使用部署令牌从私有GitLab仓库安装Crossplane包遇权限问题

apiVersion: pkg.crossplane.io/v1
kind: Configuration
metadata:
name: some-package
spec:
package: registry.gitlab.com/some_group/some_repo:some_version
packagePullSecrets:
- name: registry-gitlab-com-repo-auth

Secret配置：
```yaml
---
apiVersion: v1
kind: Secret
metadata:
  name: registry-gitlab-com-repo-auth
  namespace: crossplane-system
type: Opaque
data:
  username: <base64-encoded-username> # GitLab部署令牌用户名
  password: <base64-encoded-password> # GitLab部署令牌密码（已授予registry_read权限）

• 修正Secret类型：Crossplane要求拉取私有包的Secret类型为kubernetes.io/dockerconfigjson，而非Opaque。直接用kubectl生成合规Secret：

  kubectl create secret docker-registry registry-gitlab-com-repo-auth \
    --namespace crossplane-system \
    --docker-server=registry.gitlab.com \
    --docker-username=<部署令牌用户名> \
    --docker-password=<部署令牌密码>
  

  该命令会自动生成包含.dockerconfigjson字段的Secret，匹配Crossplane的拉取逻辑。

• 验证部署令牌权限：确认令牌满足：

  • 归属目标镜像仓库所在的GitLab项目
  • 已勾选read_registry权限
  • 令牌未过期、未被禁用

• 跳过crossplane xpkg login：该命令对GitLab的支持存在兼容性问题，直接使用上述dockerconfigjson类型Secret是更可靠的方案。

• 检查包路径正确性：确认spec.package中的仓库路径（组名、仓库名、版本标签）无拼写错误，路径错误也会触发权限类报错。

内容的提问来源于stack exchange，提问作者Tommy Bravo