ECS Fargate拉取Docker Hub公共镜像报CannotPullContainerError错误求助

该问题90%以上的概率是触发了Docker Hub的匿名拉取速率限制。Docker Hub从2020年开始对匿名IP的镜像拉取做了频次限制，同一个公网IP每6小时最多只能拉100次镜像，你ECS任务用NAT网关的公网IP出口，该IP可能因为和其他AWS用户共享出口、或者自身业务的镜像拉取频率较高，已经耗尽了匿名配额，此时Docker Hub会返回401/429状态码要求身份认证，和你拿到的UNAUTHORIZED响应完全匹配。

排查步骤 #

• 同环境验证：在和故障ECS任务同子网的EC2实例上，执行docker pull [你报错的镜像地址]，如果也出现认证相关报错，即可确认是速率限制问题
• 直接查询限流额度：执行如下命令查看当前出口IP的剩余拉取配额

curl -i https://registry-1.docker.io/v2/ratelimitpreview/test/manifests/latest

查看返回头中的RateLimit-Remaining字段，若值为0则证明配额已耗尽

解决方案 #

• 临时修复：为ECS配置Docker Hub认证信息
  1. 注册Docker Hub账号，创建个人访问令牌
  2. 将Docker Hub的认证凭证存入AWS Secrets Manager
  3. 在ECS任务定义中增加repositoryCredentials字段，引用存储的凭证，即可使用认证身份拉取镜像，享受更高的拉取配额（免费账号每6小时可拉200次，付费账号无限制）
• 长期最优方案：将公共镜像同步至自有私有ECR仓库
  把业务需要用到的Docker Hub公共镜像定期同步到自己的AWS ECR私有仓库中，ECS任务直接从同区域的ECR拉取镜像，完全规避公网限流问题，同时拉取速度更快、成本更低
• 兜底排查：如果上述步骤确认不是限流问题，可开启ECS任务的CloudWatch日志输出，查看完整的4xx状态码，根据状态码进一步定位问题：404确认镜像标签是否正确、403检查是否有网络策略拦截Docker Hub请求

内容的提问来源于stack exchange，提问作者richflow