google-cloud-platform - 无法推送到 Google Container Registry(访问被拒绝)

Question

当我尝试 push a container image到容器注册表，它给了我以下错误，

denied: Token exchange failed for project 'my-proj-123'. Caller does not have permission 'storage.buckets.create'. To configure permissions, follow instructions at: https://cloud.google.com/container-registry/docs/access-control

我不得不关注 Bucket Name Verification进程能够创建 artifacts.my-proj-123.appspot.com桶。现在，当我尝试推送 docker 镜像时，它不会提示 storage.buckets.create许可，但只提供:

denied: Access denied.

我不知道我需要授予哪个用户访问权限。我给了 存储管理员 访问 Compute Engine 默认服务帐号 无济于事。我该如何解决？

Answer 1

我能够将 Docker 镜像从 Container Optimized OS 推送到 Container Registry .

如果你有权限问题，我建议你给 Compute Engine 默认服务帐号 至少项目编辑器权限，仅用于测试目的。即使您只针对 Cloud Storage，流程的其他部分也可能需要更多权限。完成测试后，您可以创建一个具有较少权限的新服务帐户，并根据您的需要对其进行微调。

此外，还有一个替代 gcloud 的方法。为 authentication .您可以按照以下方法尝试:

首先尝试使用以下命令下载 docker-credential-gcr:

VERSION=1.5.0
OS=linux  # or "darwin" for OSX, "windows" for Windows.
ARCH=amd64  # or "386" for 32-bit OSs

curl -fsSL "https://github.com/GoogleCloudPlatform/docker-credential-gcr/releases/download/v${VERSION}/docker-credential-gcr_${OS}_${ARCH}-${VERSION}.tar.gz" \
  | tar xz --to-stdout ./docker-credential-gcr \
  > /usr/bin/docker-credential-gcr && chmod +x /usr/bin/docker-credential-gcr

之后执行 docker-credential-gcr configure-docker

下载 Compute Engine 默认服务帐号 json key .

执行 cat [your_service_account_credentials.json] | docker login -u _json_key --password-stdin https://[HOSTNAME]