AWS ECS FARGATE无法从Docker私有仓库拉取镜像问题求助

问题排查根因 #

1. 权限策略中的密钥ARN与实际引用不匹配 #

你在任务定义repositoryCredentials字段中引用的密钥ARN为：
arn:aws:secretsmanager:eu-west-1:123456789:secret:docker_private_repo-123456
但你附加到ecsTaskExecutionRole的策略2中，授权的资源ARN末尾多了字符c：
arn:aws:secretsmanager:eu-west-1:123456789:secret:docker_private_repo-123456c
权限未覆盖到实际使用的密钥，导致ECS执行角色无权拉取对应密钥。

2. Secrets Manager中存储的密钥格式不符合要求 #

报错中unable to unmarshal secret value of authorization data from asm明确表示密钥内容反序列化失败，AWS要求私有镜像仓库的认证密钥必须为严格的JSON格式，仅包含username和password两个字段，示例如下：

{
  "username": "你的私有仓库用户名",
  "password": "你的私有仓库密码/访问令牌"
}

如果存在多余字段、格式错误、或直接存储为非JSON的明文串，都会触发该报错。

3. 可选排查：Fargate网络连通性问题 #

如果修复以上两个问题后仍报错，需确认Fargate任务所在子网的网络配置：

• 若使用公有子网：需开启「自动分配公网IP」，否则无法访问公网的Secrets Manager服务
• 若使用私有子网：需配置NAT网关，或为Secrets Manager配置VPC端点，保证任务可以访问到Secrets Manager服务

修复步骤 #

1. 修改策略2中的资源ARN，与任务定义中引用的密钥ARN保持完全一致
2. 检查Secrets Manager中对应密钥的内容，确认格式符合上述JSON要求，无多余字符或格式错误
3. 重新发布任务定义，启动新任务验证

内容的提问来源于stack exchange，提问作者Şamil Aydoğan