Terraform部署ECS任务出现CannotPullContainerError镜像拉取失败问题

开发者阿泽

2026-10-4

解决方案：ECS镜像标签与CI推送标签不匹配问题

核心逻辑是在Terraform中声明动态变量接收CI生成的镜像标签，流水线执行时将构建镜像所用的标签同步传递给Terraform，保证二者标签完全对齐，操作步骤如下：

第一步：在Terraform配置目录中新增/修改variables.tf文件，添加镜像标签输入变量

variable "ecr_image_tag" {
  type        = string
  description = "动态ECR镜像标签，由CI/CD流水线传入"
  default     = "latest" # 仅本地测试时使用默认值，流水线执行时会被覆盖
}

第二步：修改ecs_task.tf中的ECS任务定义配置，将镜像地址的固定latest标签替换为上述变量
将aws_ecs_task_definition资源中container_definitions字段里的image配置修改为：

resource "aws_ecs_task_definition" "talk_booking" {
  # 其余原有配置保持不变
  container_definitions = jsonencode([
    {
      name      = "talk-booking-container"
      image     = "${aws_ecr_repository.talk-booking.repository_url}:${var.ecr_image_tag}"
      # 其余容器配置保持不变
    }
  ])
}

第三步：修改CI/CD配置文件ci-cd.yml，在执行Terraform命令的步骤中传入动态生成的镜像标签
在镜像推送到ECR之后的Terraform apply步骤中，添加-var参数传入和推送时一致的标签值，示例（以GitLab CI为例）：

deploy_ecs:
  stage: deploy
  script:
    # 其余前置操作：aws登录、terraform init等保持不变
    - terraform apply -var "ecr_image_tag=development-$CI_COMMIT_SHA" -auto-approve

如果使用GitHub Actions等其他CI工具，只需将$CI_COMMIT_SHA替换为对应CI系统内置的commit SHA变量即可。