AWSFargateResourceInitializationError：无法拉取机密或注册表身份验证：拉取命令失败：：信号：被杀死

html5 • • 问答

用这个稍微扯掉我的头发......我正在尝试在公共子网的 VPC 中的 Fargate 上运行 Docker 映像。当我将此作为任务运行时，我得到：

ResourceInitializationError: unable to pull secrets or registry auth: pull
command failed: : signal: killed

如果我通过 NAT 在私有子网中运行任务，它就可以工作。如果我在默认 VPC 的公共子网中运行它，它也可以工作。

我已经检查了这里的建议：

Aws ecs fargate ResourceInitializationError：无法提取机密或注册表身份验证

特别是，我设置了安全组以允许所有流量。还设置了网络 ACL 以允许所有流量。我什至对 IAM 权限非常开放，以尝试消除这种可能性：

任务执行角色有：

   {
        "Action": [
            "kms:*",
            "secretsmanager:*",
            "ssm:*",
            "s3:*",
            "ecr:*",
            "ecs:*",
            "ec2:*"
        ],
        "Resource": "*",
        "Effect": "Allow"
    }

具有信任关系，允许 ecs-tasks 承担此角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

安全组是：

sg-093e79ca793d923ab All traffic All traffic All 0.0.0.0/0

网络 ACL 是：

Inbound
Rule number Type Protocol Port range Source Allow/Deny
100 All traffic All All 0.0.0.0/0    Allow
*   All traffic All All 0.0.0.0/0    Deny

Outbound
Rule number Type Protocol Port range Destination Allow/Deny
100 All traffic All All 0.0.0.0/0    Allow
*   All traffic All All 0.0.0.0/0    Deny

我在子网上设置了流日志，我可以看到流量在两个方向都是 Accept Ok。

我没有设置任何接口终端节点来访问 AWS 服务而无需通过 Internet 网关。

我还在创建时为 Fargate 实例分配了公共 IP 地址。

这应该有效，因为公共子网应该可以通过 Internet 网关访问所有需要的服务。它也适用于默认 VPC 或私有子网。

谁能建议我还应该检查什么来调试它？

回答

的潜在问题之一ResourceInitializationError: unable to pull secrets or registry auth: pull command failed: : signal: killed是禁用Auto-assign public IP。启用它后（从头开始重新创建服务），任务正常运行而没有问题。

  • But what if you don't want the task to have a public IP?

回答

我面临着同样的问题。但就我而言，我使用 RunTask 操作从 Lambda 函数触发 Fargate 容器。所以在 RunTask 操作中，我没有传递以下参数：

assignPublicIp：已启用

添加此内容后，Container 触发没有任何问题。

以上是AWSFargateResourceInitializationError：无法拉取机密或注册表身份验证：拉取命令失败：：信号：被杀死的全部内容。
THE END
分享
二维码
< <上一篇
下一篇>>