CannotPullContainerError：来自守护进程的错误响应：拒绝 ECR 存储库映像的拉取访问，存储库不存在或可能需要“docker 登录”

Question

我在 SourceAccount 的 ECR Repo 中推送了一个 docker 镜像。

我已经在 SourceAccount 中部署了一个代码管道。

当该代码管道运行时，它会在 TargetAccount 中部署 ECS 堆栈。在该堆栈中，ECS 任务是使用来自 SourceAccount 的上述镜像通过容器创建的。但是，这些任务仍处于挂起状态并最终转移到停止状态。他们显示以下错误：

Status reason   CannotPullContainerError: Error response from daemon: pull access denied for <SourceAccountId>.dkr.ecr.<Region>.amazonaws.com/<RepoName>, repository does not exist or may require 'docker login'

请告知如何从 SourceAccount ECR 中提取图像并在 TargetAccount 中创建 ECS 任务。

笔记：

1) 当我在 TargetAccount 的 ECR 中推送相同的图像时，一切正常。ECS 任务仅在尝试从其他帐户拉取映像时无法运行。

2) 堆栈回滚，出现以下错误：

Service arn:aws:ecs:<Region>:<TargetAccount>:service/<ServiceName> did not stabilize.

Answer 1

我通过将以下策略添加到 SourceAccount 中的 ECR 存储库来修复此问题：

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "AllowCrossAccountPull",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<TargetAccount>:root"
      },
      "Action": "ecr:*"
    }
  ]
}