AWS Elastic Beanstalk切换至GitHub Packages拉取镜像遇认证问题求助

你的分析完全精准——Elastic Beanstalk 默认的03build.sh预构建钩子在处理ECR镜像时，会通过aws ecr get-login生成的docker login命令直接覆盖/root/.docker/config.json，不会合并从S3同步来的GitHub Packages凭证。下面给你几个针对性的解决办法：

方法一：修改预构建钩子脚本，添加GitHub认证并合并凭证 #

直接调整/opt/elasticbeanstalk/hooks/pre/03build.sh，在ECR认证逻辑后加入GitHub Packages的认证步骤，让docker login自动合并双仓库凭证：

1. 先准备好带read:packages权限的GitHub个人访问令牌（PAT），将其存入Beanstalk环境变量（命名为GITHUB_PAT），同时把GitHub用户名存入GITHUB_USERNAME环境变量
2. 在脚本的ECR处理if块之后添加以下代码：

# 认证GitHub Packages镜像仓库
if [ -n "$GITHUB_PAT" ] && [ -n "$GITHUB_USERNAME" ]; then
  echo "开始认证GitHub Packages..."
  echo "$GITHUB_PAT" | docker login ghcr.io -u $GITHUB_USERNAME --password-stdin
fi

这样修改后，脚本会先完成ECR认证，再执行GitHub仓库的认证，docker login会自动把新凭证追加到config.json中，而非直接覆盖。

方法二：用Beanstalk配置文件统一管理双仓库认证 #

通过.ebextensions配置文件让Beanstalk自动生成包含双仓库凭证的config.json，无需手动修改钩子脚本：

在项目根目录创建.ebextensions/10-docker-auth.config文件，内容如下：

option_settings:
  # 存储GitHub敏感信息到环境变量（建议用Beanstalk加密环境变量）
  aws:elasticbeanstalk:application:environment:
    GITHUB_USERNAME: your-github-username
    GITHUB_PAT: your-github-pat-with-read-packages
  # 配置私有镜像仓库认证
  aws:elasticbeanstalk:container:docker:
    authentication:
      ghcr.io:
        username: '`{"Ref": "GITHUB_USERNAME"}`'
        password: '`{"Ref": "GITHUB_PAT"}`'

将这个配置文件随代码一起部署，Beanstalk会自动处理ECR和GitHub Packages的认证，生成包含双仓库凭证的config.json。

方法三：手动合并凭证生成config.json（进阶方案） #

如果你想完全控制config.json的生成逻辑，可以跳过docker login，手动合并.dockercfg和ECR的认证信息：

1. 先通过.ebextensions给实例安装jq工具（用于JSON处理）：

packages:
  yum:
    jq: []

2. 修改03build.sh中的ECR处理逻辑，替换原来的eval $ECR_LOGIN_RESPONSE：

# 提取ECR认证信息和仓库地址
ECR_AUTH=$(echo $ECR_LOGIN_RESPONSE | awk -F ' -p ' '{print $2}' | awk -F ' ' '{print $1}')
ECR_REGISTRY=$(echo $FROM_IMAGE | awk -F '/' '{print $1}')

# 读取已有的.dockercfg（包含GitHub凭证），合并ECR凭证后写入config.json
DOCKER_CFG=$(cat /root/.dockercfg)
jq --arg reg "$ECR_REGISTRY" --arg auth "$ECR_AUTH" '.auths[$reg] = {"auth": $auth}' <<< "$DOCKER_CFG" > /root/.docker/config.json

这个方法彻底避免了docker login的覆盖问题，完全由脚本控制凭证合并逻辑。

测试时建议先启动一个临时Beanstalk实例验证流程，确保双仓库镜像都能正常拉取。另外，环境变量中的敏感信息（如GitHub PAT）记得用Beanstalk的加密环境变量存储，防止泄露。

内容的提问来源于stack exchange，提问作者adamfinstorp