如何配置Docker使用AWS ECR拉取缓存兼容短镜像别名？

要让Docker不用修改命令就能通过ECR的pull-through缓存拉取Docker Hub镜像，你需要调整ECR的缓存规则和Docker的镜像仓库配置，核心是让Docker的请求路径和ECR的缓存规则匹配：

1. 正确配置ECR的Pull-Through缓存规则 #

在AWS控制台或通过CLI创建两个缓存规则：

• 规则1（适配官方镜像短别名）：
  • 源注册表：docker.io
  • 源路径：library/*
  • 目标存储库前缀：docker-hub/library/
• 规则2（适配第三方镜像）：
  • 源注册表：docker.io
  • 源路径：*/*
  • 目标存储库前缀：docker-hub/

配置后，ECR会自动把docker.io/library/postgres的请求映射到$ecr/docker-hub/library/postgres，把docker.io/bitnami/redis这类第三方镜像请求映射到$ecr/docker-hub/bitnami/redis。

2. 配置Docker Daemon的镜像仓库镜像 #

修改CI运行器上的/etc/docker/daemon.json，把镜像仓库镜像指向ECR的docker-hub前缀路径（而非ECR根域名）：

{
  "registry-mirrors": ["https://$account_id.dkr.ecr.$region.amazonaws.com/docker-hub"]
}

修改后重启Docker服务：

systemctl restart docker

3. 在CI运行器上完成ECR认证 #

每次CI任务启动时，先执行ECR登录命令，确保Docker具备访问ECR的权限：

aws ecr get-login-password --region $region | docker login --username AWS --password-stdin $account_id.dkr.ecr.$region.amazonaws.com

你之前忽略的关键点 #

1. 镜像仓库镜像的路径指向错误：你之前直接把mirror指向ECR根域名，导致Docker请求路径缺少docker-hub前缀，无法匹配ECR的缓存规则；正确的做法是指向ECR中对应缓存规则的前缀路径$ecr/docker-hub。
2. ECR认证缺失：日志里的no basic auth credentials错误说明Docker未登录ECR，必须在CI步骤中预先完成认证，否则无法访问ECR的缓存内容。
3. 缓存规则的路径匹配逻辑：ECR的pull-through规则基于路径前缀匹配，必须让Docker发送的请求路径和规则中的目标前缀完全对应，才能触发缓存拉取。

测试验证：执行docker run postgres:16，Docker会自动向https://$ecr/docker-hub/v2/library/postgres/manifests/16发送请求，ECR如果没有缓存就会从Docker Hub拉取并存储到自身仓库，后续拉取直接使用ECR缓存。

内容的提问来源于stack exchange，提问作者JP-Ellis