跨AWS账号Elastic Beanstalk拉取ECR镜像失败求助

我之前也碰到过类似的跨账号ECR镜像拉取故障，咱们一步步来排查解决：

首先排查ECR仓库的权限策略问题 #

你当前的ECR策略给了对方账号root用户大量权限，但这里有两个可以优化的点，可能也是导致认证失败的核心原因：

• 权限范围过大：拉取镜像只需要3个核心Action，没必要给ecr:DeleteRepository这类高风险权限，精简后更安全也能避免潜在的权限冲突：

  {
    "Version": "2008-10-17",
    "Statement": [
      {
        "Sid": "AllowBeanstalkAccountPullImages",
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::ZZZZZZZZZZZ:root"
        },
        "Action": [
          "ecr:GetDownloadUrlForLayer",
          "ecr:BatchGetImage",
          "ecr:BatchCheckLayerAvailability"
        ]
      }
    ]
  }
  

• Principal的精准性：虽然允许对方账号root理论上能覆盖该账号下所有IAM实体，但更稳妥的方式是直接指定Beanstalk实例使用的IAM角色ARN（比如arn:aws:iam::ZZZZZZZZZZZ:role/aws-elasticbeanstalk-ec2-role），这样权限更精准，也能避免账号内其他无关实体获取权限。

其次检查Beanstalk实例的IAM角色权限 #

光在ECR侧开了权限还不够，Beanstalk运行的EC2实例使用的IAM角色（默认是aws-elasticbeanstalk-ec2-role）需要有主动访问目标ECR仓库的权限。你需要给这个角色添加一条自定义权限策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "arn:aws:ecr:eu-central-1:XXXXXXX:repository/YYYYYYY"
        }
    ]
}

注意：ecr:GetAuthorizationToken是获取ECR登录令牌必需的权限，很多人会漏掉这个关键项。

验证权限是否生效 #

你可以登录到Beanstalk的EC2实例上，手动执行以下命令测试能否正常拉取镜像：

# 获取ECR登录令牌并完成登录
aws ecr get-login-password --region eu-central-1 | docker login --username AWS --password-stdin XXXXXXX.dkr.ecr.eu-central-1.amazonaws.com
# 尝试拉取目标镜像
docker pull XXXXXXX.dkr.ecr.eu-central-1.amazonaws.com/YYYYYYY:latest

如果这两步能成功，说明权限配置没问题，重新创建Beanstalk环境应该就能正常工作了。

关于Dockerrun.aws.json的Authentication参数 #

这个方案临时可用，但不推荐作为长期方案：

• 原理是把ECR的登录凭证放到S3桶里，Beanstalk从S3读取凭证来登录ECR。但ECR的登录令牌有效期只有12小时，你需要定时更新S3里的凭证（比如用Lambda+CloudWatch Events自动生成并上传），维护成本很高。
• 相比之下，IAM角色+跨账号ECR策略的方案是无状态、自动续期的，更稳定可靠。

内容的提问来源于stack exchange，提问作者Thomas