Windows环境GitLab Runner+Docker+ECR登录助手：无基础认证凭据错误

核心问题分析 #

本地Shell能正常使用docker-credential-ecr-login，但GitLab Runner失败，核心原因：

• GitLab Runner默认以Local System账户运行，而非你配置助手的本地用户账户
• Local System账户的家目录是C:\Windows\System32\config\systemprofile，而非本地用户的C:\Users\<你的用户名>，因此无法读取你放在~/.docker/config.json的配置
• Runner进程的环境变量PATH可能未包含docker-credential-ecr-login的路径

解决方案1：适配Local System账户的配置与环境 #

1. 复制Docker配置文件到Local System家目录

   • 手动创建路径：C:\Windows\System32\config\systemprofile\.docker
   • 复制本地用户的C:\Users\<你的用户名>\.docker\config.json到上述路径，确保文件中"credsStore": "ecr-login"配置正确

2. 确保docker-credential-ecr-login在系统PATH中

   • 把docker-credential-ecr-login.exe复制到C:\Windows\System32目录（该目录默认在所有系统账户的PATH中）
   • 或修改系统级环境变量PATH，添加C:\docker-ecr-login，完成后重启GitLab Runner服务

3. 重启GitLab Runner服务
   打开PowerShell执行：

   Restart-Service gitlab-runner
   

解决方案2：在config.toml中强制指定Docker配置路径 #

修改config.toml的[[runners]]块，添加环境变量指定Docker配置目录：

[[runners]]
  # 保留原有配置...
  environment = [
    'PATH=%PATH%;C:/docker-ecr-login/',
    'DOCKER_CONFIG=C:\\Windows\\System32\\config\\systemprofile\\.docker'
  ]

保存配置后重启GitLab Runner服务，使修改生效。

解决方案3：预构建脚本动态获取ECR凭证（替代方案） #

如果凭据助手方案无法生效，可通过实例IAM角色在每次构建时动态获取ECR凭证，避免令牌有效期限制：

1. 修改config.toml的pre_build_script：

[runners.docker]
  # 保留原有配置...
  pre_build_script = "aws ecr get-login-password | docker login --username AWS --password-stdin <你的ECR账户ID>.dkr.ecr.<你的区域>.amazonaws.com"

2. 确保GitLab Runner运行的Local System账户有权限调用AWS ECR API（依托实例IAM角色权限即可，无需额外AK/SK）

验证方法 #

触发一次GitLab流水线，查看构建日志，若不再出现no basic auth credentials错误，说明配置生效。

内容的提问来源于stack exchange，提问作者DamDam