EKS工作节点如何获取ECR登录权限，为何可直接拉取ECR镜像？

EKS工作节点并不会自动执行你提到的docker login相关命令，能直接拉取ECR镜像，是IAM权限和ECR凭证助手配合的透明化机制，核心逻辑如下：

• 首先，EKS工作节点默认关联的EC2实例IAM角色，已经包含ECR拉取所需的权限。亚马逊官方提供的AmazonEKSWorkerNodePolicy托管策略默认包含ecr:GetAuthorizationToken、ecr:BatchCheckLayerAvailability、ecr:GetDownloadUrlForLayer、ecr:BatchGetImage等权限，节点本身已经具备获取ECR访问授权的身份资格，不需要额外配置访问密钥手动生成登录密码。
• 其次，EKS官方提供的优化版工作节点AMI（Amazon Linux 2/2023版本）默认预装了ecr-credential-helper工具。这个工具会直接对接AWS IAM接口自动获取ECR临时访问凭证，当kubelet发起镜像拉取请求时，容器运行时（Docker/Containerd）会自动调用该凭证助手完成身份校验，整个过程完全对用户透明，不需要手动执行登录命令持久化凭证。
• 如果你使用IRSA（IAM Roles for Service Accounts）配置Pod级别的ECR访问权限，凭证助手也会自动调用对应ServiceAccount绑定的IAM角色权限完成授权，同样不需要节点层面执行登录操作。

如果使用未预装ecr-credential-helper的自定义AMI作为工作节点，才需要手动配置登录逻辑或者安装对应组件才能正常拉取ECR镜像。

内容的提问来源于stack exchange，提问作者Daniel Wang