧反复调试。

补充说明：你配置的IAM权限本身没有问题，后续镜像运行正常后如果出现密钥拉取失败的报错，再排查权限即可，当前不需要调整IAM配置。

内容的提问来源于stack exchange，提问作者Eyal Solomon