google-kubernetes-engine - 在另一个项目中使用来自 GKE 的 Google Container Registry

Question

GKE 集群如何从另一个项目中托管的 Container Registry 中拉取容器镜像？

我在项目 <reader-project> 中有一个 GKE 集群试图访问项目中的 GCR 图像 <registry-project> .

我已尝试为 <reader-project> 添加 GCE 服务帐户电子邮件作为对 <registry-project> 中的存储桶具有读者访问权限的用户，但我仍然收到错误:

<Error><Code>AccessDenied</Code>
<Message>Access denied.</Message>
<Details>Caller does not have storage.objects.get access to object us.artifacts.<registry-project>.appspot.com/containers/images/sha256:<tag>.
</Details></Error>

Answer 1

尝试将 GCE 服务帐户电子邮件添加为具有存储对象查看者角色的用户。它为服务帐户提供对项目中 GCS 对象(容器图像)的只读访问权限。