AWS ECR登录成功后执行Docker pull仍报错unauthorized: authentication required

我之前也碰到过一模一样的情况——明明执行aws ecr get-login后显示登录成功，但docker pull就是抛出unauthorized: authentication required的错误，下面是我亲测有效的排查和解决方法：

1. 确认AWS CLI区域与ECR仓库完全匹配 #

ECR是区域级服务，如果登录时没指定区域，AWS CLI会使用默认配置的区域，但如果这个区域和你的ECR仓库所在的us-east-1不匹配，就会导致认证失效。

• 先检查当前CLI默认区域：

  aws configure get region
  

• 如果输出不是us-east-1，要么修改CLI配置，要么在登录命令里明确指定区域后重新执行：

  aws ecr get-login --region us-east-1 --no-include-email | sh
  

2. 验证IAM权限是否足够 #

确保你用来登录AWS的IAM用户/角色拥有拉取ECR镜像的必要权限，至少需要以下几个：

• ecr:GetDownloadUrlForLayer
• ecr:BatchGetImage
• ecr:BatchCheckLayerAvailability
• （可选）ecr:DescribeRepositories（用于确认仓库存在）
  可以去IAM控制台检查对应的策略，补充缺失的权限后重新尝试登录和拉取。

3. 检查Docker认证配置是否正确生成 #

执行登录命令后，Docker会把认证信息写入~/.docker/config.json文件，你可以查看这个文件里是否有对应ECR仓库的条目：

cat ~/.docker/config.json

如果没有找到"432354543235.dkr.ecr.us-east-1.amazonaws.com"相关的auth配置，说明登录命令没有正确写入认证信息，重新执行登录命令，确保过程中没有任何报错。

4. 确认镜像地址和标签完全正确 #

有时候只是手滑输错了账号ID、仓库名、标签或者区域，仔细核对你要拉取的镜像地址：
432354543235.dkr.ecr.us-east-1.amazonaws.com/abc-example:1.1.1
确保每一部分都和ECR控制台里的信息完全一致。

5. 重置Docker认证缓存 #

如果之前有过其他ECR仓库的认证记录，可能缓存了旧的无效信息，试试先登出再重新登录：

docker logout 432354543235.dkr.ecr.us-east-1.amazonaws.com
aws ecr get-login --region us-east-1 --no-include-email | sh
docker pull 432354543235.dkr.ecr.us-east-1.amazonaws.com/abc-example:1.1.1

一般来说，按照上面的步骤排查，就能解决这个认证问题。

内容的提问来源于stack exchange，提问作者user3847894