Kubernetes部署时无法拉取AWS ECR镜像：认证凭证问题排查

看了你的问题描述和Pod事件日志，核心报错是no basic auth credentials——虽然EC2实例本身的IAM角色能让docker pull成功，但Kubernetes的Pod拉取镜像时没拿到正确的凭证，这是因为两者的凭证获取机制不一样，我帮你梳理几个可能的遗漏点和解决办法：

1. 确认kubeadm的云提供商配置是否生效 #

你提到用kubeadm init时指定了AWS云提供商，但需要确保这个配置在整个集群生效：

• 检查kubeadm初始化时的配置文件，确认cloudProvider字段设置为aws，或者你用了--cloud-provider=aws参数
• 每个节点的kubelet配置（比如/var/lib/kubelet/config.yaml或者/etc/default/kubelet）里必须包含--cloud-provider=aws参数，否则kubelet不会和AWS云服务交互，也就没法自动利用EC2实例的IAM角色获取ECR凭证
  • 修改后需要重启kubelet：systemctl restart kubelet

2. 手动创建ImagePullSecret（临时解决方案） #

如果云提供商配置暂时没搞定，或者你需要快速验证，可以手动生成ECR的凭证Secret：

• 先在EC2实例上获取ECR登录凭证：

  aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin ACCOUNT_ID.dkr.ecr.us-east-1.amazonaws.com
  

• 把Docker的配置文件转换成Kubernetes的Secret：

  kubectl create secret generic ecr-registry \
    --from-file=.dockerconfigjson=/root/.docker/config.json \
    --type=kubernetes.io/dockerconfigjson
  

• 在你的Deployment或Pod定义里添加imagePullSecrets字段：

  spec:
    containers:
    - name: testapp
      image: ACCOUNT_ID.dkr.ecr.us-east-1.amazonaws.com/testapp:latest
    imagePullSecrets:
    - name: ecr-registry
  

  注意：这种方式的凭证有效期只有12小时，之后需要重新生成，适合临时测试。

3. 用IRSA实现自动凭证管理（推荐长期方案） #

如果是长期运行的集群，推荐使用IAM Roles for Service Accounts (IRSA)，让Pod直接关联IAM角色，自动获取ECR拉取权限：

• 为Kubernetes集群创建OIDC提供商（需要集群有公网访问的OIDC endpoint，kubeadm集群可以通过配置Ingress或者使用AWS Load Balancer暴露）
• 创建一个IAM角色，赋予AmazonEC2ContainerRegistryReadOnly权限，并信任你的Kubernetes OIDC提供商
• 在Kubernetes的Service Account上添加注解，关联这个IAM角色：

  apiVersion: v1
  kind: ServiceAccount
  metadata:
    name: testapp-sa
    annotations:
      eks.amazonaws.com/role-arn: arn:aws:iam::ACCOUNT_ID:role/your-ecr-access-role
  

• 在Deployment里使用这个Service Account：

  spec:
    serviceAccountName: testapp-sa
    containers:
    - name: testapp
      image: ACCOUNT_ID.dkr.ecr.us-east-1.amazonaws.com/testapp:latest
  

  这样Pod启动时会自动获取临时凭证，无需手动管理Secret，有效期自动刷新。

为什么docker pull能成功但Pod不行？ #

Docker在EC2实例上运行时，会自动通过AWS Metadata Service获取实例IAM角色的临时凭证，用来访问ECR；但Kubernetes的kubelet默认不会把这些凭证传递给容器 runtime，除非你配置了云提供商集成，或者通过ImagePullSecret/IRSA给Pod提供了凭证。

内容的提问来源于stack exchange，提问作者DevScript