AWS Fargate ResourceInitializationError：无法拉取机密或注册表身份验证：拉取命令失败：：信号：被杀

如何解决AWS Fargate ResourceInitializationError：无法拉取机密或注册表身份验证：拉取命令失败：：信号：被杀

用这个稍微扯掉我的头发......我正在尝试在公共子网的 VPC 中的 Fargate 上运行一个 Docker 映像。当我将此作为任务运行时，我得到：

ResourceInitializationError: unable to pull secrets or registry auth: pull
command failed: : signal: killed

如果我在私有子网中运行任务，通过 NAT，它可以工作。如果我在默认 VPC 的公共子网中运行它，它也可以工作。

我已经检查了这里的建议：

Aws ecs fargate ResourceInitializationError: unable to pull secrets or registry auth

特别是，我设置了安全组以允许所有流量。还设置了网络 ACL 以允许所有流量。我什至对 IAM 权限非常宽松，以尝试消除这种可能性：

任务执行角色有：

   {
        "Action": [
            "kms:*","secretsmanager:*","ssm:*","s3:*","ecr:*","ecs:*","ec2:*"
        ],"Resource": "*","Effect": "Allow"
    }

具有信任关系以允许 ecs-tasks 承担此角色：

{
  "Version": "2012-10-17","Statement": [
    {
      "Effect": "Allow","Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },"Action": "sts:AssumeRole"
    }
  ]
}

安全组是：

sg-093e79ca793d923ab All traffic All traffic All 0.0.0.0/0

网络 ACL 是：

Inbound
Rule number Type Protocol Port range Source Allow/Deny
100 All traffic All All 0.0.0.0/0    Allow
*   All traffic All All 0.0.0.0/0    Deny

Outbound
Rule number Type Protocol Port range Destination Allow/Deny
100 All traffic All All 0.0.0.0/0    Allow
*   All traffic All All 0.0.0.0/0    Deny

我在子网上设置了流日志，我可以看到两个方向的流量都是 Accept Ok。

我没有设置任何接口终端节点来访问 AWS 服务而无需通过 Internet 网关。

我也有在创建时分配给 Fargate 实例的公共 IP 地址。

这应该可行，因为公共子网应该可以通过 Internet 网关访问所有需要的服务。它也适用于默认 VPC 或私有子网。

谁能建议我还应该检查什么来调试这个？

解决方法

'these are my items: * foo * bar' 的潜在问题之一是禁用自动分配公共 IP。启用后（从头开始重新创建服务），任务正常运行，没有问题。

,

事实证明我没有为 VPC 启用 DNS 支持。一旦启用，它就可以工作了。

我没有看到 Fargate 的任何文档中明确提到 DNS 支持 - 我想这很明显，否则它将如何查找所需的各种 AWS 服务。但认为在针对此错误消息的回答中值得注意。

,

我遇到了同样的问题。但就我而言，我使用 RunTask 操作从 Lambda 函数触发 Fargate 容器。所以在 RunTask 操作中，我没有传递以下参数：

assignPublicIp：已启用

添加此内容后，Container 可以正常触发。

,

AWS 容器运行器需要访问容器存储库和 AWS 服务。

如果您在公共子网上，最简单的方法是“自动分配公共 IP”以使您的容器能够访问互联网，即使您的应用不需要对互联网的出口访问。

否则，如果您仅使用 AWS 服务（ECR，并且没有从 docker.io 中提取图像），那么您可以使用 VPC endpoints to access ECR/S3/Cloudwatch，并在您的 VPC 上启用 DNS 选项。

对于私有子网，也是一样的。

如果您使用的是 docker.io 映像，那么无论如何您都需要在子网中访问互联网。