docker - GCloud:无法提取镜像(400)-权限 "artifactregistry.repositories.downloadArtifacts"被拒绝

Question

由于以下问题，我的 Pod 无法创建:

Failed to pull image "europe-west3-docker.pkg.dev/<PROJECT_ID>/<REPO_NAME>/my-app:1.0.0": rpc error: code = Unknown desc = Error response from daemon: Get https://europe-west3-docker.pkg.dev/v2/<PROJECT_ID>/<REPO_NAME>/my-app/manifests/1.0.0: denied: Permission "artifactregistry.repositories.downloadArtifacts" denied on resource "projects/<PROJECT_ID>/locations/europe-west3/repositories/<REPO_NAME>" (or it may not exist)

我从来没有经历过这样的事情。也许有人可以帮助我。

这是我所做的:

1. 我在 Google Cloud 区域 europe-west-3-a 中设置了一个标准 Kubernetes 集群
2. 我开始按照此处描述的步骤 https://cloud.google.com/kubernetes-engine/docs/tutorials/hello-app 进行操作
3. 我构建了 docker imager 并将其推送到 Artifcats 存储库
4. 我可以确认存储库和镜像都存在，无论是在 Google 控制台中还是使用 docker 拉取镜像
5. 现在我想部署我的应用，这是部署文件:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
  labels:
    app: my-app
spec:
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: my-app
        image: europe-west3-docker.pkg.dev/<PROJECT_ID>/<REPO_NAME>/my-app:1.0.0
        imagePullPolicy: Always
        ports:
        - containerPort: 8080

由于上述错误，pod 创建失败。

我错过了什么？

Answer 1

我遇到了同样的问题，并通过执行以下命令使其正常工作:

gcloud projects add-iam-policy-binding ${PROJECT} \
--member=serviceAccount:${EMAIL} \
--role=roles/artifactregistry.reader

与${PROJECT} = 项目名称和 ${EMAIL} = 默认服务帐户，例如类似 <a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="47767574737271707f7e7776756a24282a3732332207232231222b283722356920342235312e2422262424283229336924282a" rel="noreferrer noopener nofollow">[email protected]</a> .

我怀疑我过去可能太急切地删除了一些“多余的权限”。