无法将图像推送到 Amazon ECR - 因“没有基本身份验证凭证”而失败

如果您运行 $(aws ecr get-login --region us-east-1)，一切都会为您完成

2021 年 7 月更新：

get-login 现在在 AWS CLI 的版本 1 中已弃用。如果您使用的是 AWS CLI 版本 2，则必须使用 get-login-password。

您可以将 get-login-password 的输出通过管道传输到您的 docker login 命令，以向您的 ECR 注册表验证 docker：

aws ecr get-login-password | docker login --username AWS --password-stdin ####.dkr.ecr.us-east-1.amazonaws.com

现在您应该能够 docker push 并让它直接进入您的 ECR 注册表。

---

就我而言，这是 Docker for Windows 及其对 Windows 凭据管理器的支持的一个错误。

打开您的 ~/.docker/config.json 并删除 "credsStore": "wincred" 条目。

这将导致凭据直接写入 config.json。之后您必须重新登录。

您可以通过 GitHub 上的票 #22910 和 #24968 跟踪此错误。

---

更新

由于 AWS CLI 版本 2 - aws ecr get-login 已弃用，正确的方法是 aws ecr get-login-password。

因此，正确和更新的答案如下：docker login -u AWS -p $(aws ecr get-login-password --region us-east-1) xxxxxxxx.dkr.ecr.us-east-1.amazonaws.com

---

如果您使用配置文件，请不要忘记将 --profile=XXX 传递给 aws ecr get-login。

---

我也有这个问题。我发生的事情是我忘记运行运行后返回给我的命令

aws ecr get-login --region ap-southeast-2

该命令返回了一个大块，其中包含 docker login 命令！我没有意识到。它应该返回如下内容：

docker login -u AWS -p <your_token_which_is_massive> -e none <your_aws_url>

复制并粘贴此命令，然后运行您的 docker push 命令，如下所示：

docker push 8888888.blah.blah.ap-southwest-1.amazonaws.com/dockerfilename

---

即使没有打开权限，这也应该有效。请参阅文档：Private Registry Authentication。

[编辑：实际上，我在进行第二次测试时也遇到了权限问题。见Docker push to AWS ECR private repo failing with malformed JSON)。]

尽管如此，我也遇到了同样的问题；我不知道为什么，但我成功地使用了 get-authorization-token 的文档中描述的更冗长的身份验证机制

AWS CLI 和 Docker 版本：

$ aws --version
aws-cli/1.9.17 Python/2.7.6 Linux/3.16.0-38-generic botocore/1.3.17
$ docker --version
Docker version 1.9.1, build a34a1d5

获取身份验证令牌（'docker 密码'）。

aws ecr get-authorization-token --region us-east-1 --output text \
    --query authorizationData[].authorizationToken | base64 -d | cut -d: -f2

注意：我的 ~/.aws/config 指定了不同的默认区域，因此我需要明确设置 --region us-east-1。

以交互方式登录（将 ############ 更改为您的 AWS 账户 ID）：

docker login -u AWS https://############.dkr.ecr.us-east-1.amazonaws.com/
password: <paste the very long password from above>
email: <I left this blank>

推送一个图像（假设您已经制作了一个 docker 图像 test）：

docker tag test:latest ############.dkr.ecr.us-east-1.amazonaws.com/test:latest
docker push ############.dkr.ecr.us-east-1.amazonaws.com/test:latest
The push refers to a repository [910732017890.dkr.ecr.us-east-1.amazonaws.com/test] (len: 1)
d5122f58a2e1: Pushed 
7bddbca3b908: Pushed 
latest: digest: sha256:bc0b521fd398bd1a2ef58a289dcb910334608723fd570e7bddb36eacd0060363 size: 4378

---

尝试：

eval $(aws ecr get-login --no-include-email | sed 's|https://||')

推前。

---

如果对任何人有帮助...

我的问题是我必须使用 --profile 选项才能使用凭据文件中的正确配置文件进行身份验证。

接下来，我省略了 --region [region_name] 命令，该命令也给出了“无基本身份验证凭据”错误。

我的解决方案是改变我的命令：

aws ecr get-login

对此：

aws --profile [profile_name] ecr get-login --region [region_name]

例子：

aws --profile foo ecr get-login --region us-east-1

希望对某人有所帮助！

---

Windows 上的 wincred 凭据管理器中存在一个已知错误。从生成的登录命令中删除“https://”可以解决这个问题。

docker login -u AWS -p <password> <aws_account_id>.dkr.ecr.<region>.amazonaws.com

代替

docker login -u AWS -p <password> https://<aws_account_id>.dkr.ecr.<region>.amazonaws.com

另见the troubleshooting page。

---

我遇到了同样的问题。

生成新的 AWS 凭证（访问密钥）并使用新凭证重新配置 AWS CLI 解决了该问题。

早些时候，aws ecr get-login --region us-east-1 生成了带有无效 EC 注册表 URL 的 docker login 命令。

---

确保您首先创建了 ECR 注册表。然后根据 ECR 推送命令说明，剪切并粘贴以下命令 执行 docker login 命令（Mac/Linux 上的 eval 跳过剪切和粘贴） eval $(aws ecr get-login --region us-east-1 ) 添加 --profile 如果您使用多个 AWS 账户 eval $(aws ecr get-login --region us-east-1 --profile your-profile) docker build -t image-name 。 docker tag image-name:latest ############.dkr.ecr.us-east-1.amazonaws.com/image-name:latest docker push ######### ###.dkr.ecr.us-east-1.amazonaws.com/image-name:latest

如果出现错误，请确保再次运行所有命令！您使用 aws ecr get-login 获得的凭据是临时的，将过期。

---

在 PowerShell 中的 Windows 上，使用：

Invoke-Expression $(aws ecr get-login --no-include-email)

---

Docker CLI 不支持本机 IAM 身份验证方法。要authenticate and authorize Docker push and pull requests执行此步骤。

步骤1

检查是否正确配置了 aws 凭据。要配置 AWS 凭证，请运行以下命令并提供您的 aws 凭证。

aws configure

第2步

您可以使用 get-login-password 向 Amazon ECR 私有注册表验证 Docker（推荐）

linux和msc

aws ecr get-login-password --region <your region> | docker login --username AWS --password-stdin <aws_account_id>.dkr.ecr.<your region>.amazonaws.com

用于窗户

(Get-ECRLoginCommand).Password | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.<your region>.amazonaws.com

或者

您还可以使用 --get-login 方法（但公开凭据）（不推荐）。

适用于 linux 和 mac

$(aws ecr get-login --region <your region> --no-include-email)

用于窗户

Invoke-Expression -Command (Get-ECRLoginCommand -Region <your region>).Command

如果您登录成功，那么您就可以开始了。否则请参阅 aws docs for error

步骤 - 3

Push your image to repo

标记您的图像 docker tag .dkr.ecr..amazonaws.com/my-web-app 使用以下命令推送您的图像。 docker push .dkr.ecr..amazonaws.com/my-web-app

注意：这是基于令牌的登录，生成的授权令牌仅在 12 小时内有效

---

我遇到这个问题的原因不同：我需要推送到与我的 AWS 账户（客户的 ECR 注册表）无关的注册表。客户通过将我的 IAM id（例如，arn:aws:iam::{AWS ACCT #}:user/{Username}）添加为委托人，在注册表的“权限”选项卡下授予我访问权限。我尝试使用通常的步骤登录：

$(aws ecr get-login --region us-west-2 --profile profilename)
docker push {Client AWS ACCT #}.dkr.ecr.us-west-1.amazonaws.com/imagename:latest

这当然导致了no basic auth credentials。 As it turns out、aws ecr get-login 将您登录到 ECR与您的登录名关联的注册表，回想起来这很有意义。解决方案是告诉 aws ecr get-login 您要登录到哪个注册表。

$(aws ecr get-login --region us-west-2 --profile profilename --registry-ids {Client AWS ACCT #})

之后，docker push 工作正常。

---

就我而言，在运行 aws ecr get-login --no-include-email --region ***** 之后，我只是复制了该命令的输出，格式为 docker login -u *** -p ************，然后将其粘贴到提示符中。推进继续进行。

---

刚刚从 AWS 中删除了 get-login 的更新，改为使用 get-login-password：

sudo docker login -u AWS -p $(aws ecr get-login-password --region <region> - 
-profile <profile>) <account id>.dkr.ecr.eu-north-1.amazonaws.com 

如果使用默认凭据，请不要忘记删除 --profile 标志

---

AWS 文档告诉您执行以下命令（适用于 ap-southeast-2 区域）

aws ecr get-login --region ap-southeast-2

当我遇到这个问题时，根据该文档，我不清楚您需要将此命令的结果输入终端并执行它。

对我有用的修复是将结果复制到剪贴板

aws ecr get-login --region ap-southeast-2 | pbcopy

将结果粘贴到命令行并执行

---

运行此命令后：

(aws ecr get-login --no-include-email --region us-west-2)

只需从输出中运行 docker login 命令

docker login -u AWS -p epJ....

是docker登录ECR的方式

---

aws-cli 给出的 docker 命令有点不对劲......

使用 docker login 时，docker 将在您的钥匙串或 ~/.docker/config.json 文件中保存一个 server:key 对

如果它将密钥保存在 https://7272727.dkr.ecr.us-east-1.amazonaws.com 下，则推送期间对密钥的查找将失败，因为 docker 将寻找名为 7272727.dkr.ecr.us-east-1.amazonaws.com 而不是 https://7272727.dkr.ecr.us-east-1.amazonaws.com 的服务器。

使用以下命令登录：

eval $(aws ecr get-login --no-include-email --region us-east-1 --profile yourprofile | sed 's|https://||')

运行命令后，您将收到 'Login Succeeded' 消息，然后您就很好了
之后您的推送命令应该可以工作

---

如果 ecr 登录失败，通常会引发此错误。我使用的是windows系统，我在管理员模式下使用“Powershell”首先登录到ecr。

Invoke-Expression $(aws ecr get-login --no-include-email)

这应该输出“登录成功”。

---

我遇到了同样的问题，我犯的错误是使用了错误的回购路径

例如：docker push xxxxxxxxxxxxxx.dkr.ecr.us-east-1.amazonaws.com/jenkins:latest

在上面的路径中，这是我犯错误的地方：在 "dkr.ecr.us-east-1.amazonaws.com" 而不是 "west"。我正在使用“east"。一旦我纠正了我的错误，我就能够成功推送图像。

---

以下命令对我有用：

sudo $(aws ecr get-login --region us-east-1 --no-include-email)

然后我运行这些命令：

sudo docker tag e9ae3c220b23(image_id) aws_account_id.dkr.ecr.region.amazonaws.com/my-web-app

sudo docker push aws_account_id.dkr.ecr.region.amazonaws.com/my-web-app

---

将 docker 镜像推送到 ECR 有一种非常简单的方法：Amazon ECR Docker Credential Helper。只需根据提供的指南安装它，更新您的 ~/.docker/config.json 如下：

{
    "credsStore": "ecr-login"
}

并且您将能够在没有 docker login 的情况下推/拉您的图像。

---

对于 Mac OS X

TL;DR 确保您的“auths”密钥与您的凭证存储密钥完全匹配

检查你的码头配置：

cat ~/.docker/config.json

样本结果：

{
    "auths": {
        "https://55511155511.dkr.ecr.us-east-1.amazonaws.com": {}
    },
    "HttpHeaders": {
        "User-Agent": "Docker-Client/19.03.5 (darwin)"
    },
    "credsStore": "osxkeychain"
}

请注意，“auths”值是一个空对象，并且 docker 正在使用凭证存储“osxkeychain”。

打开 Mac 的“Keychain Access”应用，找到名称“Docker Credentials”

https://i.stack.imgur.com/0WNaJ.png

注意 Where: 字段

确保 ~/.docker/config.json 中的 auths 键与 Keychain Access 中的 Where: 字段匹配。

如果 ~/.docker/config.json 中的 auths 键与钥匙串中的 Where: 字段不匹配，您可能会从 docker login... 获得 Login Succeeded，但在尝试拉取时仍会获得 ERROR: Service 'web' failed to build: Get https://55511155511.dkr.ecr.us-east-1.amazonaws.com/v2/path/to/image/latest: no basic auth credentials。

就我而言，我需要添加 https://

原来的

    "auths": {
        "55511155511.dkr.ecr.us-east-1.amazonaws.com": {}
    },

固定的

    "auths": {
        "https://55511155511.dkr.ecr.us-east-1.amazonaws.com": {}
    },

---

只是补充一下，以防万一有人像我一样从未阅读过 F 手册，我遵循了上面所有建议的步骤，例如

aws ecr get-login-password --region eu-west-1 | docker login --username AWS --password-stdin 123456789.dkr.ecr.eu-west-1.amazonaws.com

并且总是得到我创建了一个名为的注册表的无基本身份验证凭据

123456789.dkr.ecr.eu-west-1.amazonaws.com/my.registry.com/namespace 

并试图推送一个名为 alpine:latest 的图像

123456789.dkr.ecr.eu-west-1.amazonaws.com/my.registry.com/namespace/alpine:latest
2c6e8b76de: Preparing
9d4cb0c1e9: Preparing
1ca55f6ab4: Preparing
b6fd41c05e: Waiting
ad44a79b33: Waiting
2ce3c1888d: Waiting
no basic auth credentials   

代表我犯了一个愚蠢的错误，因为我必须使用完整的容器路径在 ecr 中创建一个注册表。我使用完整的容器路径创建了一个新注册表，而不是以命名空间结尾

123456789.dkr.ecr.eu-west-1.amazonaws.com/my.registry.com/namespace/alpine

并且低并且看向

123456789.dkr.ecr.eu-west-1.amazonaws.com/my.registry.com/namespace/alpine:latest 
The push refers to repository [123456789.dkr.ecr.eu-west-1.amazonaws.com/my.registry.com/namespace/alpine]
0c8667b5b: Pushed
730460948: Pushed
1.0: digest: sha256:e1f814f3818efea45267ebfb4918088a26a18c size: 7

工作得很好

---

我在 OSX 上运行时也遇到了这个问题。我看到了 Oliver Salzburg 的回复并检查了我的 ~/.docker/config.json。它内部有多个来自我拥有的不同 AWS 账户的授权凭证。我删除了该文件，并在再次运行 get-login 后它起作用了。

---

确保在 aws ecr get-login 中使用正确的区域，它必须与创建存储库的区域相匹配。

---

我的问题是拥有多个 AWS 凭证；默认和开发。由于我试图部署到 dev 这工作：

$(aws ecr get-login --no-include-email --region eu-west-1 --profile dev | sed 's|https://||')

---

FWIW，Debian 9，Docker 版本 18.06.1-ce，构建 e68fc7a：

$(aws ecr get-login | sed 's| -e none | |g')

---

如果您使用多个配置文件并且您需要登录到一个不是您的默认配置文件，您需要使用以下命令登录：

$(AWS_PROFILE=<YOUR PROFILE> aws ecr get-login --no-include-email --region eu-west-1)

---