Google Container Registry：尝试使用经过身份验证的凭据拉/推图像时出现权限问题

Question

在Ubuntu-22中，已经通过snap store安装了google-cloud ；

> whereis gcloud
gcloud: /snap/bin/gcloud
> snap list | grep google
google-cloud-sdk           432.0.0                     346    latest/stable    google-cloud-sdk**  classic

Docker 也已通过snap安装；

> snap list | grep docker
docker                     20.10.24                    2893   latest/stable    canonical**

并且我已将我的帐户验证为私人 GCR，如下所示；

> gcloud auth login
Your browser has been opened to visit:

    https://accounts.google.com/o/oauth2/auth?...<long_url>


You are now logged in as [<my_email@address.com>].
Your current project is [<desired_project_name>].  You can change this setting by running:
  $ gcloud config set project PROJECT_ID

仔细检查登录过程；

> gcloud auth list
           Credentialed Accounts
ACTIVE             ACCOUNT
*                  <my_email@address.com>

To set the active account, run:
    $ gcloud config set account `ACCOUNT`

但是，当我尝试拉取或推送任何图像时，我遇到了以下权限问题；

unauthorized: You don't have the needed permissions to perform this operation, and you may have invalid credentials. To authenticate your request, follow the steps in: https://cloud.google.com/container-registry/docs/advanced-authentication

我能够访问我尝试从我的浏览器中的私有 GCR 中提取的图像，这让我认为这是在我的终端中执行docker pull时与 creds 相关的问题。

我在这里错过了什么？

PS：这对我不起作用无法推送到 Google Container Registry - 权限问题

---

编辑：

正如评论中所问，我需要提到我在auth login之前又执行了一个步骤，即gcloud auth configure-docker ；

> gcloud auth configure-docker
Adding credentials for all GCR repositories.
WARNING: A long list of credential helpers may cause delays running 'docker build'. We recommend passing the registry name to configure only the registry you are using.
After update, the following will be written to your Docker config file located at 
[/home/<user>/.docker/config.json]:
 {
  "credHelpers": {
    "gcr.io": "gcloud",
    "us.gcr.io": "gcloud",
    ...
  }
}

Do you want to continue (Y/n)?  

Docker configuration file updated.

Answer 1

将此作为社区 Wiki 发布以供所有人查看。

通过使用 APT package 管理器重新安装 docker 解决了 docker 的权限问题。 正如 John Hanley 所说，这个问题似乎是 Docker 是如何通过 snap 安装的错误。 使用APT安装Docker是Docker自己推荐的。

同样重要的是要注意，您应该始终删除/卸载以前的安装。 根据这篇文章，还建议一直使用 snap 或 apt，因为它们不能共存。

Answer 2

删除snap安装并使用docker管理器apt安装 docker 解决了我的问题。

我在两个安装之间观察到的差异；

• 使用snap ，一旦gcloud auth login将我定向到浏览器，只需选择 google 帐户即可完成身份验证（请参阅我的问题中的第三个代码块，没有询问authorization code ）。
• 使用apt ，在选择所需的谷歌帐户后，我被定向到另一个页面，其中提供了需要在终端中输入的authorization code ；

> gcloud auth login
Your browser has been opened to visit:

    https://accounts.google.com/o/oauth2/auth?...<long_url>

Enter authorization code: <Code_from_browser>  // This is the difference!!

You are now logged in as [<my_email@address.com>].
Your current project is [<desired_project_name>].  You can change this setting by running:
  $ gcloud config set project PROJECT_ID

谢谢@JohnHanley指出docker推荐apt安装。