Minikube拉取ECR私有仓库镜像报错无凭证问题排查求助

1. 验证Secret有效性 #

• 确认Secret类型是否正确：ECR镜像拉取Secret必须为kubernetes.io/dockerconfigjson类型，执行命令kubectl get secret registry-creds-ecr -o jsonpath='{.type}'校验输出是否匹配。
• 解码验证认证内容：执行kubectl get secret registry-creds-ecr -o jsonpath='{.data.\.dockerconfigjson}' | base64 --decode，检查输出的docker配置中是否包含对应ECR仓库地址、固定用户名AWS、以及有效的临时密码。注意AWS ECR的密码有效期仅为12小时，过期的密码会直接导致认证失败。
• 确认Secret和Deployment在同一命名空间：如果Deployment指定了非default命名空间运行，必须在对应命名空间下创建相同的Secret。

2. 校验Deployment配置 #

确认imagePullSecrets字段层级正确，字段必须放在Pod模板的spec层级下，而非Deployment顶层spec，正确结构示例：

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      imagePullSecrets:
      - name: registry-creds-ecr
      containers:
      - name: 你的容器名
        image: *.dkr.ecr.eu-west-1.amazonaws.com/*:2021-09-20-1
        # 可临时修改拉取策略配合本地镜像验证
        imagePullPolicy: IfNotPresent

3. 排查registry-creds插件问题 #

• 先确认插件实际启用状态：执行minikube addons list | grep registry-creds，如果状态为disabled，先执行minikube addons enable registry-creds启用插件。
• 重新配置插件参数：执行minikube addons configure registry-creds，确认输入的AWS访问密钥、区域为eu-west-1，并开启ECR支持，配置完成后执行minikube addons reload registry-creds，再重启minikube生效：minikube stop && minikube start。

4. 快速定位验证方案 #

• 本地镜像导入绕过拉取流程：将你本地已经拉好的镜像直接导入minikube节点，执行minikube image load *.dkr.ecr.eu-west-1.amazonaws.com/*:2021-09-20-1，修改Deployment的imagePullPolicy为IfNotPresent后重新apply，如果Pod正常启动则可确认问题出在镜像拉取认证环节，再回头排查前面的配置即可。
• 节点内手动测试拉取：执行minikube ssh进入minikube节点，手动执行docker pull *.dkr.ecr.eu-west-1.amazonaws.com/*:2021-09-20-1，如果拉取失败可直接在节点内执行aws ecr get-login-password --region eu-west-1 | docker login --username AWS --password-stdin *.dkr.ecr.eu-west-1.amazonaws.com验证认证信息正确性。

内容的提问来源于stack exchange，提问作者testing495