google-cloud-platform - 我可以配置 Google Container Registry (GCR) 以允许推送新镜像但不允许更改标签吗？

Question

我想在 GCP 上将我们公司的容器注册表配置为:

允许员工推送带有新标签的新图片

不允许替换现有标签

目标是避免使用 latest标签 - 或任何其他可变标签 - 并始终为新图像使用新的、不可变的标签。

是否有一组 IAM 角色或权限可以实现此行为？

Answer 1

您不必使用 IAM 角色。它应该是服务帐户。
您需要创建一个服务帐户，为其设置 GCR 编辑器角色，下载 JSON 文件然后将其发送给您的员工。

service account JSON key file是一个长期存在的凭据，适用于特定的 GCP Console 项目及其资源。

您用于推送和拉取镜像的服务帐户必须正确配置为与 Container Registry 交互所需的权限和访问范围。

GCP 自动创建的服务帐号(例如 Container Registry 服务帐号)被授予读写权限 Editor父项目的角色。 Compute Engine 默认服务帐号配置为对同一项目中的存储具有只读访问权限。您可能希望授予其他服务帐户更具体的权限。跨项目推送和拉取镜像需要在与 Container Registry 交互的服务帐户上正确配置权限和访问范围。

有关推送和拉取镜像所需的服务帐户权限和范围的更多信息，请参阅 requirements将 Container Registry 与 Google Cloud Platform 结合使用。