SRE运维博客 ·

AWS私有仓库ECR推送拉取镜像

💡 原文中文，约2500字，阅读约需6分钟。

📝

内容提要

Amazon Elastic Container Registry（ECR）是一个安全、可扩展的容器映像注册表服务，支持私有存储库和基于IAM的权限管理，提供生命周期策略、映像扫描和跨区域复制等功能。用户可以通过Docker命令推送和拉取映像，确保容器映像的安全性和管理便利性。

🔎

延伸解读

ECR 的核心能力与适用场景

ECR 是 AWS 托管的容器镜像注册表，支持私有存储库和基于 IAM 的权限控制，适合需要安全存储和分发容器镜像的团队。其生命周期策略可自动清理未使用镜像，镜像扫描能识别软件漏洞，跨区域复制则便于将镜像部署到不同区域。这些功能共同降低了镜像管理的运维负担。

推送镜像前的必要准备

推送镜像前，必须确保 ECR 存储库已存在，并完成 Docker 客户端身份验证。使用 aws ecr get-login-password 获取授权令牌，令牌有效期为 12 小时。若需对多个注册表操作，需分别验证。验证时用户名固定为 AWS，并指定注册表 URI。若遇错误，应检查 AWS CLI 和 Docker 是否为最新版本。

推送与拉取镜像的典型流程

推送镜像需依次执行构建、标记和推送。标记时使用完整 ECR 仓库 URI，推送使用 docker push。拉取时使用 docker pull，镜像名称格式为 registry/repository[:tag] 或 registry/repository[@digest]。若拉取报错 repository-url not found，通常是因为未向 ECR 验证 Docker 客户端，需重新登录。

常见问题与解决思路

推送镜像时可能遇到 Head https://registry-1.docker.io/v2/... 错误，这通常是由于 Docker 无法访问默认镜像源。解决方法是在 /etc/docker/daemon.json 中配置国内镜像加速器，如阿里云或中科院镜像，然后重启 Docker 服务。此操作可改善拉取基础镜像时的网络问题。

❓

Q&A

Amazon ECR是什么？

Amazon ECR是一个安全、可扩展的容器映像注册表服务，支持私有存储库和基于IAM的权限管理。

如何将Docker映像推送到Amazon ECR？

使用docker push命令将容器映像推送到ECR存储库，推送前需验证Docker客户端身份并获取授权令牌。

ECR支持哪些功能？

ECR支持生命周期策略、映像扫描和跨区域复制等功能。

如何验证Docker客户端身份以访问ECR？

运行aws ecr get-login-password命令获取授权令牌，并使用docker login命令进行身份验证。

ECR的映像扫描功能有什么用？

映像扫描功能可以识别容器映像中的软件漏洞，确保推送的映像安全。

如何拉取ECR中的Docker映像？

使用docker pull命令提取映像，确保映像名称格式正确并已验证Docker客户端。

🏷️